この作業では、ディープニューラルネットワーク(DNN)に対するブラックボックスの敵対的攻撃を研究します。攻撃者は、攻撃されたDNNモデルから返されたクエリフィードバックにのみアクセスできますが、モデルパラメーターやトレーニングデータセットなどの他の情報は不明です。攻撃パフォーマンスを改善するための有望なアプローチの1つは、一部のホワイトボックス代理モデルとターゲットモデル(つまり、攻撃されたモデル)の間の敵対的な転送可能性を利用することです。ただし、「サロゲートバイアス」と呼ばれる、サロゲートモデルとターゲットモデル間のモデルアーキテクチャとトレーニングデータセットの違いにより、攻撃パフォーマンスの向上に対する敵対的な転送可能性の寄与が弱まる可能性があります。この問題に取り組むために、代理バイアスに対してロバストな敵対的転送可能性の新しいメカニズムを開発することにより、ブラックボックス攻撃方法を革新的に提案します。一般的な考え方は、代理モデルの条件付き敵対分布(CAD)の部分パラメーターを転送し、クエリに基づいて転送されていないパラメーターをターゲットモデルに学習して、新しい良性サンプルでターゲットモデルのCADを調整する柔軟性を維持することです。ベンチマークデータセットと実際のAPIに対する攻撃に関する広範な実験は、提案された方法の優れた攻撃パフォーマンスを示しています。
This work studies black-box adversarial attacks against deep neural networks (DNNs), where the attacker can only access the query feedback returned by the attacked DNN model, while other information such as model parameters or the training datasets are unknown. One promising approach to improve attack performance is utilizing the adversarial transferability between some white-box surrogate models and the target model (i.e., the attacked model). However, due to the possible differences on model architectures and training datasets between surrogate and target models, dubbed "surrogate biases", the contribution of adversarial transferability to improving the attack performance may be weakened. To tackle this issue, we innovatively propose a black-box attack method by developing a novel mechanism of adversarial transferability, which is robust to the surrogate biases. The general idea is transferring partial parameters of the conditional adversarial distribution (CAD) of surrogate models, while learning the untransferred parameters based on queries to the target model, to keep the flexibility to adjust the CAD of the target model on any new benign sample. Extensive experiments on benchmark datasets and attacking against real-world API demonstrate the superior attack performance of the proposed method.