敵対的な例は、さまざまなモデル間で転送できるため、セキュリティ クリティカルなアプリケーションで広く注目を集めています。敵対的転送可能性を高めるために多くの方法が提案されていますが、実際の需要には依然としてギャップが存在します。この論文では、モデル固有の識別領域がソース モデルへの過剰適合を引き起こす重要な要因であり、その結果、ターゲット モデルへの移行可能性が低下すると主張します。そのため、敵対的摂動を計算するときに、パッチごとのマスクを利用してモデル固有の領域を除去します。これらの領域を正確に位置特定するために、マスクを自動的に最適化する学習可能なアプローチを紹介します。具体的には、フレームワーク内でターゲット モデルをシミュレートし、シミュレートされたモデルのフィードバックに従ってパッチごとのマスクを調整します。効率を向上させるために、Differential Eevolutionary (DE) アルゴリズムを利用して、特定の画像のパッチごとのマスクを検索します。反復攻撃中に、学習されたマスクが画像に適用されて、モデル固有の領域に関連するパッチが削除され、それによって勾配がより一般的になり、敵対的な転送可能性が向上します。提案されたアプローチは前処理方法であり、既存の勾配ベースの方法と統合して転送攻撃の成功率をさらに高めることができます。 ImageNet データセットに関する広範な実験により、私たちの方法の有効性が実証されました。提案されたアプローチをアンサンブル攻撃の既存の手法と組み合わせ、7 つの高度な防御手法に対して平均成功率 93.01% を達成しました。これにより、最先端の転送ベースの攻撃パフォーマンスを効果的に向上させることができます。
Adversarial examples have raised widespread attention in security-critical applications because of their transferability across different models. Although many methods have been proposed to boost adversarial transferability, a gap still exists in the practical demand. In this paper, we argue that the model-specific discriminative regions are a key factor to cause the over-fitting to the source model, and thus reduce the transferability to the target model. For that, a patch-wise mask is utilized to prune the model-specific regions when calculating adversarial perturbations. To accurately localize these regions, we present a learnable approach to optimize the mask automatically. Specifically, we simulate the target models in our framework, and adjust the patch-wise mask according to the feedback of simulated models. To improve the efficiency, Differential Evolutionary (DE) algorithm is utilized to search for patch-wise masks for a specific image. During iterative attacks, the learned masks are applied to the image to drop out the patches related to model-specific regions, thus making the gradients more generic and improving the adversarial transferability. The proposed approach is a pre-processing method and can be integrated with existing gradient-based methods to further boost the transfer attack success rate. Extensive experiments on the ImageNet dataset demonstrate the effectiveness of our method. We incorporate the proposed approach with existing methods in the ensemble attacks and achieve an average success rate of 93.01% against seven advanced defense methods, which can effectively enhance the state-of-the-art transfer-based attack performance.