[论文解读] Towards Lightweight Black-Box Attacks against Deep Neural Networks

Chenghao Sun, Yonggang Zhang+6 more|arXiv (Cornell University)|Sep 29, 2022

Adversarial Robustness in Machine Learning被引用 5

一句话总结

本文提出了一种轻量级黑盒攻击方法，仅需每类一个图像，通过利用在极小数据上训练的深度神经网络（DNN）的浅层，成功生成对抗性样本。该方法提出误差转换器（Error TransFormer, ETF），将参数空间中的近似误差转化为特征空间扰动，在仅使用每类一个样本的情况下，实现了全数据黑盒攻击97%的攻击成功率。

ABSTRACT

Black-box attacks can generate adversarial examples without accessing the parameters of target model, largely exacerbating the threats of deployed deep neural networks (DNNs). However, previous works state that black-box attacks fail to mislead target models when their training data and outputs are inaccessible. In this work, we argue that black-box attacks can pose practical attacks in this extremely restrictive scenario where only several test samples are available. Specifically, we find that attacking the shallow layers of DNNs trained on a few test samples can generate powerful adversarial examples. As only a few samples are required, we refer to these attacks as lightweight black-box attacks. The main challenge to promoting lightweight attacks is to mitigate the adverse impact caused by the approximation error of shallow layers. As it is hard to mitigate the approximation error with few available samples, we propose Error TransFormer (ETF) for lightweight attacks. Namely, ETF transforms the approximation error in the parameter space into a perturbation in the feature space and alleviates the error by disturbing features. In experiments, lightweight black-box attacks with the proposed ETF achieve surprising results. For example, even if only 1 sample per category available, the attack success rate in lightweight black-box attacks is only about 3% lower than that of the black-box attacks with complete training data.

研究动机与目标

• 探究在无盒设置下黑盒攻击是否可行，即仅能访问少量测试样本，而无法获取训练数据或模型输出。
• 解决在极小数据上训练的代理模型中，特别是深度神经网络（DNN）浅层中的高近似误差问题。
• 开发一种方法，通过将参数空间误差转化为特征空间扰动，减轻有限数据对攻击效果的影响。
• 证明轻量级黑盒攻击在真实场景中可实现与全数据黑盒攻击近乎相当的性能。

提出的方法

• 利用DNN的浅层，这些浅层在仅用少量样本训练时仍保持稳定和泛化能力，以构建轻量级代理模型。
• 提出误差转换器（Error TransFormer, ETF），一种最小-最大框架，将参数空间中的近似误差映射为最坏情况的特征空间扰动。
• 采用特征空间优化方案，生成在最坏情况特征扰动下仍能最大化欺骗性的对抗性样本。
• 在缺乏监督信息时，利用对比学习和自监督预训练，在无标签或分布外（OOD）数据上训练代理模型。
• 将ETF框架应用于监督和无监督设置，包括分布外数据，以保持高攻击成功率。
• 采用最小-最大公式，生成对由模型近似误差引起的最坏情况特征扰动具有鲁棒性的对抗性样本。

实验结果

研究问题

• RQ1 在仅能访问少量测试样本且无法获取训练数据或模型输出的无盒设置下，黑盒攻击是否仍具有效性？
• RQ2 为何DNN的浅层在训练数据有限的情况下仍适合用于轻量级黑盒攻击？
• RQ3 如何有效缓解在极小数据上训练的代理模型中的近似误差，以提升攻击成功率？
• RQ4 所提出的ETF方法在无监督或分布外（OOD）数据设置下是否能保持高攻击性能？
• RQ5 在仅使用每类一个样本的情况下，轻量级黑盒攻击在多大程度上可与全数据黑盒攻击性能相当？

主要发现

• 仅使用每类一个图像时，轻量级黑盒攻击的攻击成功率仅比全数据黑盒攻击低3%。
• 所提出的误差转换器（ETF）方法通过将近似误差转化为特征空间扰动，有效缓解了在极小数据上训练的代理模型中的误差。
• ETF在无监督设置下仍保持强大性能，在有监督与无监督信息下均实现了相近的攻击成功率。
• 该方法在使用分布外数据（如STL-10）预训练的模型上依然有效，证明了其对分布偏移的鲁棒性。
• 在七个ImageNet模型上的实验表明，结合ETF的轻量级攻击在无盒设置下显著优于现有黑盒攻击方法。
• 即使在极小数据条件下，该方法在多种架构（包括VGG19、ResNet-152、DenseNet和MobileNet）上仍保持高攻击成功率。