[论文解读] GreedyFool: Distortion-Aware Sparse Adversarial Attack

Xiaoyi Dong, Dongdong Chen+6 more|arXiv (Cornell University)|Oct 26, 2020

Adversarial Robustness in Machine Learning参考文献 29被引用 12

一句话总结

GreedyFool 提出了一种两阶段、感知失真干扰的稀疏对抗攻击方法，通过结合基于梯度的像素选择与 GAN 生成的失真图进行位置引导，提升了稀疏性和隐蔽性。在相同预算下，其扰动像素数仅为 SparseFool 的 1/3，目标攻击成功率提高 9.96%，在稀疏性和隐蔽性方面均表现出更优性能。

ABSTRACT

Modern deep neural networks(DNNs) are vulnerable to adversarial samples. Sparse adversarial samples are a special branch of adversarial samples that can fool the target model by only perturbing a few pixels. The existence of the sparse adversarial attack points out that DNNs are much more vulnerable than people believed, which is also a new aspect for analyzing DNNs. However, current sparse adversarial attack methods still have some shortcomings on both sparsity and invisibility. In this paper, we propose a novel two-stage distortion-aware greedy-based method dubbed as "GreedyFool". Specifically, it first selects the most effective candidate positions to modify by considering both the gradient(for adversary) and the distortion map(for invisibility), then drops some less important points in the reduce stage. Experiments demonstrate that compared with the start-of-the-art method, we only need to modify $3 imes$ fewer pixels under the same sparse perturbation setting. For target attack, the success rate of our method is 9.96\% higher than the start-of-the-art method under the same pixel budget. Code can be found at https://github.com/LightDXY/GreedyFool.

研究动机与目标

• 解决现有稀疏对抗攻击在稀疏性和隐蔽性方面的局限性。
• 在保持高攻击成功率的前提下，减少扰动像素数量。
• 通过引入学习得到的失真图而非手工设计的度量标准，提升隐蔽性。
• 开发一种灵活的基于贪心策略的方法，动态选择并剪枝像素，以实现效果与稀疏性之间的最优权衡。

提出的方法

• 该方法采用两阶段贪心策略：首先基于梯度和失真图引导，迭代选择最有效的像素；然后在缩减阶段剪除不重要的像素。
• 通过 GAN 学习失真图，以建模图像特定的感知失真，引导像素选择向更不明显的扰动区域集中。
• 在第一阶段将失真图作为位置先验集成，以避免高失真区域，从而在不牺牲攻击成功率的前提下提升隐蔽性。
• 该攻击在 $ l_0 $-范数约束下运行，专注于最小化像素修改数量，同时保持对抗性成功。
• 该方法通过在每一步评估梯度幅值和失真成本，动态调整扰动集合。
• 通过改变噪声缩放百分位数分析方向敏感性，结果表明在稀疏攻击中，微小的方向变化会显著降低性能。

实验结果

研究问题

• RQ1 与现有方法相比，两阶段贪心方法是否能提升 $ l_0 $-约束对抗攻击的稀疏性？
• RQ2 引入学习得到的失真图如何影响稀疏对抗攻击的隐蔽性和成功率？
• RQ3 为何在稀疏攻击中扰动向量的方向比在稠密攻击中更敏感？
• RQ4 缩减阶段在不牺牲攻击成功率的前提下，能在多大程度上进一步提升稀疏性？
• RQ5 在稀疏性和目标攻击成功率两方面，该方法与最先进方法相比表现如何？

主要发现

• 在扰动阈值为 10 时，GreedyFool 在 ImageNet 上仅需 222.5 个扰动像素，而 SparseFool 需 615 个，稀疏性提升 3 倍。
• 在阈值为 255 时，GreedyFool 仅扰动 27 个像素，而 SparseFool 需 80.5 个像素，进一步证实其优越的稀疏性。
• 在 200 像素预算的目标攻击中，GreedyFool 成功率达 15.52%，比 PGD₀ 的 5.56% 提高 9.96 个百分点。
• 在 1000 像素预算下，GreedyFool 成功率达 84.86%，高于 PGD₀ 的 64.20%，表现出持续的优越性。
• 引入失真图后，分类器准确率从 75.65% 降至 68.50%，证实其在提升隐蔽性方面的作用，尽管伴随轻微性能下降。
• 方向敏感性分析显示，当噪声方向偏离至符号方向（q=100）时，扰动像素数增至 1149.39，接近最优情况（q=0）的两倍，凸显了梯度方向在稀疏攻击中的关键作用。