敵対的パッチは、物理世界で敵対的攻撃を実行する重要な形式の 1 つです。既存の敵対的パッチの自然性と攻撃性を改善するために、ターゲット オブジェクト上のパッチの位置が攻撃を実行する最適化プロセスに統合される位置認識パッチが提案されています。これは効果的ではありますが、特にブラックボックス攻撃設定の下では、パッチを配置する最適な場所を効率的に見つけることは困難です。この論文では、敵対的な場所を個別に分散するのではなく、マルチモーダルな分散を最適化する新しい方法である、Distribution-Optimized Adversarial Patch (DOPatch) を提案します。 DOPatch にはいくつかの利点があります。 まず、さまざまなモデルにわたる位置の分布がかなり似ていることがわかり、そのため、サロゲート モデルで最適化された事前分布を使用して、目に見えないモデルに対する効率的なクエリベースの攻撃を実現できます。第 2 に、DOPatch は、敵対的な場所の分布を特徴付けることによって、多様な敵対的なサンプルを生成できます。したがって、慎重に設計された分布モデリング敵対的トレーニング (DOP-DMAT) を通じて、位置認識パッチに対するモデルの堅牢性を向上させることができます。私たちはさまざまな顔認識および画像認識タスクで DOPatch を評価し、既存の方法に対する DOPatch の優位性と効率性を実証します。また、当社では、広範なアブレーション研究と分析を実施して、当社の方法の有効性を検証し、敵対的位置の分布に関する洞察を提供します。
Adversarial patch is one of the important forms of performing adversarial attacks in the physical world. To improve the naturalness and aggressiveness of existing adversarial patches, location-aware patches are proposed, where the patch's location on the target object is integrated into the optimization process to perform attacks. Although it is effective, efficiently finding the optimal location for placing the patches is challenging, especially under the black-box attack settings. In this paper, we propose the Distribution-Optimized Adversarial Patch (DOPatch), a novel method that optimizes a multimodal distribution of adversarial locations instead of individual ones. DOPatch has several benefits: Firstly, we find that the locations' distributions across different models are pretty similar, and thus we can achieve efficient query-based attacks to unseen models using a distributional prior optimized on a surrogate model. Secondly, DOPatch can generate diverse adversarial samples by characterizing the distribution of adversarial locations. Thus we can improve the model's robustness to location-aware patches via carefully designed Distributional-Modeling Adversarial Training (DOP-DMAT). We evaluate DOPatch on various face recognition and image recognition tasks and demonstrate its superiority and efficiency over existing methods. We also conduct extensive ablation studies and analyses to validate the effectiveness of our method and provide insights into the distribution of adversarial locations.