Nyligen, maskininlärning säkerhet har fått betydande uppmärksamhet. Många system för datorseende och taligenkänning har äventyrats av kontradiktoriskt men omärkligt perturbed input. För att identifiera potentiella störningar, angripare söka den högdimensionella ingångsutrymme för att hitta riktningar där modellen saknar robusthet. Det exponentiella antalet sådana riktningar gör existensen av dessa motstående perturbationer sannolikt, men också skapar betydande utmaningar i den svarta-box-inställningen: För det första, i avsaknad av gradient information sökproblemet blir dyrt, vilket resulterar i hög fråge komplexitet. För det andra är de konstruerade perturbationer typiskt högfrekventa i naturen och kan framgångsrikt försvaras mot genom denoiserande omvandlingar. I detta dokument föreslår vi att sökningen efter kontradiktoriska bilder begränsas till en lågfrekvensdomän. Detta tillvägagångssätt är förenligt med befintliga white-box och black-box attacker, och har anmärkningsvärda fördelar i den senare inställningen. I synnerhet uppnår vi toppmoderna black-box frågeeffektivitet och förbättrar över tidigare arbete i en storleksordning. Vidare kan vi kringgå bildomvandlingsförsvar även när både modellen och försvarsstrategin är okända. Slutligen visar vi effektiviteten av denna teknik genom att lura Google Cloud Vision-plattformen med ett oöverträffat lågt antal modellfrågor.
Till exempel Guo et al. REF begränsar sökutrymmet till en lågfrekvent domän och lurar Google Cloud Vision-plattformen med en aldrig tidigare skådad 1000 modellfrågor.
Low Frequency Adversarial Perturbation
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science']}