Vermeidung von Abwehrmechanismen bei übertragbaren adversarialen Beispielen durch translationsinvariante Angriffe

Tiefe neuronale Netzwerke sind anfällig für adversariale Beispiele, die Klassifizierer durch das Hinzufügen von unmerklichen Störungen irreführen können. Eine interessante Eigenschaft adversarialer Beispiele ist ihre gute Übertragbarkeit, was Black-Box-Angriffe in realen Anwendungen möglich macht. Aufgrund der Bedrohung durch adversariale Angriffe wurden viele Methoden vorgeschlagen, um die Robustheit zu verbessern. Mehrere moderne Abwehrmechanismen haben sich als robust gegenüber übertragbaren adversarialen Beispielen erwiesen. In dieser Arbeit schlagen wir eine translationsinvariante Angriffsmetode vor, um übertragbarere adversariale Beispiele gegen die Abwehrmodelle zu generieren. Durch die Optimierung einer Störung über ein Ensemble von übersetzten Bildern ist das generierte adversariale Beispiel weniger empfindlich gegenüber dem angegriffenen White-Box-Modell und hat eine bessere Übertragbarkeit. Um die Effizienz der Angriffe zu verbessern, zeigen wir weiter, dass unsere Methode implementiert werden kann, indem man den Gradienten des nicht übersetzten Bildes mit einem vordefinierten Kernel konvolviert. Unsere Methode ist allgemein auf jede gradientenbasierte Angriffsmetode anwendbar. Umfassende Experimente mit dem ImageNet-Datensatz validieren die Wirksamkeit der vorgeschlagenen Methode. Unser bester Angriff überlistet acht moderne Abwehrmechanismen mit einer durchschnittlichen Erfolgsquote von 82 %, basierend ausschließlich auf der Übertragbarkeit, und demonstriert die Unsicherheit der aktuellen Abwehrtechniken.