[论文解读] DaST: Data-free Substitute Training for Adversarial Attacks

Mingyi Zhou, Jing Wu+3 more|arXiv (Cornell University)|Mar 28, 2020

Adversarial Robustness in Machine Learning参考文献 41被引用 13

一句话总结

DaST 提出了一种无需真实数据的对抗性攻击替代训练方法，利用生成对抗网络（GAN）合成多样化、标签可控的训练样本。该方法在在线 Azure 模型上实现了 98.35% 的攻击成功率，首次实现了具备强迁移能力与实际应用价值的数据无关替代模型训练。

ABSTRACT

Machine learning models are vulnerable to adversarial examples. For the black-box setting, current substitute attacks need pre-trained models to generate adversarial examples. However, pre-trained models are hard to obtain in real-world tasks. In this paper, we propose a data-free substitute training method (DaST) to obtain substitute models for adversarial black-box attacks without the requirement of any real data. To achieve this, DaST utilizes specially designed generative adversarial networks (GANs) to train the substitute models. In particular, we design a multi-branch architecture and label-control loss for the generative model to deal with the uneven distribution of synthetic samples. The substitute model is then trained by the synthetic samples generated by the generative model, which are labeled by the attacked model subsequently. The experiments demonstrate the substitute models produced by DaST can achieve competitive performance compared with the baseline models which are trained by the same train set with attacked models. Additionally, to evaluate the practicability of the proposed method on the real-world task, we attack an online machine learning model on the Microsoft Azure platform. The remote model misclassifies 98.35% of the adversarial examples crafted by our method. To the best of our knowledge, we are the first to train a substitute model for adversarial attacks without any real data.

研究动机与目标

• 开发一种无需任何真实训练数据的黑盒对抗性攻击替代模型训练方法。
• 解决在无真实数据条件下 GAN 生成的合成样本中类别分布不均的问题。
• 仅通过训练期间的模型查询，实现对现实世界在线机器学习模型的有效对抗性攻击。
• 在仅概率输出和仅标签输出的黑盒攻击场景下评估该方法。
• 证明完全基于合成数据训练的替代模型在实际场景中的可行性与鲁棒性。

提出的方法

• 采用多分支 GAN 架构，生成具有可控标签分布的合成数据。
• 引入标签控制损失，确保生成样本中各类别分布均衡且覆盖全面。
• 在通过目标模型推理获得标签的合成数据上训练替代模型。
• 采用两阶段训练流程：首先，GAN 生成多样化的合成样本；其次，替代模型在这些查询标签样本上进行训练。
• 通过适配查询接口以匹配目标模型的输出类型，同时支持仅概率输出和仅标签输出的攻击场景。
• 在替代模型上使用基于梯度的攻击方法（如 FGSM、BIM、PGD）生成可迁移的对抗性样本。

实验结果

研究问题

• RQ1 能否在完全无真实数据的情况下有效训练替代模型用于对抗性攻击？
• RQ2 所提出的标签控制损失与多分支 GAN 在缓解合成数据中类别不平衡问题方面效果如何？
• RQ3 与基线方法相比，DaST 在现实世界在线模型上的攻击成功率如何？
• RQ4 DaST 在仅概率输出和仅标签输出的黑盒攻击设置下表现如何？
• RQ5 即使仅在合成数据上训练，DaST 是否仍能实现对真实模型的高迁移性？

主要发现

• DaST 在使用仅标签查询的 Microsoft Azure 在线机器学习模型上实现了 98.35% 的攻击成功率。
• 在 MNIST 数据集上，使用 DaST-L（仅标签）训练的替代模型表现优于使用 DaST-P（仅概率）训练的模型，准确率达到 90.75%。
• 在非目标 PGD 攻击中，DaST-L 的攻击成功率比基于真实数据训练的基线方法高出 37.74%。
• 该方法在训练过程中经过 2000 万次查询后收敛，DaST-L 的攻击成功率在 2000 万次查询后趋于稳定。
• DaST 生成的对抗性样本扰动极小（例如，距离 ≈ 4.72），与基于查询的攻击相当，但评估阶段无需查询。
• 可视化结果表明，合成样本具有多样性，且对抗性样本在人眼难以察觉，证明了数据生成与攻击迁移的有效性。