ディープモデルは、敵対的なサンプルを処理するときに脆弱性を示しています。ブラックボックス攻撃に関しては、攻撃されたモデルのアーキテクチャと重みにアクセスすることなく、敵対的な攻撃の代替モデルをトレーニングすることが広く注目されています。以前の代替トレーニングアプローチは、実際のトレーニングデータまたは合成データに基づいてターゲットモデルの知識を盗むことに焦点を当てており、代替モデルとターゲットモデル間の転送可能性をさらに向上させることができるデータの種類を調査していません。本論文では、知識盗用プロセスで使用されるデータの分布の設計に焦点を当てた、新しい視点代替トレーニングを提案します。より具体的には、広範囲の分布を有する大規模データを合成するために、多様なデータ生成モジュールが提案されている。そして、決定境界近くに分散されたデータに焦点を当てるために、敵対的な代替トレーニング戦略が導入されています。これら2つのモジュールを組み合わせると、代替モデルとターゲットモデルの一貫性がさらに高まり、敵対攻撃の効果が大幅に向上します。広範な実験は、非ターゲットおよびターゲット攻撃設定の下での最先端の競合他社に対する私たちの方法の有効性を示しています。詳細な視覚化と分析も提供され、私たちの方法の利点を理解するのに役立ちます。
Deep models have shown their vulnerability when processing adversarial samples. As for the black-box attack, without access to the architecture and weights of the attacked model, training a substitute model for adversarial attacks has attracted wide attention. Previous substitute training approaches focus on stealing the knowledge of the target model based on real training data or synthetic data, without exploring what kind of data can further improve the transferability between the substitute and target models. In this paper, we propose a novel perspective substitute training that focuses on designing the distribution of data used in the knowledge stealing process. More specifically, a diverse data generation module is proposed to synthesize large-scale data with wide distribution. And adversarial substitute training strategy is introduced to focus on the data distributed near the decision boundary. The combination of these two modules can further boost the consistency of the substitute model and target model, which greatly improves the effectiveness of adversarial attack. Extensive experiments demonstrate the efficacy of our method against state-of-the-art competitors under non-target and target attack settings. Detailed visualization and analysis are also provided to help understand the advantage of our method.