Nya studier har visat att kontradiktoriska exempel i toppmoderna bildklassificerare utbildade av djupa neurala nätverk (DNN) kan enkelt genereras när målmodellen är transparent för en angripare, känd som white-box inställning. Men när man attackerar en utplacerad maskininlärningstjänst, kan man bara få input-output-korrespondenser från målmodellen; detta är den så kallade Black-box attackinställningen. Den största nackdelen med befintliga black-box attacker är behovet av överdriven modell frågor, vilket kan ge en falsk känsla av modell robusthet på grund av ineffektiv frågedesign. För att överbrygga denna klyfta föreslår vi ett generiskt ramverk för frågeeffektiva blackboxattacker. Vårt ramverk, AutoZOOM, som är kort för Autoencoder-baserad Zeroth Order Optimization Method, har två nya byggstenar mot effektiva black-box attacker: (i) en adaptive slumpmässig gradient uppskattning strategi för att balansera frågeräkning och distorsion, och (ii) en autoencoder som antingen är tränad offline med omärkt data eller en bilineär omsize operation för attack acceleration. Experimentella resultat tyder på att genom att tillämpa AutoZOOM på en toppmodern svart-box-attack (ZOO) kan en betydande minskning av modellfrågor uppnås utan att man offrar attackens framgångsfrekvens och den visuella kvaliteten på de resulterande kontradiktoriska exemplen. I synnerhet kan AutoZOOM, jämfört med standard ZOO-metoden, konsekvent minska det genomsnittliga frågetalet för att hitta framgångsrika kontradiktoriska exempel (eller uppnå samma distorsionsnivå) med minst 93 % på MNIST-, CIFAR-10- och ImageNet-datauppsättningar, vilket leder till nya insikter om kontradiktorisk robusthet.
Till exempel, REF introducerar en adaptiv slumpmässig gradient uppskattning algoritm och en vältränad Autoencoder för att påskynda attackprocessen.
AutoZOOM: Autoencoder-based Zeroth Order Optimization Method for Attacking Black-box Neural Networks
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science', 'Mathematics']}