[论文解读] Adversarial attacks against Bayesian forecasting dynamic models

Roi Naveiro|arXiv (Cornell University)|Oct 20, 2021

Adversarial Robustness in Machine Learning参考文献 9被引用 4

一句话总结

本文提出了一种基于决策分析的对抗性攻击策略，针对贝叶斯预测动态模型，攻击者通过操纵历史数据，在不触发检测的情况下使防御者的最优决策发生偏移。通过优化数据扰动，使累积贝叶因子最小化，同时推动防御者决策远离真实最优解，该方法实现了隐蔽且有效的操纵——在真实案例中，将最优库存从136单位降低至116单位，且未引发警报。

ABSTRACT

The last decade has seen the rise of Adversarial Machine Learning (AML). This discipline studies how to manipulate data to fool inference engines, and how to protect those systems against such manipulation attacks. Extensive work on attacks against regression and classification systems is available, while little attention has been paid to attacks against time series forecasting systems. In this paper, we propose a decision analysis based attacking strategy that could be utilized against Bayesian forecasting dynamic models.

研究动机与目标

• 解决时间序列预测系统，特别是贝叶斯动态模型中对抗性攻击研究的不足。
• 开发一种通过操纵数据来改变防御者最终决策的策略，而非仅影响预测结果。
• 通过最小化累积贝叶因子而非扰动大小来形式化‘隐蔽’攻击，确保避免被检测。
• 在真实贝叶斯动态模型设置中，证明此类攻击的可行性和隐蔽性。

提出的方法

• 将攻击者的目的是通过操纵时间 $\alpha - h$ 到 $\alpha$ 的历史观测值，改变防御者的最优决策。
• 使用决策分析建模防御者的效用函数和后验预测分布，将最优决策定义为最大化期望效用的决策。
• 通过求解一个优化问题构建攻击：最小化防御者预测决策与攻击者目标之间的距离，同时满足对数据扰动的约束。
• 采用累积贝叶因子作为检测指标：若最小累积贝叶因子与干净数据相近，则认为攻击是隐蔽的。
• 将该方法应用于超市库存场景中的条件泊松动态模型进行需求预测。
• 比较两种攻击策略：一种最小化扰动大小（L2范数），另一种最小化贝叶因子偏差，以评估隐蔽性与有效性。

实验结果

研究问题

• RQ1 攻击者如何操纵历史数据，以在不被检测的情况下改变贝叶斯预测动态模型中的最优决策？
• RQ2 最有效的‘隐蔽’攻击形式化方式是什么——是限制扰动大小，还是最小化检测信号（如累积贝叶因子）？
• RQ3 攻击者能否在真实世界预测场景中成功降低最优库存决策，同时避免被模型监控系统检测到？
• RQ4 不同的攻击目标（如最小化扰动与最小化检测信号）如何影响对抗性操纵的可行性和隐蔽性？
• RQ5 渐进式数据操纵在规避时间序列模型统计监控机制中起到什么作用？

主要发现

• 该攻击成功将最优库存决策从136单位降低至116单位，实现了攻击者20%的减量目标。
• 在通过累积贝叶因子优化隐蔽性时，攻击保持的最小累积贝叶因子与干净数据无异，表明未被检测到。
• 相比之下，L2范数约束的攻击触发了检测，表现为最小累积贝叶因子显著下降。
• 隐蔽攻击通过逐步减少前期周末的需求实现，使模型能够自然适应，避免引起怀疑。
• 研究表明，在贝叶斯动态模型中，以决策为导向的攻击比以预测为导向的攻击更具有效性和隐蔽性。
• 结果验证了累积贝叶因子作为序列贝叶斯模型中检测对抗性数据操纵的可靠指标。