[论文解读] Boundary Attack++: Query-Efficient Decision-Based Adversarial Attack.

Jianbo Chen, Michael I. Jordan|arXiv (Cornell University)|Apr 3, 2019

Adversarial Robustness in Machine Learning被引用 29

一句话总结

Boundary Attack++ 提出了一种查询效率更高的基于决策的对抗攻击方法，通过使用二元决策反馈来估计边界处的梯度方向，从而实现对 $L_2$ 和 $L_\infty$ 损坏的优化。与先前方法相比，该方法显著减少了查询次数，并在对抗性训练的 MNIST 模型上优于当前最先进白盒攻击方法。

ABSTRACT

Decision-based adversarial attack studies the generation of adversarial examples that solely rely on output labels of a target model. In this paper, decision-based adversarial attack was formulated as an optimization problem. Motivated by zeroth-order optimization, we develop Boundary Attack++, a family of algorithms based on a novel estimate of gradient direction using binary information at the decision boundary. By switching between two types of projection operators, our algorithms are capable of optimizing $L_2$ and $L_\infty$ distances respectively. Experiments show Boundary Attack++ requires significantly fewer model queries than Boundary Attack. We also show our algorithm achieves superior performance compared to state-of-the-art white-box algorithms in attacking adversarially trained models on MNIST.

研究动机与目标

• 开发一种仅依赖模型标签的更高效查询的基于决策的对抗攻击方法。
• 解决现有边界攻击方法需要高查询次数的局限性。
• 利用统一框架实现对 $L_2$ 和 $L_\infty$ 损坏范数的优化。
• 提升对更具鲁棒性的对抗性训练模型的攻击性能，这些模型对标准攻击更具抵抗力。

提出的方法

• 该方法基于模型在决策边界处的预测结果中的二元信息来估计梯度方向，灵感来源于零阶优化。
• 它采用两种不同的投影算子，分别对 $L_2$ 和 $L_\infty$ 距离进行优化，从而实现自适应的扰动搜索。
• 该算法根据当前的扰动范数动态切换投影类型，以提升收敛性。
• 它将攻击形式化为仅使用标签查询的优化问题，避免访问梯度信息。
• 该方法利用一种新颖的二元反馈机制，在无需模型梯度或 logits 的情况下近似梯度方向。

实验结果

研究问题

• RQ1 基于决策的对抗攻击能否显著降低与现有方法相比的查询复杂度？
• RQ2 该方法能否有效使用同一框架对 $L_2$ 和 $L_\infty$ 损坏进行优化？
• RQ3 所提出的方法是否能在对抗性训练模型上超越当前最先进白盒攻击？
• RQ4 仅使用二元决策反馈是否足以提供有效的梯度估计以生成对抗样本？

主要发现

• 与原始的 Boundary Attack 相比，Boundary Attack++ 显著减少了模型查询需求。
• 该方法在对抗性训练的 MNIST 模型上实现了优于当前最先进白盒攻击的攻击成功率。
• 它成功地使用单一自适应框架对 $L_2$ 和 $L_\infty$ 损坏进行了优化。
• 使用二元反馈使得在无需访问模型梯度或 logits 的情况下，也能实现有效的梯度估计。