[论文解读] There are No Bit Parts for Sign Bits in Black-Box Attacks

Abdullah Al-Dujaili, Una-May O’Reilly|arXiv (Cornell University)|Feb 19, 2019

Adversarial Robustness in Machine Learning参考文献 36被引用 14

一句话总结

该论文提出了SignHunter，一种新颖的黑盒对抗攻击方法，仅估计梯度的符号而非其大小，实现了最先进的查询效率。通过将对抗攻击重新表述为通过最小化汉明距离的二值优化问题，SignHunter降低了查询复杂度，在MNIST、CIFAR10和ImageNet上使用10,000次查询/次攻击时，失败率降低了3.8倍，查询次数减少了2.5倍。

ABSTRACT

We present a black-box adversarial attack algorithm which sets new state-of-the-art model evasion rates for query efficiency in the $\ell_\infty$ and $\ell_2$ metrics, where only loss-oracle access to the model is available. On two public black-box attack challenges, the algorithm achieves the highest evasion rate, surpassing all of the submitted attacks. Similar performance is observed on a model that is secure against substitute-model attacks. For standard models trained on the MNIST, CIFAR10, and IMAGENET datasets, averaged over the datasets and metrics, the algorithm is 3.8x less failure-prone, and spends in total 2.5x fewer queries than the current state-of-the-art attacks combined given a budget of 10, 000 queries per attack attempt. Notably, it requires no hyperparameter tuning or any data/time-dependent prior. The algorithm exploits a new approach, namely sign-based rather than magnitude-based gradient estimation. This shifts the estimation from continuous to binary black-box optimization. With three properties of the directional derivative, we examine three approaches to adversarial attacks. This yields a superior algorithm breaking a standard MNIST model using just 12 queries on average!

研究动机与目标

• 解决现有依赖连续梯度估计的黑盒对抗攻击所面临的高查询复杂度问题。
• 探究仅估计梯度符号是否能在显著减少查询次数的前提下实现相当或更优的对抗成功率。
• 开发一种查询高效、无需超参数调整的黑盒攻击方法，且不依赖数据相关先验信息或梯度访问。
• 通过将对抗攻击视为基于符号的二值搜索问题，在零阶优化中建立新范式。

提出的方法

• 将黑盒对抗攻击重新表述为最小化与真实梯度符号向量的汉明距离，实现从连续优化到二值优化的转变。
• 利用方向导数的三个性质——可分性、对称性和单调性——设计高效的符号估计方法。
• 基于可分性采用分治策略，将搜索空间从2^n减少到O(n)个符号向量。
• 使用损失查询的有限差分近似来估计方向导数，并推断梯度符号位。
• 引入汉明距离预言机，以最少的查询引导搜索朝向正确的符号模式。
• 采用查询预算感知的自适应策略，优先选择对损失变化影响最大的坐标。

实验结果

研究问题

• RQ1 仅依靠梯度符号估计是否能在显著减少查询次数的前提下实现与基于梯度大小估计相当的高对抗成功率？
• RQ2 基于符号的黑盒攻击是否在查询效率和逃逸率两方面均优于现有SOTA方法？
• RQ3 一种避免超参数调优和数据依赖先验信息的方法是否仍能在黑盒攻击中实现优异性能？
• RQ4 基于符号的梯度估计在对抗攻击中的理论查询复杂度下限是多少？
• RQ5 在黑盒约束条件下，基于符号的攻击性能与需要完整梯度访问的全梯度方法（如FGSM）相比如何？

主要发现

• SignHunter在两个公开的黑盒对抗攻击挑战中取得了最高的逃逸率，超越了所有提交的攻击方法。
• 在MNIST、CIFAR10和ImageNet的标准模型上，SignHunter在10,000次查询预算下，相比SOTA方法失败率降低3.8倍，总查询次数减少2.5倍。
• 该算法平均仅用12次查询即可成功欺骗标准MNIST模型，优于需要完整梯度访问的FGSM。
• SignHunter无需超参数调优或依赖数据/时间的先验信息，具有良好的鲁棒性且易于部署。
• 即使在针对替代模型攻击加固的模型上，该方法仍保持高性能，展现出强大的泛化能力。
• 随着查询次数的增加，估计梯度符号与真实梯度符号之间的汉明相似度迅速提升，证实了符号恢复的有效性。