ECCV2020 | YAILA | 又一种中间层攻击方法

---

论文链接

本文 “Yet Another Intermediate-Level Attack” 提出了一种增强对抗样本黑盒迁移性的新方法，通过建立中间层差异的线性映射预测对抗损失，利用多步基线攻击的优化过程提升迁移性，在 CIFAR-100 和 ImageNet 上的实验证明了其有效性优于现有方法。

---

摘要-Abstract

The transferability of adversarial examples across deep neural network (DNN) models is the crux of a spectrum of black-box attacks. In this paper, we propose a novel method to enhance the black-box transferability of baseline adversarial examples. By establishing a linear mapping of the intermediate-level discrepancies (between a set of adversarial inputs and their benign counterparts) for predicting the evoked adversarial loss, we aim to take full advantage of the optimization procedure of multi-step baseline attacks. We conducted extensive experiments to verify the effectiveness of our method on CIFAR-100 and ImageNet. Experimental results demonstrate that it outperforms previous state-of-the-arts considerably.

对抗样本在深度神经网络（DNN）模型间的迁移性是一系列黑盒攻击的关键所在。在本文中，我们提出了一种新颖的方法来增强基线对抗样本的黑盒迁移性。通过建立中间层差异（一组对抗性输入与其良性对应物之间的）的线性映射以预测引发的对抗损失，我们旨在充分利用多步基线攻击的优化过程。 我们在 CIFAR - 100 和 ImageNet 上进行了大量实验以验证我们方法的有效性。实验结果表明，它显著优于先前的最先进技术。

---

引言-Introduction

该部分主要阐述了深度神经网络（DNNs）对抗样本的可迁移性研究背景及本文的研究重点，具体内容如下：

• 研究背景：多年来，DNNs的对抗脆弱性受到广泛研究，微小的、人眼难以察觉的扰动可使先进的DNNs做出错误预测，且在一个DNN模型上生成的对抗样本能以一定成功率欺骗其他模型，这种可迁移性在黑盒攻击场景中至关重要，因为攻击者通常难以获取受害模型的架构和参数。
• 研究重点：以往研究致力于提升对抗样本的可迁移性，近期的中间层攻击方法在一定程度上提高了可迁移性。本文提出一种新方法，旨在改进任何基线攻击生成的对抗样本的可迁移性，通过利用基线攻击每一步收集的方向指导，最大化中间层差异的标量投影，且该方法在CIFAR - 100和ImageNet的多种图像分类模型上进行了有效性验证，结果优于现有方法。

---

相关工作-Related Work

该部分主要介绍了对抗攻击的分类、现有提升对抗样本可迁移性的方法以及本文的问题设定，具体内容如下：

• 对抗攻击分类：根据受害模型信息泄露程度，对抗攻击分为白盒攻击和黑盒攻击。早期黑盒攻击依赖对抗样本可迁移性，但成功率低，因此出现了通过查询估计梯度的方法，但在某些应用中查询困难且成本高，且存在被检测的风险。
• 提升可迁移性的方法：近期一些方法通过最大化中间层特征图扰动而非最终交叉熵损失来提升对抗样本可迁移性。如Zhou等人提出最大化对抗样本与原始样本在中间层的差异并减少空间变化；Inkawhich等人在中间层进行攻击且需要目标样本；Huang等人的方法是最大化对抗样本在特定中间层到引导方向的标量投影。本文方法受Huang等人启发，但以基线攻击的整个优化过程而非最终结果为指导，认为临时结果能提供更有价值和可迁移的指导。
• 问题设定：本文聚焦于提升现成攻击（如Huang等人的中间层攻击ILA）的可迁移性，主要考虑多步攻击，以I - FGSM为基线攻击，旨在提高生成的对抗样本在未知架构和参数的受害模型上的成功率，攻击过程包括基线攻击和增强阶段两个阶段。

图 1. 我们用于增强对抗样本黑盒迁移性的方法流程，它由两个连续阶段组成，一个阶段是执行基线攻击（例如，I-FGSM、PGD、MI-FGSM 等），另一个阶段是增强基线结果 $x_p^{adv}$ 。特别地，左侧热图中 $h_p^{adv}-h_0^{adv}$ 的黄绿色背景表明其扰动比右侧 $h^{adv}-h_0^{adv}$ 的扰动低得多。特征图的差异以 14×14 的空间尺寸展示。

---

我们的方法-Our Method

该部分主要介绍提升对抗样本转移性的具体方法，包括提出新目标函数和中间层归一化处理两方面内容，旨在利用基线攻击优化过程中的信息，提升对抗样本在黑盒攻击中的性能。

1. 新目标函数构建
   • 基于多步攻击结果建立映射：对抗攻击常通过最大化预测损失来生成对抗样本，本文提出新目标函数。以多步攻击（如I - FGSM）为例，其共有 $p+1$ 步优化，会产生临时结果 $x_0^{adv}...x_t^{adv}...x_{p-1}^{adv}$ 和最终结果 $x_p^{adv}$。在源模型的特定中间层，输入 $x_t^{adv}$ 可得到中间层输出 $h_t^{adv}$ 和对抗损失 $l_t$ ，收集多组中间层差异（即特征图的“扰动”）和对抗损失值 $\{(h_t^{adv}-h_0^{adv},l_t)\}$ ，通过求解正则化问题 $mi{n}_w{\sum }_{t=0}^p{\left(w^T\left(h_t^{adv}-h_0^{adv}\right)-l_t\right)}^2+\lambda \Vert w{\Vert }^2$ ，建立中间层差异到对抗损失的线性映射，得到参数向量 $w^{\ast }$ 。
   • 优化目标函数生成扰动：不同于传统FGSM、I - FGSM和PGD等方法最大化交叉熵损失，本文优化 $ma{x}_{{\Delta }_x}{\left(g\left(x+{\Delta }_x\right)-h_0^{adv}\right)}^T{w}^{\ast },s.t.\left(x+{\Delta }_x\right)\in \Psi$ 来生成像素级扰动。为提高计算效率，利用Woodbury恒等式对公式进行改写。当“正则化”参数 $\lambda$ 很大时，优化问题近似简化。并且，若仅使用最终结果的中间层差异和对抗损失（或单步基线攻击），本文方法在数学上等同于ILA，而本文方法考虑了多步攻击的多个结果，能提供更有效指导。
2. 中间层归一化处理：在实际的多步攻击中，不同时刻$t$的中间层差异幅度差异很大，在CIFAR - 100数据集中，差异幅度范围从约0到大于等于100。为充分利用中间层差异信息，在求解线性回归问题前进行数据归一化。即使用归一化后的中间层差异计算${\tilde{w}}^{\ast }=({\tilde{H}}^T\tilde{H}+\lambda I_m{)}^{-1}{\tilde{H}}^{T}r$ ，然后优化$ma{x}_{{\Delta }_x}{\left(g\left(x+{\Delta }_x\right)-h_0^{adv}\right)}^T{\overline{w}}^{\ast },s.t.(x+{\Delta }_x)\in \Psi$ ，期望同时最大化$\frac{(g(x+{\Delta }_x)-h_0^{adv}{)}^T{\tilde{w}}^{\ast }}{\Vert g(x+{\Delta }_x)-h_0^{adv}\Vert }$和$\Vert g(x+{\Delta }_x)-h_0^{adv}\Vert$ ，以提升攻击效果。

---

实验-Experiments

该部分主要围绕验证所提方法的有效性展开，具体内容如下：

• 多步基线攻击探究：在 CIFAR - 100 数据集上，以 VGG19 和 WRN 为模型，I - FGSM 为基线攻击进行实验。研究发现 ILA 与 I - FGSM 较早结果结合效果更好，最具迁移性的对抗样本在 $p=10$ 左右（$p$ 为 I - FGSM 迭代次数），继续增加 $p$ 会使成功率下降；而无 ILA 时，更多 I - FGSM 迭代更利于迁移性。对比 ILA，本文方法在相同设置下性能更优，且中间层归一化可略微提升本文方法性能，后续实验均采用 $p=10$ 及中间层归一化。
  
  图 2. （a）在 VGG19 上生成的用于攻击 WRN 的基线对抗样本（经 ILA 增强或未增强）以及（b）在 WRN 上生成的用于攻击 VGG19 的基线对抗样本（经 ILA 增强或未增强）的迁移性如何随 $p$ 变化。虚线表示具有最优 $p$ 值时的性能。我们发现，最具迁移性的 $I-FGSM+ILA$ 示例（$ϵ=0.03$）在 $p=10$ 左右获得，并且对于 $p\ge 10$，成功率随着 $p$ 的增大而持续下降。
  
  图 3. I - FGSM 对抗样本的迁移性如何通过 ILA 得到增强，（a）是在 VGG19 上生成并用于攻击 WRN 的样本，（b）是在 WRN 上生成并用于攻击 VGG - 19 的样本。我们设 $ϵ=0.03$
  
  图 4. I - FGSM 示例的迁移性如何通过我们的方法得到增强，（a）是在 VGG - 19 上生成并用于攻击 WRN 的示例，（b）是在 WRN 上生成并用于攻击 VGG - 19 的示例。y 轴的范围与图 3 保持一致，以便于比较。我们设 $ϵ=0.03$ .
  
  图 5. I - FGSM 示例的迁移性如何通过我们的方法得到增强，（a）是在 VGG - 19 上生成并用于攻击 WRN 的示例，（b）是在 WRN 上生成并用于攻击 VGG - 19 的示例。这里未进行中间层归一化。$y$ 轴的范围与图 3 和图 4 保持一致，以便于比较。我们设 $ϵ=0.03$

• 不同 $\lambda$ 值下的方法性能：$\lambda$ 控制线性回归模型的平滑度，在 CIFAR - 100 上用更多受害模型测试不同 $\lambda$ 值对结果的影响。结果显示小 $\lambda$ 值导致源模型和受害模型成功率不佳，较大 $\lambda$ 值（甚至趋近无穷）性能相似，$\lambda =10$ 时平均成功率最优，但 $\lambda \to \infty$ 时性能也不错且计算成本低，后续实验设 $\lambda \to \infty$ ，此时本文方法与 ILA 运行时间相近。
  
  图 6. 我们的方法的性能如何随 $\lambda$ 变化。虚线表示当设置 $\lambda \to \infty$ 时的成功率。我们设 $ϵ=0.03$.
  表 1. 我们的方法与 ILA 的运行时间比较。
  

• 与现有方法对比：在 CIFAR - 100 和 ImageNet 上攻击多个模型，主要与 ILA 对比，结果表明本文方法在几乎所有测试案例中均显著优于 ILA，且在不同基线攻击（如 MI - FGSM、PGD、TAP）基础上，本文方法也优于 ILA。本文方法在源模型上成功率略有降低，但生成可迁移对抗样本的能力增强，通过分析交叉熵损失和中间层扰动可知，本文方法产生更大中间层扰动，牺牲少量对抗损失，从而在实践中表现更优。此外，尝试集成不同基线攻击可进一步提升性能，且在选择中间层计算差异位置上，本文方法在多数情况下也优于 ILA，二者最优结果位置相同。
  表 2. 在无目标设置下，使用具有对抗扰动 ${\ell }_{\infty }$约束的 I - FGSM 对 CIFAR - 100 进行基于迁移的攻击性能。符号 $\ast$ 表示源模型作为目标时的情况。最佳平均结果用红色显示。
  
  表 3. 在无目标设置下，使用具有 ${\ell }_{\infty }$ 约束的 I - FGSM 对 ImageNet 进行基于迁移的攻击性能。我们使用符号 $\ast$ 表示源模型被用作目标时的情况。下方的子表是上方子表的延续。最佳平均结果用红色标记。
  
  表 4. 基于迁移的对 ImageNet 的攻击性能。在 $ϵ=0.03$ 的相同设置下比较了不同的基线攻击。最佳平均结果用红色标记。
  
  
  图 7. 在 ImageNet 上的 ResNet - 50 源模型中，（a）从交叉熵损失和（b）中间层扰动的角度对我们的方法和 ILA 进行比较。
  
  图 8. 在 CIFAR - 100 上，针对计算中间层差异时中间层（在 VGG - 19 源模型上）的不同选择，对我们的方法和 ILA 进行比较。彩色查看效果最佳。我们在 $ϵ=0.03$ 的条件下进行了测试。
  
  图 9. 在 ImageNet 上，针对计算中间层差异时中间层（在 ResNet - 50 源模型上）的不同选择，对我们的方法和 ILA 进行比较。层索引“3 - 1”表示第三个元块的第一个块。彩色查看效果最佳。我们在 $ϵ=0.03$ 的条件下进行了测试。

• 实验设置及 ${\ell }_2$ 攻击：主要考虑黑盒设置下的无目标 ${\ell }_{\infty }$ 攻击，也测试了 ${\ell }_2$ 攻击，结果表明本文方法在 ${\ell }_2$ 攻击下仍优于 ILA 和原始基线。实验中对 I - FGSM、PGD 等攻击的步长、采样图像数量、迭代次数、数据预处理等设置进行了说明，同时指出本文学习目标未引入鼓励中间层差异大范数的显式项，未来将考虑。

---

结论-Conclusion

本文结论部分主要强调了所提方法的创新性和有效性，具体内容如下：

• 提出了一种新颖的提升对抗样本可迁移性的方法，该方法基于基线攻击，通过分析其优化过程提取方向引导，并利用中间层特征图建立线性映射来估计对抗损失，从而构建出能充分利用基线攻击的对抗目标函数。
• 经过在 CIFAR - 100 和 ImageNet 上的全面实验研究，证明了该方法的有效性，为后续相关研究提供了新的思路和方法。