Djupa neurala nätverk (DNN) är en av de mest framträdande teknikerna i vår tid, eftersom de uppnår state-of-the-art prestanda i många maskininlärning uppgifter, inklusive men inte begränsat till bildklassificering, textbrytning, och talbehandling. Den senaste tidens forskning om DNN har dock visat en allt större oro för robustheten i kontradiktoriska exempel, särskilt när det gäller säkerhetskritiska uppgifter som identifiering av trafikskyltar för autonom körning. Studier har avslöjat sårbarheten hos en vältränad DNN genom att visa förmågan att generera knappt märkbara (till både mänskliga och maskiner) motbilder som leder till felklassificering. Dessutom har forskare visat att dessa kontradiktoriska bilder är mycket överförbara genom att helt enkelt träna och attackera en alternativ modell byggd på målmodellen, känd som en black-box attack till DNNs. I likhet med fastställandet av utbildningssubstitut modeller föreslår vi i detta dokument en effektiv black-box attack som också endast har tillgång till indata (bilder) och resultat (förtroende poäng) av en riktad DNN. Däremot, skiljer sig från hävstång attack överförbarhet från ersättningsmodeller, föreslår vi noll orderoptimering (ZOO) baserade attacker för att direkt uppskatta lutningarna av den riktade DNN för att generera kontrarimala exempel. Vi använder nollordordning stokastisk koordinat nedstigning tillsammans med dimensionsreduktion, hierarkisk attack och betydelse provtagning tekniker till * Pin-Yu Chen och Huan Zhang bidrar lika till detta arbete. † Detta arbete utförs under praktik på IBM T. J. Watson Research Center angriper effektivt svart-box modeller. Genom att utnyttja noll-orderoptimering kan förbättrade attacker mot den riktade DNN åstadkommas, vilket sparar behovet av utbildningssubstitut modeller och undvika förlust av angrepp överförbarhet. Experimentella resultat på MNIST, CIFAR10 och ImageNet visar att den föreslagna ZOO-attacken är lika effektiv som den toppmoderna white-box-attacken (t.ex., Carlini och Wagners attack) och avsevärt överträffar befintliga black-box-attacker via alternativa modeller. KEYWORDS kontradiktoriskt lärande; Black-box attack; djupinlärning; neurala nätverk; substitut modell Session: Deep Learning AISec'17, November 3, 2017, Dallas, TX, USA
Nyligen försök använda ändliga skillnader för att uppskatta lutningen i stället för utbildning ersätta modeller REF.
ZOO: Zeroth Order Optimization Based Black-box Attacks to Deep Neural Networks without Training Substitute Models
{'venue': "AISec '17", 'journal': None, 'mag_field_of_study': ['Mathematics', 'Computer Science']}