ブラックボックスの敵対的攻撃は、ディープラーニングセキュリティの分野での実用化で大きな注目を集めていますが、ネットワークアーキテクチャやターゲットモデルの内部の重みにアクセスできないため、非常に困難です。例が複数のモデルに対して敵対的である場合、攻撃能力を他のモデルに移す可能性が高いという仮説に基づいて、アンサンブルベースの敵対的攻撃方法は効率的であり、ブラックボックス攻撃に広く使用されています。ただし、アンサンブル攻撃の方法はあまり調査されておらず、既存のアンサンブル攻撃はすべてのモデルの出力を均等に融合するだけです。この作業では、反復アンサンブル攻撃を確率的勾配降下最適化プロセスとして扱います。このプロセスでは、さまざまなモデルの勾配の分散が局所最適化の低下につながる可能性があります。この目的のために、確率的分散減少アンサンブル(SVRE)攻撃と呼ばれる新しい攻撃方法を提案します。これにより、アンサンブルモデルの勾配分散を低減し、アンサンブル攻撃を最大限に活用できます。標準のImageNetデータセットでの経験的結果は、提案された方法が敵対的な転送可能性を高め、既存のアンサンブル攻撃を大幅に上回る可能性があることを示しています。
The black-box adversarial attack has attracted impressive attention for its practical use in the field of deep learning security, meanwhile, it is very challenging as there is no access to the network architecture or internal weights of the target model. Based on the hypothesis that if an example remains adversarial for multiple models, then it is more likely to transfer the attack capability to other models, the ensemble-based adversarial attack methods are efficient and widely used for black-box attacks. However, ways of ensemble attack are rather less investigated, and existing ensemble attacks simply fuse the outputs of all the models evenly. In this work, we treat the iterative ensemble attack as a stochastic gradient descent optimization process, in which the variance of the gradients on different models may lead to poor local optima. To this end, we propose a novel attack method called the stochastic variance reduced ensemble (SVRE) attack, which could reduce the gradient variance of the ensemble models and take full advantage of the ensemble attack. Empirical results on the standard ImageNet dataset demonstrate that the proposed method could boost the adversarial transferability and outperforms existing ensemble attacks significantly.