[论文解读] Switching Gradient Directions for Query-Efficient Black-Box Adversarial Attacks.

Chen Ma, Shuyu Cheng+2 more|arXiv (Cornell University)|Sep 15, 2020

Adversarial Robustness in Machine Learning参考文献 37被引用 4

一句话总结

本文提出 SWITCH，一种查询高效的黑箱对抗攻击方法，通过使用替代模型梯度和随机搜索动态切换梯度方向以改进优化。通过仅使用查询来决定何时切换方向——从不用于估计梯度——SWITCH 在 ℓ₂ 和 ℓ∞ 范数下实现了最先进性能，在 CIFAR-10、CIFAR-100 和 TinyImageNet 上优于 10 种最先进攻击方法，实现了前所未有的查询效率。

ABSTRACT

We propose a simple and highly query-efficient black-box adversarial attack named SWITCH, which has a state-of-the-art performance under $\ell_2$ and $\ell_\infty$ norms in the score-based setting. In the black box attack setting, designing query-efficient attacks remains an open problem. The high query efficiency of the proposed approach stems from the combination of transfer-based attacks and random-search-based ones. The surrogate model's gradient $\hat{\mathbf{g}}$ is exploited for the guidance, which is then switched if our algorithm detects that it does not point to the adversarial region by using a query, thereby keeping the objective loss function of the target model rising as much as possible. Two switch operations are available, i.e., SWITCH$_ ext{neg}$ and SWITCH$_ ext{rnd}$. SWITCH$_ ext{neg}$ takes $-\hat{\mathbf{g}}$ as the new direction, which is reasonable under an approximate local linearity assumption. SWITCH$_ ext{rnd}$ computes the gradient from another model, which is randomly selected from a large model set, to help bypass the potential obstacle in optimization. Experimental results show that these strategies boost the optimization process whereas following the original surrogate gradients does not work. In SWITCH, no query is used to estimate the gradient, and all the queries aim to determine whether to switch directions, resulting in unprecedented query efficiency. We demonstrate that our approach outperforms 10 state-of-the-art attacks on CIFAR-10, CIFAR-100 and TinyImageNet datasets. SWITCH can serve as a strong baseline for future black-box attacks. The PyTorch source code is released in this https URL .

研究动机与目标

• 为解决在基于得分的设定下设计查询高效黑箱对抗攻击的挑战。
• 通过结合基于迁移和基于随机搜索的策略，提升黑箱攻击中的优化效率。
• 通过避免通过查询进行梯度估计，减少生成对抗样本所需的查询次数。
• 开发一种方法，在当前梯度方向无法降低损失时，基于查询反馈智能切换梯度方向。
• 在多个基准数据集上建立查询高效黑箱对抗攻击的新最先进基线。

提出的方法

• SWITCH 使用替代模型获取初始梯度方向，以引导攻击朝着目标模型的方向进行。
• 采用两种切换机制：SWITCH_neg 将梯度翻转为 −ĝ，SWITCH_rnd 从大规模集成中随机选择的模型中采样新梯度。
• 该算法使用单个查询来判断当前梯度方向是否无效，若损失未下降则触发切换。
• 所有查询仅用于方向切换的决策，不用于梯度估计，从而最大化查询效率。
• 该方法基于近似局部线性的假设，当原始方向变得无效率时，使用 −ĝ 是合理的。
• 该方法旨在切换时尽可能保持目标损失上升，以确保持续向对抗样本推进。

实验结果

研究问题

• RQ1 动态切换梯度方向是否能提升黑箱对抗攻击中的查询效率？
• RQ2 当替代梯度失效时，切换到 −ĝ 或从另一模型中随机采样梯度是否有助于绕过优化障碍？
• RQ3 是否可以避免梯度估计查询，同时保持或提升攻击成功率？
• RQ4 SWITCH 在不同数据集上的查询效率和攻击成功率方面，与现有最先进攻击相比如何？
• RQ5 SWITCH 是否可作为未来黑箱攻击研究中强大且可泛化的基线？

主要发现

• SWITCH 在基于得分的黑箱攻击设定下，于 ℓ₂ 和 ℓ∞ 范数下均实现了最先进性能。
• 该方法在查询效率和攻击成功率方面显著优于 CIFAR-10、CIFAR-100 和 TinyImageNet 上的 10 种现有最先进攻击方法。
• 通过仅使用查询来决定何时切换方向，SWITCH 实现了前所未有的查询效率，且无查询用于梯度估计。
• SWITCH_neg 和 SWITCH_rnd 策略均提升了优化效果，其中 SWITCH_rnd 在逃离局部极小值方面尤为有效。
• 实验结果证实，若不进行切换而始终沿用原始替代梯度，性能表现极差，验证了动态方向切换的必要性。
• SWITCH 的 PyTorch 代码已发布，支持可复现性，并可作为黑箱攻击研究中新最先进基线被采用。