[论文解读] RED-Attack: Resource Efficient Decision based Attack for Machine Learning

Faiq Khalid, Hassan Ali+4 more|arXiv (Cornell University)|Jan 29, 2019

Adversarial Robustness in Machine Learning参考文献 14被引用 13

一句话总结

该论文提出RED-Attack，一种资源高效的基于决策的对抗攻击方法，通过使用半区间搜索估计分类边界，并采用自适应扰动优化以实现不可察觉性，显著降低了查询消耗。在CIFAR-10和GTSR数据集上，1,000次查询内，其相比基线决策型攻击实现了96.1%的扰动范数降低、71.7%的结构相似性提升以及203%更高的与干净图像的相关性。

ABSTRACT

Due to data dependency and model leakage properties, Deep Neural Networks (DNNs) exhibit several security vulnerabilities. Several security attacks exploited them but most of them require the output probability vector. These attacks can be mitigated by concealing the output probability vector. To address this limitation, decision-based attacks have been proposed which can estimate the model but they require several thousand queries to generate a single untargeted attack image. However, in real-time attacks, resources and attack time are very crucial parameters. Therefore, in resource-constrained systems, e.g., autonomous vehicles where an untargeted attack can have a catastrophic effect, these attacks may not work efficiently. To address this limitation, we propose a resource efficient decision-based methodology which generates the imperceptible attack, i.e., the RED-Attack, for a given black-box model. The proposed methodology follows two main steps to generate the imperceptible attack, i.e., classification boundary estimation and adversarial noise optimization. Firstly, we propose a half-interval search-based algorithm for estimating a sample on the classification boundary using a target image and a randomly selected image from another class. Secondly, we propose an optimization algorithm which first, introduces a small perturbation in some randomly selected pixels of the estimated sample. Then to ensure imperceptibility, it optimizes the distance between the perturbed and target samples. For illustration, we evaluate it for CFAR-10 and German Traffic Sign Recognition (GTSR) using state-of-the-art networks.

研究动机与目标

• 解决现有基于决策的攻击方法查询成本过高的问题，这些方法通常需要超过10,000次查询，在自动驾驶等实时、资源受限系统中不切实际。
• 开发一种在严格查询限制下生成不可察觉对抗样本的方法，且不依赖模型的概率输出。
• 在仅能访问最终类别标签（威胁模型III）的黑盒环境中，提升收敛速度和扰动质量。
• 在模型防御机制掩盖概率分布、导致基于概率的攻击失效的场景中，实现有效攻击。

提出的方法

• 提出一种基于半区间搜索的算法，利用目标图像和另一类别中随机选取的图像，估计分类边界上的一个点。
• 引入一种优化框架，对边界估计样本的像素施加小而自适应的扰动，以生成对抗样本。
• 采用距离优化机制，最小化扰动图像与原始源图像之间的L2范数，确保不可察觉性。
• 在边界搜索过程中采用二元步进策略，以减少查询开销并加速收敛。
• 在攻击过程中动态调整超参数（θ, n, δ_min），以提升收敛性和鲁棒性。
• 采用查询高效的更新机制，通过聚焦于高影响力像素修改，避免冗余查询。

实验结果

研究问题

• RQ1 基于决策的对抗攻击是否能在显著少于现有方法的查询次数下，生成高质量的对抗样本？
• RQ2 所提出的半区间搜索策略在收敛速度和查询效率方面，与随机搜索相比表现如何？
• RQ3 在有限的查询预算下，所提出的优化框架在提升SSIM和相关性等不可察觉性指标方面，效果如何？
• RQ4 该攻击在多种数据集和模型架构上是否保持有效性，包括GTSR等安全关键基准？

主要发现

• 在最多1,000次查询的限制下，RED-Attack在CIFAR-10和GTSR数据集上相比基线决策型攻击，将扰动范数降低了96.1%。
• RED-Attack生成的对抗样本的结构相似性指数（SSI）相比基线提升了71.7%，表明其视觉保真度更高。
• 在相同查询限制下，对抗样本与干净图像之间的相关系数提高了203%，证实其与原始输入的相似性更强。
• RED-Attack在1,000次查询预算内，成功为CIFAR-10和GTSR数据集上所有测试图像生成了误分类的对抗样本。
• 该攻击在GTSRB上的收敛速度优于CIFAR-10，归因于GTSRB类别数量更多，可能为优化提供了更多方向性线索。
• 尽管在无限查询条件下（如100,000次），基于决策的攻击最终会超越RED-Attack，但在对实时系统至关重要的查询受限环境中，RED-Attack表现更优。