Architecture-agnostic Iterative Black-box Certified Defense against Adversarial Patches

要約

敵対的パッチ攻撃は、任意の変更が含まれる境界のある連続領域内で画像分類器をだますことを目的としており、物理世界のコンピューター ビジョン システム (自動運転、コンテンツ モデレーション、生体認証、医療画像など) に真の脅威をもたらします。
この問題に信頼できる方法で対処するために、分類モデルの堅牢性を確保し、将来のパッチ攻撃による防御の突破を防ぐ、認定されたパッチ防御の提案が行われています。
最先端の認定済み防御は、あらゆるモデル アーキテクチャと互換性があり、クリーンで認定済みの高い精度を実現します。
この方法は任意のパッチ位置に適応しますが、必然的に敵対的パッチのサイズにアクセスする必要がありますが、これは現実世界の攻撃シナリオでは不合理で非現実的です。
ブラックボックス設定 (つまり、パッチの位置とサイズの両方が不明) でのアーキテクチャに依存しない認定防御の実現可能性を向上させるために、IBCD と呼ばれる新しい 2 段階の反復ブラックボックス認定防御手法を提案します。
最初の段階では、ピクセル マスキングを使用してパッチとマスクの間のサイズ関係を評価することにより、検索ベースの方法でパッチ サイズを推定します。
第 2 段階では、推定パッチ サイズを使用して既存のホワイトボックス認定防御方法によって精度の結果が計算されます。
2 つの一般的なモデル アーキテクチャと 2 つのデータセットに対して行われた実験により、IBCD の有効性と効率性が検証されました。

要約(オリジナル)

The adversarial patch attack aims to fool image classifiers within a bounded, contiguous region of arbitrary changes, posing a real threat to computer vision systems (e.g., autonomous driving, content moderation, biometric authentication, medical imaging) in the physical world. To address this problem in a trustworthy way, proposals have been made for certified patch defenses that ensure the robustness of classification models and prevent future patch attacks from breaching the defense. State-of-the-art certified defenses can be compatible with any model architecture, as well as achieve high clean and certified accuracy. Although the methods are adaptive to arbitrary patch positions, they inevitably need to access the size of the adversarial patch, which is unreasonable and impractical in real-world attack scenarios. To improve the feasibility of the architecture-agnostic certified defense in a black-box setting (i.e., position and size of the patch are both unknown), we propose a novel two-stage Iterative Black-box Certified Defense method, termed IBCD.In the first stage, it estimates the patch size in a search-based manner by evaluating the size relationship between the patch and mask with pixel masking. In the second stage, the accuracy results are calculated by the existing white-box certified defense methods with the estimated patch size. The experiments conducted on two popular model architectures and two datasets verify the effectiveness and efficiency of IBCD.

arxiv情報

提供元, 利用サービス

arxiv.jp, Google