[论文解读] Perceptual Quality-preserving Black-Box Attack against Deep Learning Image Classifiers

Diego Gragnaniello, Francesco Marra+2 more|arXiv (Cornell University)|Feb 20, 2019

Adversarial Robustness in Machine Learning被引用 6

一句话总结

本文提出了一种感知质量保持（PQP）的黑盒攻击方法，用于深度学习图像分类器，该方法仅在低SSIM梯度区域注入对抗性噪声——这些区域的扰动对图像质量影响最小，但对分类结果影响最大。通过利用轻量级CNN高效计算SSIM梯度，并将扰动限制在8位整数格式内，该方法在保持极低失真度的同时实现了高攻击成功率，在基准数据集和真实世界生物识别系统中均优于现有方法。

ABSTRACT

Deep neural networks provide unprecedented performance in all image classification problems, taking advantage of huge amounts of data available for training. Recent studies, however, have shown their vulnerability to adversarial attacks, spawning an intense research effort in this field. With the aim of building better systems, new countermeasures and stronger attacks are proposed by the day. On the attacker's side, there is growing interest for the realistic black-box scenario, in which the user has no access to the neural network parameters. The problem is to design efficient attacks which mislead the neural network without compromising image quality. In this work, we propose to perform the black-box attack along a low-distortion path, so as to improve both the attack efficiency and the perceptual quality of the adversarial image. Numerical experiments on real-world systems prove the effectiveness of the proposed approach, both in benchmark classification tasks and in key applications in biometrics and forensics.

研究动机与目标

• 开发一种黑盒对抗攻击方法，在保持高感知质量的同时实现强攻击成功率。
• 识别并利用扰动对视觉影响小但对分类影响大的图像区域。
• 实现在仅接受8位整数图像格式（如PNG、JPG）的真实系统上的有效攻击。
• 在保持自然外观对抗样本的同时降低查询复杂度，尤其适用于半自动生物识别系统。
• 在不牺牲攻击效率或图像质量的前提下，提升对防御策略的鲁棒性。

提出的方法

• 该方法基于结构相似性指数（SSIM）的梯度选择扰动方向，识别感知失真度低的区域。
• 训练一个专用的轻量级CNN，通过反向传播高效计算SSIM梯度，实现实时梯度估计且计算成本极低。
• 将对抗性扰动限制在SSIM梯度幅值较低的图像区域，以确保最小视觉失真。
• 攻击采用基于查询的优化策略，通过有限差分法进行梯度估计，适用于黑盒场景。
• 所有扰动和查询均限制在8位整数范围内，以确保与常见图像格式和真实系统兼容。
• 通过改进的梯度上升方法迭代优化攻击，针对特定误分类目标实现高置信度攻击。

实验结果

研究问题

• RQ1 通过针对SSIM梯度较低的图像区域，能否使对抗攻击更有效且更不易被察觉？
• RQ2 能否使用轻量级CNN高效计算SSIM梯度，以实现实时黑盒攻击中的应用？
• RQ3 将扰动限制在低SSIM梯度区域，是否能在不降低攻击成功率的前提下提升感知质量？
• RQ4 在8位整数图像格式和防御机制等真实世界约束下，该方法的性能表现如何？
• RQ5 在查询效率、攻击成功率和图像质量指标方面，该方法能否优于现有基于查询的黑盒攻击？

主要发现

• 在ImageNet-1K基准数据集上，PQP以仅18,244次查询实现了100%的攻击成功率，查询效率和SSIM（0.973）均优于I-FGSM（WB）和IFD（0.968和0.964）。
• 在MCS2018人脸验证数据集上，PQP以14,620次查询实现了100%的攻击成功率，SSIM达0.977，显著优于IGE-QR-RG（SSIM 0.912）和IFD（SSIM 0.964）。
• 视觉分析表明，PQP生成的对抗图像即使在强噪声下也表现出极低失真，无不自然图案，而其他方法则引入了明显的伪影和色彩失真。
• PQP在所有测试条件下均保持了高感知质量，PSNR值高于35.0，PIQE得分低于15.24，表明失真度低且外观自然。
• 即使在防御策略和8位整数约束下，PQP仍保持强劲性能，展现出良好的鲁棒性和实际适用性。
• 在MCS2018数据集上，当γ=1.0时，PQP的PIQE得分为13.44，显著优于其他方法（如I-FGSM为23.16，IFD为22.34），表明其感知质量更优。