[论文解读] Structure Invariant Transformation for better Adversarial Transferability

Xiaosen Wang, Zeliang Zhang+1 more|arXiv (Cornell University)|Sep 26, 2023

Adversarial Robustness in Machine Learning被引用 5

一句话总结

该论文提出结构不变攻击（SIA），一种基于输入变换的新型对抗性攻击方法，通过在图像块上局部应用多样化变换同时保持全局结构，提升了迁移性。通过在多个块级变换图像上计算梯度，SIA在CNN和视觉Transformer模型上均实现了最先进（SOTA）的迁移性，在ImageNet上的性能相比先前方法最高提升7.6%。

ABSTRACT

Given the severe vulnerability of Deep Neural Networks (DNNs) against adversarial examples, there is an urgent need for an effective adversarial attack to identify the deficiencies of DNNs in security-sensitive applications. As one of the prevalent black-box adversarial attacks, the existing transfer-based attacks still cannot achieve comparable performance with the white-box attacks. Among these, input transformation based attacks have shown remarkable effectiveness in boosting transferability. In this work, we find that the existing input transformation based attacks transform the input image globally, resulting in limited diversity of the transformed images. We postulate that the more diverse transformed images result in better transferability. Thus, we investigate how to locally apply various transformations onto the input image to improve such diversity while preserving the structure of image. To this end, we propose a novel input transformation based attack, called Structure Invariant Attack (SIA), which applies a random image transformation onto each image block to craft a set of diverse images for gradient calculation. Extensive experiments on the standard ImageNet dataset demonstrate that SIA exhibits much better transferability than the existing SOTA input transformation based attacks on CNN-based and transformer-based models, showing its generality and superiority in boosting transferability. Code is available at https://github.com/xiaosen-wang/SIT.

研究动机与目标

• 为解决现有黑盒对抗性攻击（尤其是基于输入变换的方法）迁移性有限的问题。
• 探究增加变换图像多样性是否能提升对抗性迁移性。
• 设计一种新的图像变换策略，在不破坏全局图像结构的前提下提升多样性。
• 开发一种基于梯度的攻击方法，利用多个多样化变换图像以提升迁移性。
• 在包括视觉Transformer在内的多种架构上验证所提方法的有效性与泛化能力。

提出的方法

• 该方法将输入图像划分为非重叠的空间块（例如3×3），以支持局部变换。
• 每个图像块独立地使用随机组合的缩放、缩放、平移和混合操作进行变换。
• 攻击在N个此类块级变换图像上计算梯度，并对梯度进行平均以降低方差。
• 使用平均梯度更新扰动，从而在保持结构一致性的同时提升多样性。
• 变换策略旨在保持全局物体结构，同时最大化各块之间的局部差异。
• 该方法在黑盒设置下应用，仅需对目标模型进行查询访问。

实验结果

研究问题

• RQ1 增加变换图像的多样性是否能带来更好的对抗性迁移性？
• RQ2 局部块级图像变换能否在保持结构完整性的同时增强多样性，从而提升攻击性能？
• RQ3 图像块数量和变换图像数量如何影响梯度质量和攻击成功率？
• RQ4 所提方法在CNN和视觉Transformer模型上是否优于基于全局变换的攻击方法？
• RQ5 每种单独的变换类型对整体迁移性提升的贡献如何？

主要发现

• SIA在ResNet-18上的攻击成功率比MI-FGSM高出7.6%，证明了其卓越的迁移性。
• SIA在所有评估模型（包括视觉Transformer）上均优于SOTA方法（如Admix和SSA）。
• 结合多种变换可提升攻击成功率，证实了其互补优势。
• 移除任意一种变换类型均会降低迁移性，表明每种变换类型对整体性能均有显著贡献。
• 当s=3个块且N=20张变换图像时，SIA在多样性与梯度方差之间达到最佳平衡。
• SIA显著优于随机全局变换基线（SIA_r），证明了块级处理的优势。