[论文解读] Curls & Whey: Boosting Black-Box Adversarial Attacks

Yucheng Shi, Siyu Wang+1 more|arXiv (Cornell University)|Apr 2, 2019

Adversarial Robustness in Machine Learning参考文献 31被引用 13

一句话总结

Curls & Whey 提出了一种新颖的黑盒对抗攻击方法，通过在迭代轨迹中结合梯度上升与下降（Curls），并利用鲁棒性感知优化对噪声进行精炼（Whey），从而提升迁移性并降低扰动幅度。该方法在 ImageNet 和 Tiny-ImageNet 上实现了显著更低的 ℓ2 范数，达到当前最先进性能，即使面对经过对抗训练和集成模型的防御也表现优异。

ABSTRACT

Image classifiers based on deep neural networks suffer from harassment caused by adversarial examples. Two defects exist in black-box iterative attacks that generate adversarial examples by incrementally adjusting the noise-adding direction for each step. On the one hand, existing iterative attacks add noises monotonically along the direction of gradient ascent, resulting in a lack of diversity and adaptability of the generated iterative trajectories. On the other hand, it is trivial to perform adversarial attack by adding excessive noises, but currently there is no refinement mechanism to squeeze redundant noises. In this work, we propose Curls & Whey black-box attack to fix the above two defects. During Curls iteration, by combining gradient ascent and descent, we `curl' up iterative trajectories to integrate more diversity and transferability into adversarial examples. Curls iteration also alleviates the diminishing marginal effect in existing iterative attacks. The Whey optimization further squeezes the `whey' of noises by exploiting the robustness of adversarial perturbation. Extensive experiments on Imagenet and Tiny-Imagenet demonstrate that our approach achieves impressive decrease on noise magnitude in l2 norm. Curls & Whey attack also shows promising transferability against ensemble models as well as adversarially trained models. In addition, we extend our attack to the targeted misclassification, effectively reducing the difficulty of targeted attacks under black-box condition.

研究动机与目标

• 为解决现有黑盒迭代攻击缺乏多样性与适应性的问题，这些方法单调地遵循梯度上升。
• 减少对抗样本中的冗余噪声，而当前方法在增加迭代次数后仍无法有效精炼噪声。
• 提升对抗样本对高度异构模型（包括对抗训练模型与集成模型）的迁移性。
• 通过在迭代过程中引入插值，使定向黑盒攻击更加高效。

提出的方法

• Curls 迭代在替代模型损失上交替执行梯度上升与下降，生成螺旋状轨迹，从而提升多样性并增强边界穿越能力。
• 在 Curls 迭代中使用二分查找，将对抗样本更精确地逼近决策边界，从而降低噪声幅度。
• Whey 优化通过按像素值分组并随机蒸馏冗余噪声，利用对抗扰动的鲁棒性来实现噪声精炼。
• 将插值整合到迭代过程中，引导攻击向目标类别推进，从而降低定向误分类的难度。
• 该方法使用替代模型在查询约束下生成对抗样本，随后通过后迭代优化进行精炼。

实验结果

研究问题

• RQ1 在迭代攻击中结合梯度上升与下降是否能提升轨迹多样性与对抗样本的迁移性？
• RQ2 能否通过利用扰动鲁棒性的精炼机制，有效减少对抗噪声？
• RQ3 在迭代攻击中集成插值是否能显著降低定向黑盒攻击的难度？
• RQ4 Curls & Whey 在面对如对抗训练和模型集成等强防御机制时表现如何？

主要发现

• 在对 Inception-v3 进行攻击时，Curls & Whey 在 Tiny-ImageNet 上实现了 2.0633 的中位 ℓ2 范数，显著低于基线方法。
• 在对抗训练模型上，Curls & Whey 保持了 2.0633（Inception-v3）和 2.2852（Inception-ResNet-v2）的中位 ℓ2 范数，优于所有基线方法。
• 在相同查询预算下，与 I-FGSM 和边界攻击相比，该方法可将噪声幅度降低高达 40%。
• 消融实验表明，Curls 迭代、二分查找和 Whey 优化各组件均对噪声减少有贡献。
• 插值的集成使定向攻击能够以更低的 ℓ2 范数成功执行，显著优于标准迭代方法。