[论文解读] Blackbox Attacks via Surrogate Ensemble Search

Zikui Cai, Chengyu Song+3 more|arXiv (Cornell University)|Aug 7, 2022

Adversarial Robustness in Machine Learning被引用 10

一句话总结

本文提出了一种新颖的查询高效方法——基于代理集成搜索的黑盒攻击（BASES），通过使用带权重的集成代理模型作为扰动生成器，生成对抗性样本。通过在小维度的权重空间中进行搜索，并利用目标模型查询反馈，BASES 仅需每张图像 3 次查询，即在 ImageNet 分类器和 Google Cloud Vision API 上实现超过 90% 的目标攻击成功率，较最先进方法减少 30 倍查询次数。

ABSTRACT

Blackbox adversarial attacks can be categorized into transfer- and query-based attacks. Transfer methods do not require any feedback from the victim model, but provide lower success rates compared to query-based methods. Query attacks often require a large number of queries for success. To achieve the best of both approaches, recent efforts have tried to combine them, but still require hundreds of queries to achieve high success rates (especially for targeted attacks). In this paper, we propose a novel method for Blackbox Attacks via Surrogate Ensemble Search (BASES) that can generate highly successful blackbox attacks using an extremely small number of queries. We first define a perturbation machine that generates a perturbed image by minimizing a weighted loss function over a fixed set of surrogate models. To generate an attack for a given victim model, we search over the weights in the loss function using queries generated by the perturbation machine. Since the dimension of the search space is small (same as the number of surrogate models), the search requires a small number of queries. We demonstrate that our proposed method achieves better success rate with at least 30x fewer queries compared to state-of-the-art methods on different image classifiers trained with ImageNet. In particular, our method requires as few as 3 queries per image (on average) to achieve more than a 90% success rate for targeted attacks and 1-2 queries per image for over a 99% success rate for untargeted attacks. Our method is also effective on Google Cloud Vision API and achieved a 91% untargeted attack success rate with 2.9 queries per image. We also show that the perturbations generated by our proposed method are highly transferable and can be adopted for hard-label blackbox attacks. We also show effectiveness of BASES for hiding attacks on object detectors.

研究动机与目标

• 在保持高成功率的前提下，降低基于查询的黑盒攻击的高查询成本。
• 通过结合迁移与查询机制，克服基于迁移的攻击成功率低的问题。
• 将目标黑盒攻击所需的查询次数最小化，尤其在访问受限环境中。
• 通过统一框架，实现对多种模型（包括图像分类器和目标检测器）的有效攻击。
• 验证扰动在硬标签设置和真实世界 API（如 Google Cloud Vision）中的可迁移性。

提出的方法

• 定义一个扰动生成器（PM），通过在固定代理模型集合上最小化加权损失函数，生成对抗性扰动。
• 为集成中的每个代理模型分配可学习权重，实现对扰动方向的动态调控。
• 通过目标模型反馈，在权重向量上执行外层搜索，以最小化目标模型的损失。
• 采用双层优化框架：内层通过 PM 生成扰动；外层利用查询反馈更新权重。
• 使用重心坐标（Barycentric coordinates）高效可视化并导航低维权重空间。
• 利用来自多样化代理模型的扰动可迁移性，提升对未见目标模型的泛化能力。

实验结果

研究问题

• RQ1 具有可学习权重的代理集成是否能显著减少成功黑盒攻击所需的查询次数？
• RQ2 在查询效率和成功率方面，BASES 与最先进基于查询和基于迁移的方法相比表现如何？
• RQ3 BASES 生成的对抗性扰动在真实世界 API（如 Google Cloud Vision）中的可迁移性达到何种程度？
• RQ4 BASES 是否可扩展用于攻击目标检测模型？在硬标签和非目标设置下其有效性如何？
• RQ5 在代理模型权重上的损失景观是否表现出可利用的结构，从而实现仅用极少查询即可高效搜索？

主要发现

• 在 ImageNet 分类器上，BASES 平均每张图像仅需 3 次查询，即可实现超过 90% 的目标攻击成功率，较最先进方法减少 30 倍。
• 在非目标攻击中，BASES 仅需每张图像 1–2 次查询，成功率即超过 99%，展现出卓越的查询效率。
• 在 Google Cloud Vision API 上，BASES 仅用每张图像 2.9 次查询，即实现 91% 的非目标攻击成功率。
• 该方法在多种模型上均保持高性能，包括 VGG-19、DenseNet-121、ResNeXt-50 以及目标检测器如 RetinaNet 和 Deformable DETR。
• BASES 生成的扰动表现出强可迁移性，可在硬标签设置和真实世界 API 上实现有效攻击。
• 损失景观可视化结果表明，最优权重配置确实存在，且可通过极少查询达到，验证了搜索策略的有效性。