利用迁移先验提升硬标签攻击的射线搜索

最实用且具有挑战性的黑箱对抗攻击之一是硬标签攻击，即仅获得Top-1预测标签。一种有效方法是从良性图像搜索最优射线方向，以最小化其到对抗区域的 $\ell_p$ 范数距离。这种方法的独特优势在于将硬标签攻击转化为连续优化问题。目标函数值为射线的半径，可通过二分搜索获得，但查询成本较高。现有方法使用“符号技巧”进行梯度估计以减少查询次数。本文对该梯度估计质量进行理论分析，并提出一种新颖的先验导向方法在理论和实证方面提高射线搜索效率。具体而言，我们利用来自代理模型的迁移先验，梯度估计器通过在这些先验和随机方向张成的子空间上对真实梯度的投影进行近似，以实现查询效率。我们在理论上推导了获取梯度估计器与真实梯度之间预期余弦相似性，并展示了纳入先验所带来的改进。在ImageNet和CIFAR-10数据集上的大量实验表明，我们的方法在查询效率方面显著优于11种最先进的方法。