ランダム化された検索スキームに基づく敵対的な攻撃は、最近、ブラックボックスの堅牢性評価で最先端の結果を得ています。ただし、この作業で示すように、さまざまなクエリ予算レジームでの効率は、基になる提案分布の手動設計とヒューリスティック調整に依存します。攻撃中に得られた情報に基づいてオンラインで提案の配布を適応させることにより、この問題にどのように対処できるかを調査します。最先端のスコアベースのブラックボックス攻撃であるSquareAttackを検討し、攻撃中にオンラインでプロポーザル配布のパラメーターを調整する学習済みコントローラーによってパフォーマンスを向上させる方法を示します。ホワイトボックスにアクセスできるCIFAR10モデルで、勾配ベースのエンドツーエンドトレーニングを使用してコントローラーをトレーニングします。学習したコントローラーを攻撃に接続すると、ブラックボックスにアクセスできるさまざまなモデルで、さまざまなクエリ体制でのブラックボックスの堅牢性の推定値が最大20%向上することを示します。さらに、学習した適応原理が、CIFAR100やImageNetなどの他のデータ配布や標的型攻撃設定にうまく移行することを示します。
Adversarial attacks based on randomized search schemes have obtained state-of-the-art results in black-box robustness evaluation recently. However, as we demonstrate in this work, their efficiency in different query budget regimes depends on manual design and heuristic tuning of the underlying proposal distributions. We study how this issue can be addressed by adapting the proposal distribution online based on the information obtained during the attack. We consider Square Attack, which is a state-of-the-art score-based black-box attack, and demonstrate how its performance can be improved by a learned controller that adjusts the parameters of the proposal distribution online during the attack. We train the controller using gradient-based end-to-end training on a CIFAR10 model with white box access. We demonstrate that plugging the learned controller into the attack consistently improves its black-box robustness estimate in different query regimes by up to 20% for a wide range of different models with black-box access. We further show that the learned adaptation principle transfers well to the other data distributions such as CIFAR100 or ImageNet and to the targeted attack setting.