Vi studerar problemet med att attackera en maskininlärning modell i hårdmärkt svart-box inställning, där ingen modell information avslöjas förutom att angriparen kan göra frågor för att sondera motsvarande hårda-märkning beslut. Detta är ett mycket utmanande problem eftersom den direkta utbyggnaden av toppmoderna white-box-attacker (t.ex. C&W eller PGD) till den hårdmärkta svart-box-inställningen kommer att kräva minimering av en icke-kontinuerlig stegfunktion, som är kombinatorisk och inte kan lösas med en gradientbaserad optimizer. Den enda nuvarande metoden bygger på slumpmässiga steg på gränsen [1], som kräver många frågor och saknar konvergensgarantier. Vi föreslår ett nytt sätt att formulera den hårda black-box attacken som ett verkligt värderat optimeringsproblem som vanligtvis är kontinuerlig och kan lösas med en noll-order optimering algoritm. Till exempel, med hjälp av Randomized Gradient-Free metod [2], kan vi begränsa antalet iterationer som behövs för vår algoritm för att uppnå stationära punkter. Vi visar att vår föreslagna metod överträffar den tidigare slumpmässiga gångmetoden för att attackera konvolutionella neurala nätverk på MNIST, CIFAR och ImageNet dataset. Mer intressant visar vi att den föreslagna algoritmen också kan användas för att attackera andra diskreta och icke-kontinuerliga maskininlärningsmodeller, såsom Gradient Boosting Decision Trees (GBDT).
I REF introduceras en optimeringsbaserad svart-box attackalgoritm med garanterad konvergens i den hårda svarta-box-inställningen som överträffar BA i fråga om antal frågor.
Query-Efficient Hard-label Black-box Attack:An Optimization-based Approach
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Mathematics', 'Computer Science']}