近年、ディープニューラルネットワーク(DNN)の敵対的な脆弱性がますます注目を集めています。すべての脅威モデルの中で、ノーボックス攻撃は最も実用的ですが、ターゲットモデルまたは同様の代替モデルの知識に依存せず、新しい代替モデルをトレーニングするためにデータセットにアクセスしないため、非常に困難です。最近の方法では、このような攻撃を大まかに試みていますが、そのパフォーマンスは十分ではなく、トレーニングの計算オーバーヘッドは高くつきます。このホワイトペーパーでは、一歩前進し、さまざまなDNNをリアルタイムで攻撃するために使用できる、ボックスなしの脅威モデルの下でのトレーニングなしの敵対的摂動の存在を示します。低レベルの特徴の高周波成分(HFC)ドメインが分類に重要な役割を果たすという観察に動機付けられて、私たちは主にその周波数成分を操作することによって画像を攻撃します。具体的には、摂動は、元のHFCを抑制し、ノイズの多いHFCを追加することによって操作されます。効果的なノイズの多いHFCの要件を経験的および実験的に分析し、地域的に均質で、繰り返し、高密度である必要があることを示します。 ImageNetデータセットでの広範な実験は、提案されたボックスなしの方法の有効性を示しています。これは、平均で98.13%の成功率で10の有名なモデルを攻撃します。これは、最先端のノーボックス攻撃を29.39%上回っています。さらに、私たちの方法は、主流の転送ベースのブラックボックス攻撃に対しても競争力があります。
In recent years, the adversarial vulnerability of deep neural networks (DNNs) has raised increasing attention. Among all the threat models, no-box attacks are the most practical but extremely challenging since they neither rely on any knowledge of the target model or similar substitute model, nor access the dataset for training a new substitute model. Although a recent method has attempted such an attack in a loose sense, its performance is not good enough and computational overhead of training is expensive. In this paper, we move a step forward and show the existence of a training-free adversarial perturbation under the no-box threat model, which can be successfully used to attack different DNNs in real-time. Motivated by our observation that high-frequency component (HFC) domains in low-level features and plays a crucial role in classification, we attack an image mainly by manipulating its frequency components. Specifically, the perturbation is manipulated by suppression of the original HFC and adding of noisy HFC. We empirically and experimentally analyze the requirements of effective noisy HFC and show that it should be regionally homogeneous, repeating and dense. Extensive experiments on the ImageNet dataset demonstrate the effectiveness of our proposed no-box method. It attacks ten well-known models with a success rate of 98.13% on average, which outperforms state-of-the-art no-box attacks by 29.39%. Furthermore, our method is even competitive to mainstream transfer-based black-box attacks.