Foolmix: Fortalecer la Transferibilidad de Ejemplos Adversariales mediante Estrategia de Mezcla Dual y Actualización de Dirección

Los ataques con ejemplos adversariales se consideran una amenaza seria para los modelos de redes neuronales profundas (DNN). La generación de ejemplos adversariales en configuraciones de caja blanca ha sido bien estudiada; sin embargo, sigue siendo un desafío generar ejemplos adversariales transferibles que ataquen con éxito modelos de caja negra. Este trabajo propone Foolmix, un método novedoso para generar ejemplos adversariales transferibles para ataques de caja negra. El diseño de Foolmix se inspira en nuestra observación de que los ejemplos adversariales con alta transferibilidad suelen llevar características multiclase en el espacio latente de los modelos DNN. Así, proponemos una estrategia de mezcla dual que combina la imagen con un conjunto de bloques de píxeles aleatorios y mezcla el gradiente calculando la pérdida de la imagen mezclada tanto para la etiqueta de verdad fundamental como para un conjunto de etiquetas aleatorias. La estrategia de mezcla dual presiona al ejemplo para que penetre en múltiples regiones de clase y adquiera características multiclase en el espacio latente, mejorando enormemente la transferibilidad del ejemplo adversarial generado. Sin embargo, la aleatoriedad en el proceso de mezcla también puede presionar al ejemplo para que se aproxime al límite de la región de clase original, lo que reduce la robustez del ejemplo. Para mitigar este problema, además proponemos un método de actualización en la dirección de avance inicial para guiar el ejemplo adversarial generado a penetrar profundamente en regiones adversariales multiclase mientras se mantiene globalmente alejado de la región de clase original. En comparación con los ataques basados en transformaciones de última generación, Foolmix mejora significativamente la transferibilidad de los ejemplos adversariales generados, aumentando la tasa de éxito promedio de ataques transferibles en un 13.2% y un 16.9% en CNNs y ViTs, respectivamente, mientras logra una mejor capacidad de ruptura de defensa.