Bridge the Gap Between CV and NLP! An Optimization-based Textual Adversarial Attack Framework

要約

さまざまなタスクでの最近の成功にもかかわらず、深層学習技術は、摂動が小さい敵対的な例ではまだうまく機能しません。
敵対的攻撃に対する最適化ベースの手法は、コンピューター ビジョンの分野で十分に研究されていますが、テキストの離散的な性質のため、それらを自然言語処理に直接適用することは実際的ではありません。
この問題に対処するために、視覚ドメインの既存の最適化ベースの敵対的攻撃方法を拡張して、テキストの敵対的サンプルを作成するための統一されたフレームワークを提案します。
このフレームワークでは、継続的に最適化された摂動が埋め込みレイヤーに追加され、順伝播プロセスで増幅されます。
次に、潜在的な敵対的サンプルを取得するために、マスクされた言語モデル ヘッドを使用して最終的な摂動潜在表現がデコードされます。
この論文では、Textual Projected Gradient Descent (T-PGD) という名前の攻撃アルゴリズムを使用してフレームワークをインスタンス化します。
プロキシ勾配情報を使用しても、アルゴリズムが有効であることがわかります。
したがって、より困難な転送ブラックボックス攻撃を実行し、包括的な実験を行って、3 つのベンチマーク データセットでいくつかのモデルを使用して攻撃アルゴリズムを評価します。
実験結果は、私たちの方法が全体的に優れたパフォーマンスを達成し、強力なベースライン方法と比較してより流暢で文法的な敵対的サンプルを生成することを示しています。
すべてのコードとデータは公開されます。

要約(オリジナル)

Despite recent success on various tasks, deep learning techniques still perform poorly on adversarial examples with small perturbations. While optimization-based methods for adversarial attacks are well-explored in the field of computer vision, it is impractical to directly apply them in natural language processing due to the discrete nature of the text. To address the problem, we propose a unified framework to extend the existing optimization-based adversarial attack methods in the vision domain to craft textual adversarial samples. In this framework, continuously optimized perturbations are added to the embedding layer and amplified in the forward propagation process. Then the final perturbed latent representations are decoded with a masked language model head to obtain potential adversarial samples. In this paper, we instantiate our framework with an attack algorithm named Textual Projected Gradient Descent (T-PGD). We find our algorithm effective even using proxy gradient information. Therefore, we perform the more challenging transfer black-box attack and conduct comprehensive experiments to evaluate our attack algorithm with several models on three benchmark datasets. Experimental results demonstrate that our method achieves an overall better performance and produces more fluent and grammatical adversarial samples compared to strong baseline methods. All the code and data will be made public.

arxiv情報

提供元, 利用サービス

arxiv.jp, Google