[论文解读] White-to-Black: Efficient Distillation of Black-Box Adversarial Attacks

Yotam Gil, Yoav Chai+2 more|arXiv (Cornell University)|Apr 4, 2019

Adversarial Robustness in Machine Learning参考文献 16被引用 8

一句话总结

本文提出 DistFlip，一种神经网络模型，通过蒸馏白盒对抗攻击（HotFlip）的行为，将文本分类模型的对抗样本生成速度提升至原来的 39 倍。通过在基于梯度的攻击生成的输入-输出对上进行训练，DistFlip 在实现高效黑盒攻击的同时，达到了与原始方法相当的攻击成功率，成功在 Google Perspective API 中将 42% 的有毒标签翻转，且经人工验证的毒性特征得以保留。

ABSTRACT

Adversarial examples are important for understanding the behavior of neural models, and can improve their robustness through adversarial training. Recent work in natural language processing generated adversarial examples by assuming white-box access to the attacked model, and optimizing the input directly against it (Ebrahimi et al., 2018). In this work, we show that the knowledge implicit in the optimization procedure can be distilled into another more efficient neural network. We train a model to emulate the behavior of a white-box attack and show that it generalizes well across examples. Moreover, it reduces adversarial example generation time by 19x-39x. We also show that our approach transfers to a black-box setting, by attacking The Google Perspective API and exposing its vulnerability. Our attack flips the API-predicted label in 42\% of the generated examples, while humans maintain high-accuracy in predicting the gold label.

研究动机与目标

• 通过从白盒攻击中蒸馏知识，开发一种更快、更高效的 NLP 对抗样本生成方法。
• 通过将蒸馏模型的行为迁移至无梯度访问的系统，实现有效的黑盒攻击。
• 在显著降低生成时间的同时，保持与基于迭代优化的方法相当的攻击质量。
• 验证对抗样本在扰动后仍保持语义毒性，确保威胁建模的真实性。

提出的方法

• 使用原始输入句子及其对抗样本的标注数据，训练一个神经网络（DistFlip）以模拟白盒攻击（HotFlip）的输入-输出行为。
• 通过原始输入与扰动输入对的监督学习，学习最优的字符翻转策略，以实现模型预测的翻转。
• 利用对抗样本的可迁移性，将蒸馏模型应用于攻击黑盒模型（如 Google Perspective API）。
• 通过基于梯度估计的贪心选择过程，迭代应用蒸馏模型对句子中的字符进行翻转，直至目标模型的预测发生变化。
• 利用注意力机制并对比基线方法（如随机字符选择）来评估蒸馏模型的有效性。
• 通过人工标注验证语义相似性与毒性，确保扰动后的样本仍具语义意义且保持毒性。

实验结果

研究问题

• RQ1 神经网络是否能在无需梯度访问的情况下，有效学习并泛化白盒对抗攻击的行为？
• RQ2 与原始白盒方法相比，蒸馏模型在攻击质量上保持了多大程度的性能？
• RQ3 蒸馏模型是否能成功迁移至黑盒环境，用于攻击真实世界系统（如 Google Perspective API）？
• RQ4 由蒸馏模型生成的对抗样本是否在人类判断下仍保持语义毒性？

主要发现

• 与原始 HotFlip 白盒攻击相比，DistFlip 在对抗样本生成上实现了 19 倍至 39 倍的速度提升，且成功率相当。
• 对于 85% 的样本，蒸馏模型平均仅需 1.8 次翻转即可在源模型中改变预测结果，性能与 HotFlip-10 相当。
• 在 Google Perspective API 上应用时，DistFlip 在 42% 的测试样本中成功将毒性标签从 'toxic' 翻转为 'non-toxic' 或 'uncertain'。
• 人工标注者对 87.6% 的被攻击有毒句子仍评定为有毒，证实尽管模型预测被误导，语义毒性仍得以保留。
• 蒸馏模型在不同样本间表现出良好的泛化能力，即使在推理阶段无法访问源模型，也能保持高攻击质量。
• 与基于注意力机制或随机字符翻转的基线方法相比，DistFlip 在速度和有效性方面均表现更优。