[论文解读] Triangle Attack: A Query-efficient Decision-based Adversarial Attack

Xiaosen Wang, Zeliang Zhang+5 more|arXiv (Cornell University)|Dec 13, 2021

Adversarial Robustness in Machine Learning被引用 6

一句话总结

Triangle Attack (TA) 是一种查询高效的基于决策的对抗攻击方法，通过利用良性样本、当前和下一个对抗样本构成的三角形的几何特性来优化扰动。通过将搜索投影到低频DCT域，并利用正弦定律指导迭代更新，TA 在 ImageNet 上实现 1,000 次查询内的最先进成功率，并在腾讯云 API 上展示了工业适用性。

ABSTRACT

Decision-based attack poses a severe threat to real-world applications since it regards the target model as a black box and only accesses the hard prediction label. Great efforts have been made recently to decrease the number of queries; however, existing decision-based attacks still require thousands of queries in order to generate good quality adversarial examples. In this work, we find that a benign sample, the current and the next adversarial examples can naturally construct a triangle in a subspace for any iterative attacks. Based on the law of sines, we propose a novel Triangle Attack (TA) to optimize the perturbation by utilizing the geometric information that the longer side is always opposite the larger angle in any triangle. However, directly applying such information on the input image is ineffective because it cannot thoroughly explore the neighborhood of the input sample in the high dimensional space. To address this issue, TA optimizes the perturbation in the low frequency space for effective dimensionality reduction owing to the generality of such geometric property. Extensive evaluations on ImageNet dataset show that TA achieves a much higher attack success rate within 1,000 queries and needs a much less number of queries to achieve the same attack success rate under various perturbation budgets than existing decision-based attacks. With such high efficiency, we further validate the applicability of TA on real-world API, i.e., Tencent Cloud API.

研究动机与目标

• 为解决现有基于决策的对抗攻击方法查询成本过高的问题，这些方法通常需要数千次查询才能生成有效的对抗样本。
• 探索是否可以利用对抗扰动空间中的几何关系，在无需梯度或得分访问的情况下降低查询复杂度。
• 开发一种利用内在几何约束而非将对抗样本限制在决策边界上的方法来优化扰动。
• 在真实世界的黑盒 API（如腾讯云）上验证该方法的效率和实用性。

提出的方法

• 在每次迭代中，TA 在随机采样的二维子空间中，使用良性样本、当前对抗样本和一个候选的下一个对抗样本构成一个三角形。
• 应用正弦定律，通过要求角度之和 βₜ + 2αₜ > π 来确保下一个扰动比当前扰动更小。
• 通过离散余弦变换（DCT）在低频域执行扰动搜索，以降低维度并提高效率。
• 采用自适应学习规则更新角度 αₜ：若找到有效三角形，则将 αₜ 增加 γ；否则减少 λγ。
• 该算法避免像 BoundaryAttack 等先前方法那样将对抗样本限制在决策边界上，从而降低了查询开销。
• 使用可配置迭代次数（N_bs）的二分查找来评估边界限制的必要性，结果表明该限制会降低性能。

实验结果

研究问题

• RQ1 三角形中较长边对应较大角的几何性质，是否可用于指导基于决策攻击中的对抗扰动优化？
• RQ2 在低频DCT空间中进行优化是否能在不牺牲攻击成功率的前提下提升查询效率？
• RQ3 将对抗样本限制在决策边界上，对于查询高效的攻击是否必要或有益？
• RQ4 在不同扰动预算下，Triangle Attack 与最先进基于决策的攻击相比，在查询效率和成功率方面表现如何？
• RQ5 Triangle Attack 是否能有效应用于具有严格查询限制的真实世界黑盒 API？

主要发现

• 在 ImageNet 上，Triangle Attack 在 1,000 次查询内实现了显著更高的攻击成功率，优于现有最先进基于决策的攻击方法。
• 在相同扰动预算下（例如 RMSE = 0.01, 0.05, 0.1），TA 所需查询次数远少于先前方法即可达到相同的攻击成功率。
• 在所有评估的扰动阈值下，该方法在五种不同模型上均优于 SOTA 攻击，表现出一致的优越性。
• 在腾讯云 API 上应用时，TA 有效生成了难以察觉的对抗样本，证实了其工业适用性。
• 通过二分查找将对抗样本限制在决策边界上会降低攻击成功率，表明此类约束不仅无益，反而增加了查询成本。
• 最优超参数为 γ = 0.01，λ = 0.05，τ = 0.1，且低频 10% DCT 分量提供了效率与性能之间的最佳平衡。