CBA:基于圆几何性质的黑盒攻击方法OA

深度神经网络(DNN)容易受到对抗样本的攻击,在干净图像中添加微小扰动就使分类器产生错误分类。基于决策的攻击是一类只依赖目标模型预测硬标签输出的黑盒攻击,将目标模型视为黑匣子,攻击时只需对目标模型结果进行查询,而无需了解模型内部结构和参数信息,这种特性对现实世界的应用程序构成了严重的威胁。目前,基于决策的攻击方法通常利用梯度估计在目标模型决策边界附近发动攻击,但需要高昂的查询代价且生成的对抗样本质量效果不佳,失真较为严重。由于图像在频率空间中的低频信息能够有效表征其重要特征,在低频空间执行决策攻击,不仅有助于降低查询次数,还能生成高质量的对抗样本,因此提出一种基于圆几何性质的黑盒攻击方法CBA。该方法利用离散余弦变换(DCT),选择在频率空间中进行攻击,低频信息在其决策边界附近根据圆的几何性质不断迭代得到低频空间中的对抗样本。最后,逆离散余弦变换将其变换回输入空间,可以避免梯度估计,在保证攻击成功率的同时显著减少查询次数。在ImageNet数据集上的实验结果表明,CBA在查询量分别为500、1000、2000次的情况下,生成对抗样本的攻击成功率均比最新利用决策边界的几何性质的黑盒攻击方法高。同时,CBA在相同查询量不同约束条件下,也具有更高的攻击成功率。因此,CBA减少了生成对抗样本所需的查询量,生成的对抗样本失真更小,图像质量更佳,除此之外,还在现实世界模型中测试了CBA的有效性。