[論文レビュー] Towards Good Practices in Evaluating Transfer Adversarial Attacks

Zhengyu Zhao, Hanwei Zhang+4 more|arXiv (Cornell University)|Nov 17, 2022

Adversarial Robustness in Machine Learning被引用数 7

ひとこと要約

本稿は、転送敵対的攻撃の評価に良い実践法を提案する。攻撃を体系的な五カテゴリー分類にし、転送性と不顕在性の両方を評価する包括的なフレームワークを導入する。公平な1対1比較により、予想に反する結果が明らかになる——例えば、同じ設定下でDIが新しい入力拡張攻撃を上回ることなど——かつ、同じ$L_\infty$ノルム下でも攻撃間で不顕在性に顕著な差が生じることを示し、知覚的指標と誤分類パターンが攻撃の追跡可能性を可能にする。

ABSTRACT

Transfer adversarial attacks raise critical security concerns in real-world, black-box scenarios. However, the actual progress of this field is difficult to assess due to two common limitations in existing evaluations. First, different methods are often not systematically and fairly evaluated in a one-to-one comparison. Second, only transferability is evaluated but another key attack property, stealthiness, is largely overlooked. In this work, we design good practices to address these limitations, and we present the first comprehensive evaluation of transfer attacks, covering 23 representative attacks against 9 defenses on ImageNet. In particular, we propose to categorize existing attacks into five categories, which enables our systematic category-wise analyses. These analyses lead to new findings that even challenge existing knowledge and also help determine the optimal attack hyperparameters for our attack-wise comprehensive evaluation. We also pay particular attention to stealthiness, by adopting diverse imperceptibility metrics and looking into new, finer-grained characteristics. Overall, our new insights into transferability and stealthiness lead to actionable good practices for future evaluations.

研究の動機と目的

• 転送敵対的攻撃研究における体系的かつ公平な評価手法の欠如に取り組む。
• 非平行な設定（例：A+B 対 B）で新しい攻撃と古い攻撃を比較するなど、既存の評価に内在するバイアスを特定・是正する。
• 既存の評価では$L_p$ノルムにのみ依存するが、不顕在性の重大な見過ごしを強調する。
• ImageNet上で9つの防御に対する23の転送攻撃を、カテゴリごとの包括的評価を通じて行い、実行可能なベンチマークを確立する。
• 標準化された指標と公開可能なコードベースを導入することで、今後の研究が攻撃をより意味のある方法で評価できるようにする。

提案手法

• 勾配安定化、入力拡張、特徴破壊、代替モデルの最適化、生成モデリングなどの五カテゴリーに分類する転送攻撃の分類法を提案し、カテゴリ内およびカテゴリ間での体系的かつ比較可能な評価を可能にする。
• 入力コピー数を含む一貫したハイパーパramータ設定を用いて、カテゴリ内およびカテゴリ間での1対1比較を実施する。
• $L_p$ノルムを超える、SSIM、FID、LPIPSなど五種類の多様な不顕在性指標を導入し、不顕在性の評価をより的確にする。
• 摂動パターンを学習したResNet18分類器を用いて、攻撃ごとの摂動シグネチャが識別可能かどうかを評価する。
• トップ5誤分類パターンを分析し、異なる攻撃カテゴリが異なる予測行動を引き起こすかどうかを検討する。
• 5000枚のImageNet画像を対象に大規模な評価を実施し、23の攻撃と9つの防御をカバー。複数の指標とカテゴリにわたり結果を報告する。

実験結果

リサーチクエスチョン

• RQ1 どのようにして転送敵対的攻撃を体系的に分類すれば、公平かつ包括的な評価が可能になるか？
• RQ2 不一致なハイパーパramータ設定や非平行な比較による、既存の評価手法がどれほどバイアスを含んでいるか？
• RQ3 同じ$L_\infty$ノルム下でも、複数の知覚的指標で測定した不顕在性は、異なる転送攻撃タイプ間でどのように変動するか？
• RQ4 摂動パターンと誤分類行動は、異なる攻撃カテゴリを区別するのに利用可能か？ これは攻撃の追跡可能性を示唆する。
• RQ5 これらの発見は、今後の転送攻撃および防御の設計と評価にどのような意味を持つのか？

主な発見

• 同じ入力コピー数を用いた公平な比較において、入力拡張攻撃の初期手法であるDIが、その後に登場したすべての攻撃を上回る性能を示し、より新しい手法が本質的に優れているという仮定に疑問を呈する。
• 勾配安定化攻撃では、反復回数を増やすと性能が低下する傾向があり、反復回数を増やすことで転送性が向上するという一般的な仮定に反する。
• すべての転送攻撃がPGDに比べて不顕在性を犠牲にしており、特に生成モデリング攻撃（例：CDA）は、FIDスコアが高く、画像に依存しないパターンを示し、最も目立つ摂動を生じる。
• ResNet18を用いた分類により、異なる攻撃からの摂動は非常に分離可能であることが判明。カテゴリ内攻撃ではカテゴリ間攻撃よりも分離度が低く、提案された分類法の有効性を裏付ける。
• 異なる攻撃カテゴリは異なる誤分類パターンを誘発する：勾配安定化および入力拡張攻撃は均一なクラス分布を生じるが、生成モデリング攻撃（例：CDA）は「ハープ」のような単一のクラスにほぼすべての画像を誤分類させる。
• RFA∞攻撃は、画像構造をよりよく保持する意味的に整合した摂動を採用しているため、最高のSSIMスコアを達成する。