[论文解读] Ad-versarial: Defeating Perceptual Ad-Blocking

Florian Tramèr, Pascal Dupré+3 more|arXiv (Cornell University)|Nov 8, 2018

Internet Traffic Analysis and Secure E-voting被引用 13

一句话总结

本文表明，基于视觉内容检测广告的感知式广告屏蔽工具（perceptual ad-blockers）极易受到对抗性攻击，攻击者可实现100%的成功率绕过检测。通过在网页和音频环境中构造对抗性样本，作者揭示了关键安全缺陷，包括绕过网页安全边界以及发动分布式拒绝服务（DDoS）攻击的可能性。

ABSTRACT

Perceptual ad-blocking is a novel approach that detects online advertisements based on their visual content. Compared to traditional filter lists, the use of perceptual signals is believed to be less prone to an arms race with web publishers and ad networks. We demonstrate that this may not be the case. We describe attacks on multiple perceptual ad-blocking techniques, and unveil a new arms race that likely disfavors ad-blockers. Unexpectedly, perceptual ad-blocking can also introduce new vulnerabilities that let an attacker bypass web security boundaries and mount DDoS attacks. We first analyze the design space of perceptual ad-blockers and present a unified architecture that incorporates prior academic and commercial work. We then explore a variety of attacks on the ad-blocker's detection pipeline, that enable publishers or ad networks to evade or detect ad-blocking, and at times even abuse its high privilege level to bypass web security boundaries. On one hand, we show that perceptual ad-blocking must visually classify rendered web content to escape an arms race centered on obfuscation of page markup. On the other, we present a concrete set of attacks on visual ad-blockers by constructing adversarial examples in a real web page context. For seven ad-detectors, we create perturbed ads, ad-disclosure logos, and native web content that misleads perceptual ad-blocking with 100% success rates. In one of our attacks, we demonstrate how a malicious user can upload adversarial content, such as a perturbed image in a Facebook post, that fools the ad-blocker into removing another users' non-ad content. Moving beyond the Web and visual domain, we also build adversarial examples for AdblockRadio, an open source radio client that uses machine learning to detects ads in raw audio streams.

研究动机与目标

• 调查基于视觉内容而非标记语言检测广告的感知式广告屏蔽工具的安全性与鲁棒性。
• 识别感知式广告屏蔽中允许攻击者绕过检测或滥用高权限访问的漏洞。
• 证明感知式广告屏蔽并非如先前假设的那样天然具备抗对抗性竞争的能力。
• 探讨这些漏洞的更广泛影响，包括可能被滥用于DDoS攻击和跨源安全违规。

提出的方法

• 通过分析现有学术与商业系统，提出一种统一的感知式广告屏蔽架构。
• 设计并实现针对七种不同视觉广告检测模型的对抗性样本，实验环境为真实网页场景。
• 为广告、广告披露标识符以及原生网页内容生成扰动，以误导感知分类器。
• 将攻击扩展至非视觉领域，通过为基于机器学习的音频广告检测器AdblockRadio生成对抗性音频样本。
• 在真实世界条件下评估攻击效果，包括在Facebook等平台上的用户上传内容。
• 证明对抗性样本可导致广告屏蔽工具移除非广告内容，从而利用其高权限执行上下文。

实验结果

研究问题

• RQ1 在真实网页环境中，能否通过对抗性样本可靠地绕过感知式广告屏蔽工具？
• RQ2 感知式广告屏蔽是否引入了新的安全漏洞，使攻击者能够绕过网页安全边界？
• RQ3 视觉与音频领域中的对抗性样本在多大程度上会破坏感知式广告屏蔽系统的安全性和可靠性？
• RQ4 对抗性内容是否可被用于操纵广告屏蔽工具，使其移除合法的非广告内容？
• RQ5 感知式广告屏蔽对视觉分类的依赖，如何使其易受与发布者及广告网络之间的对抗性竞争影响？

主要发现

• 作者成功构造出对抗性样本，在真实网页环境中对七种不同的感知式广告检测系统实现了100%的绕过成功率。
• 恶意用户可上传经过扰动的图片（例如在Facebook上），导致广告屏蔽工具移除其他用户非广告内容，展示了真实世界中的滥用潜力。
• 感知式广告屏蔽易受权限提升攻击影响，使攻击者能够绕过网页安全边界。
• 本研究揭示了一个关键事实：感知式广告屏蔽并未消除与发布者及广告网络之间的对抗性竞争，因为攻击者可利用视觉扰动实现攻击。
• 对抗性攻击不仅限于视觉内容，也延伸至音频流，如AdblockRadio的实验所示，表明音频领域的感知检测同样不安全。
• 该研究揭示了一个关键缺陷：感知式广告屏蔽的高权限级别可能被滥用，通过操纵内容移除行为，引发类似DDoS的攻击效果。