[论文解读] PatchAttack: A Black-box Texture-based Attack with Reinforcement Learning

Chenglin Yang, Adam Kortylewski+3 more|arXiv (Cornell University)|Apr 12, 2020

Adversarial Robustness in Machine Learning参考文献 52被引用 12

一句话总结

PatchAttack 是一种查询高效的黑箱对抗攻击方法，利用强化学习优化纹理贴片，以实现对深度神经网络的定向与非定向误分类。通过从 VGG 特征图中学习类特定的纹理字典，并战略性地放置这些贴片，该方法在仅修改 ImageNet 图像 3% 的情况下，非定向攻击成功率超过 99%；在定向攻击中，平均修改比例低于 10%。

ABSTRACT

Patch-based attacks introduce a perceptible but localized change to the input that induces misclassification. A limitation of current patch-based black-box attacks is that they perform poorly for targeted attacks, and even for the less challenging non-targeted scenarios, they require a large number of queries. Our proposed PatchAttack is query efficient and can break models for both targeted and non-targeted attacks. PatchAttack induces misclassifications by superimposing small textured patches on the input image. We parametrize the appearance of these patches by a dictionary of class-specific textures. This texture dictionary is learned by clustering Gram matrices of feature activations from a VGG backbone. PatchAttack optimizes the position and texture parameters of each patch using reinforcement learning. Our experiments show that PatchAttack achieves > 99% success rate on ImageNet for a wide range of architectures, while only manipulating 3% of the image for non-targeted attacks and 10% on average for targeted attacks. Furthermore, we show that PatchAttack circumvents state-of-the-art adversarial defense methods successfully.

研究动机与目标

• 开发一种查询高效的黑箱贴片攻击方法，能够在定向与非定向误分类任务中均表现良好。
• 克服单色贴片攻击的局限性，后者在定向设置中因缺乏信息内容而失效。
• 设计一种基于纹理的贴片攻击方法，可绕过最先进的防御机制，包括特征去噪和形状偏好网络。
• 证明即使在训练为形状敏感的深度网络中，仍对局部化、可感知的基于纹理的扰动保持脆弱。

提出的方法

• 将贴片位置与纹理选择建模为强化学习（RL）决策过程，其中智能体与目标模型交互，以最大化误分类奖励。
• 通过聚类预训练 VGG 主干网络的特征激活的 Gram 矩阵，学习类特定的纹理字典，从而在真实纹理中实现高效搜索。
• 利用纹理字典对贴片外观进行参数化，使 RL 智能体能够探索多样化且语义有意义的纹理，而非随机或单色贴片。
• 使用策略梯度方法优化贴片位置与纹理，其中奖励为模型在目标类别上的误分类率。
• 将选定的纹理贴片叠加在输入图像的优化位置，生成对抗样本。
• 采用模拟循环：选择贴片位置与纹理 → 应用于图像 → 查询模型 → 获取奖励 → 更新策略。

实验结果

研究问题

• RQ1 与随机搜索或无梯度优化相比，基于强化学习的方法是否能显著提升黑箱贴片攻击的查询效率？
• RQ2 引入类特定纹理贴片是否能提升定向设置中的攻击成功率，而此类设置中单色贴片会失效？
• RQ3 基于纹理的贴片攻击是否能成功绕过最先进的防御机制，如特征去噪和形状偏好网络？
• RQ4 为实现高攻击成功率，需要修改输入图像的多大比例？该比例在定向与非定向设置中是否存在差异？

主要发现

• PatchAttack 在 ImageNet 上对定向与非定向攻击的准确率均超过 99%，显著优于先前工作。
• 对于非定向攻击，平均仅修改图像的 3%，且平均查询次数少于 1,000 次。
• 对于定向攻击，平均图像修改面积低于 10%，当图像修改比例为 10% 时，攻击成功率达 99.3%。
• PatchAttack 有效绕过了特征去噪防御机制，该机制对基于扰动的攻击具有显著防护效果，证明了其鲁棒性。
• 即使在针对 Stylized-ImageNet 训练的形状偏好网络上，PatchAttack 也将非定向攻击的准确率从 77.7% 降低至 0.5%，并在定向设置中将准确率提升至 100%，且仅使用极小的贴片区域。
• 该攻击仍保持高度高效：在定向设置中，当贴片区域为 10% 时，平均仅需 3,822 次查询；当遮挡面积为 10.31% 时，平均查询次数为 9,229 次。