4.2.3. C&W támadás: Az optimalizálás művészete

A probléma újrakeretezése: Támadás mint optimalizáció

A C&W támadás lényege, hogy a perturbáció-keresést egy formális, korlátokkal rendelkező optimalizációs problémaként definiálja. Ahelyett, hogy iteratívan módosítanánk a bemenetet a veszteség növelése érdekében, a C&W egyszerre két dolgot próbál elérni:

1. Minimalizálni a perturbáció mértékét (azaz a bemeneti kép és az ellenséges példa közötti távolságot).
2. Garantálni a sikeres félrevezetést (azaz, hogy a modell a perturbált képet egy adott, célzott osztályba sorolja).

Ez a két cél gyakran ellentétes egymással: egy nagyobb perturbáció valószínűbbé teszi a sikert, de könnyebben észrevehető. A C&W eleganciája abban rejlik, ahogyan ezt a két célt egyetlen, optimalizálható veszteségfüggvényben egyesíti.

A C&W veszteségfüggvény anatómiája

A támadás lelke egy speciálisan kialakított veszteségfüggvény, amely a következőképpen néz ki:

Bontsuk szét ezt a képletet, hogy megértsük a komponenseit:

• ||δ||p: Ez a távolságkomponens. A δ (delta) a perturbációt jelöli, a p pedig a távolságmértéket (normát). A C&W támadás leggyakrabban az L₂ normát használja, ami a képpontok közötti euklideszi távolságot méri. Az L₂ norma minimalizálása általában kis, elszórt, vizuálisan nehezen észrevehető zajt eredményez. Ez az a tag, ami a perturbáció „lopakodó” jellegéért felel.
• c · f(x + δ): Ez az osztályozási komponens. Az f() egy ügyesen megtervezett célfüggvény, ami akkor alacsony értékű, ha a modell sikeresen félre van vezetve, és magas, ha nem. A c egy súlyozási konstans, ami a két komponens közötti egyensúlyt szabályozza. Egy magas c érték azt mondja az optimalizálónak: „Nem érdekel a perturbáció mérete, csak vezesd félre a modellt!”, míg egy alacsonyabb érték a perturbáció minimalizálását helyezi előtérbe.

A támadás során az optimalizáló (pl. Adam) ezt a teljes kifejezést próbálja minimalizálni. A c konstans értékét jellemzően bináris kereséssel találják meg, hogy megtalálják azt a legkisebb c-t, ami még éppen sikeres támadást eredményez. Ez biztosítja, hogy a talált perturbáció a lehető legkisebb legyen.

A C&W támadás (zöld) az eredeti ponthoz geometriailag legközelebbi, félrevezető pontot keresi meg, míg a PGD (narancs) a gradiens mentén tett lépésekkel jut el egy (nem feltétlenül optimális) félrevezető ponthoz.

Az f(x') célfüggvény: A magabiztos megtévesztés

A célfüggvény okossága abban rejlik, hogy nem csupán a helytelen osztályozást célozza, hanem azt is, hogy a modell a célzott osztályt magabiztosabban jósolja, mint bármelyik másikat. Egy célzott támadás esetén, ahol a cél a t osztály elérése, a függvény így néz ki:

Itt Z(x') a modell logit kimeneteit jelöli (a softmax réteg előtti nyers értékeket). A függvény azt méri, hogy a legvalószínűbb nem célzott osztály (maxi≠t Z(x')i) logitja mennyivel nagyobb, mint a célzott osztályé (Z(x')t). Ha ez a különbség negatív, a támadás sikeres. A κ (kappa) egy „magabiztossági” paraméter, ami arra ösztönzi az optimalizálót, hogy ne csak éppen átbillentse a döntést, hanem egy bizonyos margóval tegye azt. Ezzel a támadás robusztusabbá válik.

A támadás menete a gyakorlatban

Bár a háttérben lévő matematika komplex, a támadás algoritmusa lépésekre bontható:

1. Cél kiválasztása: Meghatározzuk a bemenetet (x) és a célosztályt (t).
2. Konstans keresése: Elindítunk egy bináris keresést a c konstansra egy előre meghatározott tartományban (pl. 10^-3 és 10¹⁰ között).
3. Belső optimalizáció: Minden egyes kipróbált c értékhez egy optimalizálót (pl. Adam) futtatunk egy adott számú lépésig, hogy minimalizáljuk a teljes C&W veszteségfüggvényt. Ez a lépés finomhangolja a δ perturbációt.
4. Sikeresség ellenőrzése: Az optimalizáció után ellenőrizzük, hogy a perturbált bemenet (x + δ) a célosztályba lett-e sorolva.
5. Keresés finomítása: Ha a támadás sikeres volt, a bináris keresésben egy alacsonyabb c értéket próbálunk ki (hogy kisebb perturbációt keressünk). Ha sikertelen, egy magasabbat (hogy nagyobb hangsúlyt fektessünk a félrevezetésre).
6. Eredmény: A folyamat végén megkapjuk a legkisebb perturbációt, ami a legkisebb sikeres c értékkel párosult.

# C&W támadás pszeudokódja
def cw_attack(model, x, t, kappa=0):
 # c konstans bináris keresésének inicializálása
 c_also = 0.001
 c_felso = 10000.0

 legjobb_delta = None
 legkisebb_c = float('inf')

 for keresesi_lepes in range(10): # Bináris keresés
 c = (c_also + c_felso) / 2
 
 # Perturbáció (delta) inicializálása
 delta = zeros_like(x)

 # Optimalizáló futtatása (pl. Adam) a C&W loss-ra
 for opt_lepes in range(100):
 veszteseg = l2_norm(delta) + c * f(x + delta, t, kappa)
 delta = adam_update(delta, grad(veszteseg))

 # Sikeresség ellenőrzése
 if model.predict(x + delta) == t:
 # Sikeres, próbáljunk kisebb c-t és mentsük az eredményt
 c_felso = c
 legjobb_delta = delta
 else:
 # Sikertelen, kell a nagyobb c
 c_also = c
 
 return legjobb_delta
 

Erősségek és gyengeségek: Mikor használjuk?

A C&W támadás egy rendkívül erős eszköz, de nem minden helyzetben ideális. Fontos mérlegelni az előnyeit és hátrányait.

Összefoglalva, a C&W támadást akkor érdemes bevetni, ha a cél egy modell védekezési képességeinek maximális tesztelése (stressz-teszt), és a számítási kapacitás nem elsődleges szempont. Nem alkalmas valós idejű vagy gyors támadási forgatókönyvekre, de a Red Teaming felmérések során aranyat ér, mint a „legnehezebb kalapács” a szerszámosládában.