[论文解读] Local Black-box Adversarial Attacks: A Query Efficient Approach

Tao Xiang, Hangcheng Liu+3 more|arXiv (Cornell University)|Jan 4, 2021

Adversarial Robustness in Machine Learning参考文献 38被引用 12

一句话总结

该论文提出了一种查询高效的黑箱对抗攻击框架，通过利用模型解释的可迁移性与对抗性样本，仅针对图像中具有判别性的区域进行攻击。通过参考模型的Grad-CAM识别关键特征，并利用可迁移的对抗性噪声进行预扰动，该方法将查询成本最高降低50%，同时在查询次数有限的情况下仍保持超过98%的高攻击成功率。

ABSTRACT

Adversarial attacks have threatened the application of deep neural networks in security-sensitive scenarios. Most existing black-box attacks fool the target model by interacting with it many times and producing global perturbations. However, global perturbations change the smooth and insignificant background, which not only makes the perturbation more easily be perceived but also increases the query overhead. In this paper, we propose a novel framework to perturb the discriminative areas of clean examples only within limited queries in black-box attacks. Our framework is constructed based on two types of transferability. The first one is the transferability of model interpretations. Based on this property, we identify the discriminative areas of a given clean example easily for local perturbations. The second is the transferability of adversarial examples. It helps us to produce a local pre-perturbation for improving query efficiency. After identifying the discriminative areas and pre-perturbing, we generate the final adversarial examples from the pre-perturbed example by querying the targeted model with two kinds of black-box attack techniques, i.e., gradient estimation and random search. We conduct extensive experiments to show that our framework can significantly improve the query efficiency during black-box perturbing with a high attack success rate. Experimental results show that our attacks outperform state-of-the-art black-box attacks under various system settings.

研究动机与目标

• 解决全局黑箱攻击中因扰动所有像素而导致的高查询成本与视觉隐蔽性差的问题。
• 在无需白盒访问或昂贵分割模型的情况下，实现在黑箱设置下的局部对抗攻击。
• 通过利用模型解释与对抗性样本的可迁移性，提升查询效率。
• 通过有针对性的局部扰动实现高攻击成功率，同时最小化可察觉的扰动。
• 提供一种实用、高效且隐蔽的黑箱攻击框架，适用于现实世界中的基于API的威胁场景。

提出的方法

• 使用参考模型的Grad-CAM识别判别性图像区域，无需访问目标模型的内部参数。
• 通过在参考模型上生成预扰动样本，利用对抗性样本的可迁移性，将攻击初始化在接近目标模型决策边界的区域。
• 在预扰动样本上应用两种基于查询的攻击技术——梯度估计与随机搜索，以生成最终的对抗性样本。
• 结合判别性区域定位与对抗性预扰动，减少跨越决策边界所需的查询次数。
• 当存在多个参考模型时，使用多个参考模型的二值化图的并集来定义鲁棒的判别区域。
• 采用改进的更新规则：$\mathbf{x}_{t+1} = \text{clip}(\mathbf{x}_t + \epsilon_1 \cdot (\text{sign}(\nabla_{\mathbf{x}_t}H) \otimes \text{sign}(UBM)))$，其中$H$聚合来自多个参考模型的logits，$UBM$为它们的二值化图的并集。

实验结果

研究问题

• RQ1 是否可以通过将扰动限制在判别性图像区域，提升黑箱攻击中的查询效率？
• RQ2 像Grad-CAM这样的模型解释技术能否有效从参考模型迁移到黑箱设置中，以识别判别性区域？
• RQ3 是否可以通过使用参考模型生成的对抗性样本对干净图像进行预扰动，从而减少欺骗目标模型所需的查询次数？
• RQ4 与最先进全局黑箱攻击相比，所提方法在查询效率与攻击成功率方面表现如何？
• RQ5 多个参考模型是否能进一步提升攻击的查询效率与鲁棒性？

主要发现

• 在使用ResNet-50作为参考模型时，该方法在ImageNet上仅用204次查询即实现98%的攻击成功率，优于GRS在成功率与查询效率方面的表现。
• 当使用更强的参考模型（ResNet-1000）时，攻击在仅71次查询内即达到100%成功率，表明该方法在参考模型性能提升时具有良好的可扩展性。
• 与基线全局攻击相比，该方法将查询次数最高降低50%，同时保持高攻击成功率。
• 即使使用性能较弱的参考模型（ResNet-50），该方法在426次查询下仍实现79%的成功率，表现出对参考模型质量有限的鲁棒性。
• 使用多个参考模型可提高生成初始对抗性样本并接近目标模型决策边界的概率，从而进一步提升效率。
• 该攻击生成的扰动在视觉上更优，避免了以往局部攻击中因对所有像素均匀扰动至(255,255,255)而产生的明显噪声模式。