粉碎纸质选票：选举与对抗性机器学习

我们展示了在美国选举计票终端上使用机器学习分类器所带来的安全风险。选举计票中的核心分类任务是决定该笔记号是否出现在与选民投票方案关联的气泡上。Barretto 等人（E-Vote-ID 2021）报告称，卷积神经网络在该领域是可行的选择，因为它们优于基于简单特征的分类器。我们对选举安全的贡献可分为四部分：首先，引入四个新的选票数据集以演示和分析机器学习模型在选票终端上的假设漏洞。其次，在我们新的数据集上训练和测试各种不同模型，包括支持向量机、卷积神经网络（基础 CNN、VGG 和 ResNet）以及视觉转换器（Twins 和 CaiT）。第三，利用我们新的数据集和训练好的模型，演示传统的白箱攻击在投票领域无效，由于梯度遮蔽。我们的分析进一步揭示，梯度遮蔽是数值不稳定性的产物。我们使用修改后的 logits 比值损失（Croce 和 Hein，ICML 2020）来克服此问题。第四，在物理世界中，我们使用我们新方法生成的对抗性示例进行攻击。在传统对抗性机器学习中，理想的攻击成功率为 50% 或更高。然而，对于某些选举，即使达到 5% 的攻击成功率也可能改变比赛结果。我们表明在物理域中可能实现此类影响。我们深入讨论了攻击的现实性，以及打印和扫描选票对抗性示例的挑战和实际操作性。