ブラックボックスの敵対的攻撃に関する研究は、ディープニューラルネットワーク(DNN)の構造的知識の手に負えない習得によりますます普及しています。ただし、高解像度の画像用に調整されたDNNをだますと、新たな攻撃のパフォーマンスに悪影響が及びます。説明の1つは、これらの方法は通常、空間的な意味情報に関係なく、画像全体を攻撃することに焦点を当てているため、悪名高い次元の呪いに遭遇するというものです。この目的のために、PICAと呼ばれるピクセル相関ベースの注意ブラックボックス敵対的攻撃を提案します。まず、ブラックボックス攻撃の次元が減少するように、画像の注意メカニズムとピクセル相関を活用することにより、顕著な領域の隣接する2つのピクセルのうち1つだけをターゲットとして使用します。その後、一般的な多目的進化的アルゴリズムを使用して、縮小されたピクセルをトラバースし、人間の視覚では認識できない摂動を生成します。広範な実験結果により、ImageNetデータセットに対する提案されたPICAの有効性が検証されました。さらに重要なことに、PICAは、既存のブラックボックス攻撃と比較して、高解像度の敵対的な例を生成するための計算効率が高くなっています。
The studies on black-box adversarial attacks have become increasingly prevalent due to the intractable acquisition of the structural knowledge of deep neural networks (DNNs). However, the performance of emerging attacks is negatively impacted when fooling DNNs tailored for high-resolution images. One of the explanations is that these methods usually focus on attacking the entire image, regardless of its spatial semantic information, and thereby encounter the notorious curse of dimensionality. To this end, we propose a pixel correlation-based attentional black-box adversarial attack, termed as PICA. Firstly, we take only one of every two neighboring pixels in the salient region as the target by leveraging the attentional mechanism and pixel correlation of images, such that the dimension of the black-box attack reduces. After that, a general multiobjective evolutionary algorithm is employed to traverse the reduced pixels and generate perturbations that are imperceptible by the human vision. Extensive experimental results have verified the effectiveness of the proposed PICA on the ImageNet dataset. More importantly, PICA is computationally more efficient to generate high-resolution adversarial examples compared with the existing black-box attacks.