[论文解读] CorrAttack: Black-box Adversarial Attack with Structured Search

Zhichao Huang, Yao‐Wei Huang+1 more|arXiv (Cornell University)|Oct 3, 2020

Adversarial Robustness in Machine Learning参考文献 30被引用 6

一句话总结

CorrAttack 提出了一种基于分数的黑盒对抗攻击方法，通过时间可变的上下文Bandits进行结构化搜索，利用图像块的特征建模以指导贝叶斯优化，实现高效且高成功率的攻击。该方法在 ImageNet 和 Google Cloud Vision API 上实现了最先进的查询效率和成功率，优于先前的 BayesOpt 和 Bayes-Attack 等方法。

ABSTRACT

We present a new method for score-based adversarial attack, where the attacker queries the loss-oracle of the target model. Our method employs a parameterized search space with a structure that captures the relationship of the gradient of the loss function. We show that searching over the structured space can be approximated by a time-varying contextual bandits problem, where the attacker takes feature of the associated arm to make modifications of the input, and receives an immediate reward as the reduction of the loss function. The time-varying contextual bandits problem can then be solved by a Bayesian optimization procedure, which can take advantage of the features of the structured action space. The experiments on ImageNet and the Google Cloud Vision API demonstrate that the proposed method achieves the state of the art success rates and query efficiencies for both undefended and defended models.

研究动机与目标

• 解决仅能访问模型分数而无完整模型访问权限时的高效黑盒对抗攻击挑战。
• 克服依赖模型相似性的迁移攻击方法在不同网络间迁移性差的局限性。
• 通过利用图像块的局部相关性与缓慢变化特性，提升基于分数攻击的查询效率与成功率。
• 开发一种可扩展的方法，通过聚焦于低维块特征而非高维梯度估计，实现比现有贝叶斯优化方法更快的优化速度。

提出的方法

• 将基于分数的对抗攻击建模为时间可变的上下文Bandits问题，其中每个图像块为一个动作臂并附带相关特征。
• 基于块特征使用高斯过程回归建模奖励（损失减少），实现在结构化动作空间上的高效贝叶斯优化。
• 在高斯过程中引入遗忘策略，以适应迭代攻击步骤中随时间变化的奖励函数。
• 利用块级特征（如空间位置和局部梯度模式）估计未来奖励并指导动作选择。
• 将动作空间限制在图像块上，以利用局部相关性与缓慢变化的奖励动态，提升学习效率。
• 应用基于结构化特征的贝叶斯优化，优先选择预期损失减少最高的块，从而最小化查询次数。

实验结果

研究问题

• RQ1 与随机或坐标搜索相比，对图像块进行结构化搜索是否能提升黑盒对抗攻击的查询效率？
• RQ2 如何通过图像块特征建模奖励函数，提升贝叶斯优化在对抗攻击中的性能？
• RQ3 时间可变的Bandits问题特性在多大程度上影响标准贝叶斯优化的有效性？应如何缓解？
• RQ4 CorrAttack 在性能与效率上相较于 SOTA 方法（如 BayesOpt、Bayes-Attack 和 ZOO）在标准模型与防御模型上的表现如何？
• RQ5 所提方法是否能在真实世界黑盒 API（如 Google Cloud Vision）上实现高成功率，尤其是在查询成本高且模型行为未知的情况下？

主要发现

• CorrAttack ${}_{\text{Flip}}$ 在 ImageNet 上对 ResNet50 的无目标攻击中实现了 79.15% 的成功率，平均仅需 1,036 次查询，优于所有基线方法。
• 在 Google Cloud Vision API 上，CorrAttack ${}_{\text{Flip}}$ 实现了 80.00% 的成功率，平均仅需 155 次查询，显著优于 NAttack（70.00%）和 BayesOpt（30.00%）。
• 对于防御模型（ResNeXt DenoiseAll），CorrAttack ${}_{\text{Flip}}$ 在 10 张图像上以平均 206 次查询实现 60.00% 的成功率，优于 BayesOpt 和 Bayes-Attack。
• 消融实验表明，使用 PCA 降低块特征维度可提升攻击效率，证明了特征表示的重要性。
• CorrAttack 在不同扰动预算（$\varepsilon = 0.04$，$0.05$，$0.06$）下均保持优异性能，显示出对不同攻击强度的鲁棒性。
• 由于基于低维特征的优化，该方法显著快于 BayesOpt 和 Bayes-Attack，后者攻击 1,000 张图像需数万小时。