[论文解读] Unrestricted Adversarial Attacks on ImageNet Competition

Yuefeng Chen, Xiaofeng Mao+36 more|arXiv (Cornell University)|Oct 17, 2021

Adversarial Robustness in Machine Learning参考文献 36被引用 6

一句话总结

本文提出了一项针对 ImageNet 的无限制对抗攻击竞赛，其中攻击者生成大范围、明显的扰动，使深度学习模型误分类，同时不损害人类的感知。获胜方法 R-DTI-FGSM 通过梯度精炼结合输入多样性与平移不变变换，实现了 95.48% 的攻击成功率，并在主观评价中位列第 4 名（9081.6 / 10000）。

ABSTRACT

Many works have investigated the adversarial attacks or defenses under the settings where a bounded and imperceptible perturbation can be added to the input. However in the real-world, the attacker does not need to comply with this restriction. In fact, more threats to the deep model come from unrestricted adversarial examples, that is, the attacker makes large and visible modifications on the image, which causes the model classifying mistakenly, but does not affect the normal observation in human perspective. Unrestricted adversarial attack is a popular and practical direction but has not been studied thoroughly. We organize this competition with the purpose of exploring more effective unrestricted adversarial attack algorithm, so as to accelerate the academical research on the model robustness under stronger unbounded attacks. The competition is held on the TianChi platform (\url{https://tianchi.aliyun.com/competition/entrance/531853/introduction}) as one of the series of AI Security Challengers Program.

研究动机与目标

• 探索并推进实用的无限制对抗攻击方法，能够在保持语义一致性和视觉质量的前提下生成大范围、明显的扰动。
• 评估深度学习模型在强而无界对抗攻击下的鲁棒性，以模拟真实世界威胁。
• 通过结构化竞赛收集并分析多样化的攻击算法，建立对抗鲁棒性的基准。
• 通过测试在多种防御模型间的迁移性和泛化能力，激发对抗攻击设计的创新。
• 不仅以成功率评估攻击性能，还结合人类对视觉质量与语义一致性的判断。

提出的方法

• 提出 R-DTI-FGSM 方法，一种结合输入多样性和平移不变变换的梯度精炼方法，以提升对抗样本的迁移能力。
• 使用随机变换函数 T(x, p)，其中 p = 0.7，在每次迭代中应用随机裁剪、翻转和旋转。
• 应用预定义的 5×5 卷积核 W，通过平均 n=9 个变换后的梯度来精炼梯度，降低噪声并增强迁移能力。
• 采用基于符号的 FGSM 更新规则，步长 α = 1/255，最大扰动 ε = 32/255，共迭代 40 次。
• 使用集成模型（ResNet50、DenseNet161、Inception-v4 等）以提升攻击的迁移性和鲁棒性。
• 在最终阶段引入人类评估环节，对样本的语义一致性和视觉质量进行打分。

实验结果

研究问题

• RQ1 当对抗攻击不受小扰动约束时，如何在保持语义连贯性和视觉真实感的前提下提升其有效性？
• RQ2 梯度精炼与输入多样性技术在多大程度上提升了无限制对抗样本的迁移能力？
• RQ3 人类对视觉质量与语义一致性的评估能否作为衡量无限制对抗攻击的可靠指标？
• RQ4 不同变换策略（如旋转、随机尺寸）如何影响对抗样本的鲁棒性与泛化能力？
• RQ5 在 ImageNet 上的无限制对抗攻击中，攻击成功率与视觉质量之间存在何种权衡？

主要发现

• R-DTI-FGSM 方法在最终测试集上实现了 95.48% 的攻击成功率，所有参赛队伍中排名第二。
• 该方法在最终主观评价中位列第 4 名，基于人类对视觉质量与语义一致性的判断，得分 9081.6 / 10000。
• 第 5 名团队采用旋转增强的 MI-FGSM 方法，迭代 100 次，攻击成功率为 78.38%，主观评分为 9026.2。
• 梯度精炼显著降低了输入多样性引入的随机无用梯度的影响，从而增强了迁移能力。
• 竞赛成功识别出五种高效的攻击算法，证明了生成高质量无限制对抗样本的可行性。
• 人类评估表明，即使攻击成功率很高，视觉质量与语义一致性仍是实现真实对抗样本的关键因素。