[论文解读] Training Meta-Surrogate Model for Transferable Adversarial Attack

Yunxiao Qin, Yuanhao Xiong+2 more|arXiv (Cornell University)|Sep 5, 2021

Adversarial Robustness in Machine Learning参考文献 47被引用 4

一句话总结

该论文提出Meta-Transfer Attack（MTA），一种新颖的框架，通过训练一个Meta-Surrogate Model（MSM）来生成更具迁移性的对抗性样本，以实现黑箱攻击。通过将问题建模为双层优化问题，并使用可微分的Customized PGD攻击器，MTA显著提升了迁移成功率——在对抗性训练模型上，其成功率最高比SGM-DI-PGD高出96.1%。

ABSTRACT

We consider adversarial attacks to a black-box model when no queries are allowed. In this setting, many methods directly attack surrogate models and transfer the obtained adversarial examples to fool the target model. Plenty of previous works investigated what kind of attacks to the surrogate model can generate more transferable adversarial examples, but their performances are still limited due to the mismatches between surrogate models and the target model. In this paper, we tackle this problem from a novel angle -- instead of using the original surrogate models, can we obtain a Meta-Surrogate Model (MSM) such that attacks to this model can be easier transferred to other models? We show that this goal can be mathematically formulated as a well-posed (bi-level-like) optimization problem and design a differentiable attacker to make training feasible. Given one or a set of surrogate models, our method can thus obtain an MSM such that adversarial examples generated on MSM enjoy eximious transferability. Comprehensive experiments on Cifar-10 and ImageNet demonstrate that by attacking the MSM, we can obtain stronger transferable adversarial examples to fool black-box models including adversarially trained ones, with much higher success rates than existing methods. The proposed method reveals significant security challenges of deep models and is promising to be served as a state-of-the-art benchmark for evaluating the robustness of deep models in the black-box setting.

研究动机与目标

• 为解决在不允许查询的黑箱设置下，对抗性攻击迁移能力有限的问题。
• 探究通过学习得到的Meta-Surrogate Model（MSM）是否能在生成可迁移对抗性样本方面优于标准的代理模型。
• 开发一种可微分的、端到端的训练流程，以最大化MSM对未见目标模型的迁移能力。
• 通过提供更强的、无需查询的黑箱攻击基准，提升深度模型的鲁棒性评估。

提出的方法

• 将MSM的训练建模为双层优化问题，通过展开在MSM上的攻击过程，并优化其对目标模型的迁移能力。
• 引入一种Customized PGD攻击器，通过使用反正切（arctan）和Sigmoid函数对离散的sign和ReLU操作进行可微分近似，从而实现攻击过程中的反向传播。
• 采用双损失目标函数：一个用于最大化在MSM上的攻击成功率，另一个用于最大化生成的对抗性样本对一组目标模型的迁移能力。
• 使用源模型（如ResNet-50、Inception-V1）作为监督信号来训练MSM，目标是使在MSM上的攻击能良好泛化到其他模型。
• 采用两阶段训练流程：内层循环使用Customized PGD在MSM上执行对抗性攻击，外层循环则更新MSM参数以最大化迁移能力。
• 将训练好的MSM用于生成对抗性样本，并在多种黑箱目标模型上进行评估，包括对抗性训练的模型。

实验结果

研究问题

• RQ1 学习得到的Meta-Surrogate Model（MSM）是否在生成黑箱攻击的可迁移对抗性样本方面，比标准代理模型更有效？
• RQ2 如何将MSM的训练建模为一种可微分、良好定义的优化问题，以实现攻击过程中的反向传播？
• RQ3 在攻击过程中，哪些组件对于实现有效的反向传播和MSM训练中的高迁移能力至关重要？
• RQ4 与最先进方法相比，MSM在自然训练和对抗性训练的目标模型上，其迁移成功率提升程度如何？

主要发现

• 在ImageNet上攻击对抗性训练的Inception-V1模型时，MTA-PGD的迁移攻击成功率比SGM-DI-PGD高出96.1%。
• 与SGM-DI-PGD相比，MTA-PGD在对抗性训练的ResNet-50和DenseNet-22BC模型上的成功率分别提升了25.8%和45.5%。
• 消融研究证实，Customized PGD中的arctan组件不可或缺——移除后所有目标模型上的性能均下降超过17%。
• 内层循环中的攻击迭代次数$T_t$存在最优值（在CIFAR-10上为7），超过该值后性能因展开复杂度增加而下降。
• 将MTA-PGD与IR-PGD结合（即MTA-IR-PGD）可进一步提升性能，表明现有迁移能力增强技术可有效集成到MSM框架中。
• 骨干网络架构的选择（如ResNet-13与DenseNet-22BC）会影响MSM的性能，表明模型架构设计可进一步提升迁移能力。