Adversarial Attack across Datasets

要約

既存の転送攻撃方法は、通常、攻撃者がブラックボックス被害者モデルのトレーニングセット（ラベルセット、入力サイズなど）を知っていることを前提としていますが、攻撃者がこの情報を知らない場合があるため、通常は非現実的です。
このホワイトペーパーでは、攻撃者がこの情報を知らず、未知のデータセットからのランダムに遭遇した画像を攻撃するために取得される、Generalized Transferable Attack（GTA）問題を定義します。
GTAの問題を解決するために、特定の攻撃者が任意のデータセットから任意の画像の分類情報を消去するようにトレーニングする、新しい画像分類消去器（ICE）を提案します。
いくつかのデータセットでの実験は、ICEがGTAに対する既存の転送攻撃を大幅に上回っていることを示し、ICEが同様のテクスチャのようなノイズを使用して異なるデータセットからの異なる画像を混乱させることを示しています。
さらに、高速フーリエ変換分析は、各ICEノイズの主成分がR、G、およびB画像チャネルの3つの正弦波であることを示しています。
この興味深い発見に触発されて、3つの正弦波を最適化するための新しい正弦波（SA）メソッドを設計します。
実験によると、SAはICEと同等のパフォーマンスを示し、3つの正弦波が効果的であり、GTA設定でDNNを破壊するのに十分であることを示しています。

要約(オリジナル)

Existing transfer attack methods commonly assume that the attacker knows the training set (e.g., the label set, the input size) of the black-box victim models, which is usually unrealistic because in some cases the attacker cannot know this information. In this paper, we define a Generalized Transferable Attack (GTA) problem where the attacker doesn’t know this information and is acquired to attack any randomly encountered images that may come from unknown datasets. To solve the GTA problem, we propose a novel Image Classification Eraser (ICE) that trains a particular attacker to erase classification information of any images from arbitrary datasets. Experiments on several datasets demonstrate that ICE greatly outperforms existing transfer attacks on GTA, and show that ICE uses similar texture-like noises to perturb different images from different datasets. Moreover, fast fourier transformation analysis indicates that the main components in each ICE noise are three sine waves for the R, G, and B image channels. Inspired by this interesting finding, we then design a novel Sine Attack (SA) method to optimize the three sine waves. Experiments show that SA performs comparably to ICE, indicating that the three sine waves are effective and enough to break DNNs under the GTA setting.

arxiv情報

提供元, 利用サービス

arxiv.jp, Google