💻 computer science

Tangent Subspace Boundary Attack: A Query-Efficient Decision-Based Black-BoxAdversarial Attack

Dieses Paper schlägt den Tangent Subspace Boundary Attack (TSBA) vor, einen abfrageeffizienten, entscheidungsbasierten Black-Box-Adversarial-Angriff, der bestehende Methoden verbessert, indem er Perturbations-Updates innerhalb eines niedrigdimensionalen Tangenten-Unterraums der Entscheidungsgrenze beschränkt, um den Suchprozess zu stabilisieren und die Abfragekomplexität signifikant zu reduzさせて, während gleichzeitig wettbewerbsfähige Verzerrungsgrade beibehalten werden.

Ursprüngliche Autoren: Liming Fan, ANIS SALWA MOHD KHAIRUDDIN, HAICHUAN LIU, QIYUAN QIN, KHAIRUNNISA BINTI HASIKIN, CHEE SENG CHAN

Veröffentlicht 2026-07-15

📖 6 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Liming Fan, ANIS SALWA MOHD KHAIRUDDIN, HAICHUAN LIU, QIYUAN QIN, KHAIRUNNISA BINTI HASIKIN, CHEE SENG CHAN

Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie versuchen, einen winzigen, unsichtbaren Aufkleber auf die Linse einer Sicherheitskamera zu kleben, damit diese ein „Stopp“-Schild mit einem „Geschwindigkeitsbegrenzungsschild“ verwechselt. Sie können den internen Code der Kamera nicht sehen (sie ist eine „Black Box“), und Sie können sie nicht nach Hinweisen fragen wie „Du kommst dem Ziel näher“. Sie können lediglich fragen: „Was glaubst du, das ist?“, und auf ein einfaches „Ja“ oder „Nein“ warten.

Dies ist das Albtraumszenario für Hacker, die versucht sind, KI zu täuschen. Das Papier, das Sie gerade lesen, „Tangent Subspace Boundary Attack“ (TSBA), geht dieses Problem an, indem es sagt: „Hör auf, im Dunkeln blind herumzuirren. Nutze die Geometrie, um am Rande zu wandeln.“

Das Problem: Der blind geführte Wanderer

Stellen Sie sich vor, Sie sind ein Wanderer, der am Rand einer Klippe steht (der „Entscheidungsgrenze“, an der die KI ihre Meinung ändert). Sie wollen den kleinstmöglichen Schritt über die Klippe machen, um in die „falschen Antwort“-Zone zu fallen, aber Sie können den Boden nicht sehen.

Der alte Weg (Boundary Attack): Sie drehen sich im Kreis, fuchteln mit den Armen und machen zufällige Schritte. Wenn Sie herunterfallen, klettern Sie wieder hoch und versuchen es erneut. Wenn Sie am Rand bleiben, machen Sie einen weiteren zufälligen Schritt. Das ist erschöpfend. Es dauert tausende Versuche (Abfragen), um den perfekten Punkt zu finden, an dem man fällt.
Der „schlaue“ alte Weg (HopSkipJumpAttack): Sie versuchen zu erraten, in welche Richtung es bergab geht, indem Sie ein paar winzige Schritte machen und schauen, ob Sie fallen. Das ist besser, aber Sie müssen immer noch viel raten, und manchmal raten Sie falsch und verschwenden Zeit damit, wieder hochzuklettern.

Die Autoren argumentieren, dass diese Methoden ineffizient sind, weil sie die Form der Klippe ignorieren, an der man gerade steht. Sie behandeln die Kante wie ein zackiges, chaotisches Chaos, obwohl sie bei genauerem Hinsehen eigentlich glatt und vorhersehbar ist.

Die Lösung: Die Tangent Subspace Boundary Attack (TSBA)

Die Autoren schlagen eine neue Strategie vor, die die Klippenkante wie einen glatten, flachen Tisch behandelt. So gehen sie dabei vor, unter Verwendung von drei klugen Tricks:

1. Die Binäre Suche (Der „Präzisions“-Trick)
Anstatt herumzuwandern, um den Rand zu finden, nutzt TSBA eine „binäre Suche“. Stellen Sie sich vor, Sie halten einen langen Stock zwischen sich und die Klippenkante. Sie schieben den Stock hin und her und halbieren dabei jedes Mal die Distanz, bis Sie genau auf der Linie sind, an der die KI ihre Meinung ändert. Dies findet die Kante sofort, ohne Schritte zu verschwenden.

2. Der Tangent Subspace (Der „Seitwärtsgang“) (Der „Seitwärtsgang“)
Sob sobald Sie am Rand sind, könnten die alten Methoden versehentlich vorwärts oder rückwärts treten und Sie von Ihrem Ziel wegführen. TSBA sagt: „Nö. Wir gehen nur seitwärts.“
Sie erzwingen, dass jeder Schritt orthogonal (im rechten Winkel) zu der Richtung ist, aus der Sie kamen. Denken Sie an das Gehen auf einem Seil. Sie dürfen weder in Richtung Boden noch in Richtung Himmel treten; Sie können sich nur entlang des Seils bewegen. Dies stellt sicher, dass jeder Schritt, den Sie machen, Sie näher an den perfekten, winzigen Aufkleber bringt, ohne den Aufkleber größer oder unordentlicher zu machen.

3. Der Niedrigdimensionale Unterraum (Der „Schmale Flur“) (Der „Schmale Flur“)
Die Welt ist riesig (hochdimensional), und überall nachzusehen ist langsam. TSBA baut einen schmalen Flur (einen niedrigdimensionalen Unterraum) auf und sucht nur innerhalb dieses Flurs nach Schritten. Es ist wie die Suche nach einem verlorenen Schlüssel in einem einzigen Zimmer anstatt die ganze Stadt abzusuchen. Dies macht die Suche unglaublich schnell.

Die Ergebnisse: Schneller, kleiner und stärker

Die Autoren testeten dies auf ImageNet, einer massiven Datenbank mit über einer Million Fotos und 1.000 verschiedenen Kategorien. Sie verwendeten ein Standardmodell namens ResNet-50.

Hier ist das, was geschah, als sie TSBA mit den alten Champions verglichen:

Der Geschwindigkeitstest: Als die Hacker nur 500 Fragen (Queries) an die KI stellen durften:
- Der alte Boundary Attack war nur in 28 % der Fälle erfolgreich.
- Der HopSkipJumpAttack (HSJA) war zu 38 % erfolgreich.
- TSBA war zu 46 % erfolgreich.
- Noch besser: Um einen erfolgreichen Angriff zu landen, benötigte TSBA im Median nur 150 Fragen, während HSJA 210 und der Boundary Attack 340 benötigten.
Der „Unsichtbarkeits“-Test: Das Ziel ist es, den Aufkleber so klein wie möglich zu machen, damit Menschen ihn nicht sehen können. TSBA erzeugte konsequent kleinere, weniger auffällige Veränderungen (geringere ℓ2-Distorsion) als die anderen Methoden. Tatsächlich, als sie versuchten, eine „super-sichere“ KI zu täuschen, die darauf trainiert wurde, Angriffe abzuwehren (ein PGD robustes Modell), war TSBA immer noch zu 70 % erfolgreich mit einer geringen Distorsion, während die anderen Schwierigkeiten hatten, über 55 % zu kommen.

Was sie ausgeschlossen haben

Das Papier ist sehr deutlich darüber, was in diesem spezifischen Szenario nicht gut funktioniert. Sie argumentieren gegen die Idee, dass man den „Gradienten“ (die Steigung des Hügels) durch viele Zufallsstichproben schätzen muss, um ihn zu erraten. Sie zeigen, dass dieser Ansatz zu viel „Rauschen“ erzeugt und Fragen verschwendet. Sie schließen auch die Idee aus, dass man den gesamten, massiven 3D-Raum des Bildes explorieren muss; sich auf einen kleineren, klügeren Teil des Raums zu beschränken, ist tatsächlich besser.

Wie sicher sind sie sich?

Die Autoren sind recht zuversichtlich, bleiben aber bei den Fakten. Sie haben nicht nur geraten; sie haben umfangreiche Experimente mit echten Daten durchgeführt.

Sie maßen die Ergebnisse an 100 Bildern, die aus 10 verschiedenen Kategorien ausgewählt wurden.
Sie führten die Tests mit spezifischen Limits durch: 500, 1.000 und 1.500 Queries.
Sie bewiesen, dass das Entfernen eines ihrer drei Tricks (die binäre Suche, das Seitwärtsgehen oder den schmalen Flur) den Angriff verschlechterte. Zum Beispiel: Wenn sie die Regel des „Seitwärtsgehens“ entfernten, sank die Erfolgsquote von 71 % auf 65 %, und die Anzahl der benötigten Fragen stieg von 1.800 auf 2.200.

Das Fazit

Das Paper legt nahe, dass das Geheimnis, eine KI zu täuschen, nicht darin besteht, einfach mehr Dartpfeile auf die Zielscheibe zu werfen, sondern die Geometrie des Ziels zu verstehen. Indem man strikt entlang der Entscheidungsgrenze der KI wandelt und sich innerhalb eines engen, effizienten Pfades bewegt, schafft es TSBA, die KI mit weniger Fragen und kleineren, unsichtbareren Veränderungen als je zuvor zu täuschen.

Es ist, als würde man den perfekten Ort finden, um einen Sicherheitsmann zu Fall zu bringen, nicht indem man um das Gebäude herumläuft, sondern indem man genau weiß, wo der Fuß des Wächters landen wird, und mit einer einzigen, präzisen Bewegung genau dort hineintritt.

Technisches Resümee: Tangent Subspace Boundary Attack (TSBA)

Problemstellung

Die Arbeit befasst sich mit der Herausforderung entscheidungsbasierter Black-Box-Adversarial-Attacks, einem Szenario, in dem ein Angreifer lediglich Zugriff auf das finale vorhergesagte Label eines Zielmodells hat, ohne Zugriff auf Konfidenzwerte oder Gradienten. Dieses Szenario ist in hochdimensionalen Eingaberaum (z. B. ImageNet) besonders schwierig, da der Mangel an Gradienteninformationen die effiziente Exploration des Eingaberaums zur Suche nach minimalen Perturbationen extrem erschwert.

Bestehende Methoden leiden unter fundamentalen Einschränkungen:

Boundary Attack: Verlässt sich auf hochdimensionale Zufallsstichproben und Ablehnungsverfahren (Rejection Sampling), was zu einer schlechten Abfrageeffizienz führt.
HopSkipJumpAttack (HSJA): Verbessert die Effizienz durch die Schätzung von Gradienten mittels Zufallsstichproben, führt jedoch zu hoher Varianz und erheblichem Abfrageaufwand (Query Overhead).
Allgemeine Einschränkung: Vorangegangene Ansätze versäumen es oft, die lokale geometrische Struktur der Entscheidungsgrenze explizit auszunutzen, was zu instabiler Exploration, radialer Expansion von Perturbationen und redundanten Abfragen führt.

Methodik: Tangent Subspace Boundary Attack (TSBA)

Die Autoren schlagen TSBA vor, einen entscheidungsbasierten Angriff, der explizit geometrische Nebenbedingungen einbezieht, um den Suchprozess zu stabilisieren und die Varianz der Abfragen zu reduzieren. Die Kernphilosophie besteht darin, die Annäherung an die Grenze von der Exploration der Richtung zu entkoppeln.

Die Methodik besteht aus drei Schlüsselkomponenten:

1. Grenzprojektion mittels Binärsuche

Anstatt die Magnitude der Perturbation durch Random Walks schrittweise zu reduzieren, projiziert TSBA den aktuellen adversariellen Punkt explizit auf die Entscheidungsgrenze.

Gegeben sei ein adversarieller Punkt $x_{adv}$ und der ursprüngliche Input $x_o$ . Der Algorithmus definiert ein Liniensegment zwischen diesen beiden.
Er führt eine Binärsuche durch, um die kleinste Schrittweite $\lambda$ zu finden, sodass der Punkt $(1-\lambda)x_o + \lambda x_{adv}$ noch immer falsch klassifiziert wird.
Dies liefert einen projizierten Punkt $x_b$ , der exakt auf der Entscheidungsgrenze liegt, wodurch redundante Schritte zur Distanzreduktion, wie sie in vorangegangenen Methoden vorkommen, eliminiert werden.

2. Tangentenraum-beschränkte Updates

Um sicherzustellen, dass Updates in Richtung des Originalbildes erfolgen, ohne die Distanz zu vergrößern (radiale Expansion), erzwingt TSBA eine Orthogonalitätsbedingung.

An einem Grenzpunkt $x_b$ wird die „Quellrichtung“ als $v_k = x_b - x_o$ definiert.
Jede Kandidaten-Perturbation $\delta$ wird auf den Tangentenraum projiziert, der orthogonal zu $v_k$ steht:
$\delta \leftarrow \delta - \frac{\langle \delta, v_k \rangle}{\|v_k\|^2} v_k$
Theoretische Begründung: Die Arbeit beweist (Proposition 1), dass unter dieser Orthogonalitätsbedingung die Distanz zum ursprünglichen Input $\|x_{b}^{k+1} - x_o\|$ nach der Projektion nicht zunimmt. Dies gewährleistet eine lokal monotone Reduktion der Verzerrung.

3. Niedrigdimensionale Subraum-Sampling

Um die Ineffizienz des Samplings in hochdimensionalen Räumen ( $d \gg 1$ ) zu adressieren, beschränkt TSBA die Perturbationen auf einen niedrigdimensionalen Subraum.

Eine Basis $U \in \mathbb{R}^{d \times k}$ (wobei $k \ll d$ ) wird verwendet.
Perturbationen werden als $\delta = Uz$ gesampelt, wobei $z \sim \mathcal{N}(0, I_k)$ .
Dieses strukturierte Sampling erhöht die Wahrscheinlichkeit, effektive Richtungen zu finden, im Vergleich zu volldimensionalem Zufallssampling signifikant.

Algorithmus-Ablauf:

Projiziere das initiale adversarielle Beispiel via Binärsuche auf die Grenze.
Sample eine Perturbation in einem niedrigdimensionalen Subraum.
Projiziere die Perturbation auf den Tangentenraum (orthogonal zur Quellrichtung).
Aktualisiere den Punkt und re-projiziere auf die Grenze via Binärsuche.
Wiederhole, bis zur Konvergenz oder Erschöpfung des Abfragebudgets.

Wichtige Beiträge

Die Autoren fassen ihre Beiträge wie folgt zusammen:

Boundary Projection Mechanismus: Ein effizienter Binärsuchansatz zur Annäherung an die Entscheidungsgrenze, der die in vorangegangenen Random-Walk-Methoden inhärenten redundanten Schritte entfernt.
Tangent-Space Update Strategie: Eine neuartige Bedingung, die Orthogonalität zur Quellrichtung erzwingt und theoretisch eine lokal monotone Reduktion der Perturbationsmagnitude garantiert.
Strukturiertes Subraum-Sampling: Die Integration von niedrigdimensionalem Subraum-Sampling zur Verbesserung der Explorationseffizienz und Stabilität in hochdimensionalen Räumen.
Empirische Validierung: Umfangreiche Experimente, die eine überlegene Abfrageeffizienz und konkurrenzfähige Verzerrung im Vergleich zu State-of-the-Art-Methoden demonstrieren.

Experimentelle Ergebnisse

Die Experimente wurden auf dem ImageNet-Datensatz unter Verwendung eines vortrainierten ResNet-50-Modells durchgeführt, wobei TSBA mit Boundary Attack und HopSkipJumpAttack (HSJA) verglichen wurde.

Abfrageeffizienz und Erfolgsrate

Erfolgsrate: Bei einem Abfragebudget von 500 erreichte TSBA eine Erfolgsrate von 46%, womit es HSJA (38%) und Boundary Attack (28%) übertraf. Bei 1500 Abfragen erreichte TSBA 80%, verglichen mit 73% (HSJA) und 61% (Boundary Attack).
Abfragekosten: TSBA benötigte signifikant weniger mediane Abfragen, um erfolgreich zu sein. Für ein 500-Abfrage-Budget benötigte TSBA median 150 Abfragen, während HSJA 210 und Boundary Attack 340 benötigten.

Query-Distortion-Trade-off (Abfrage-Verzerrungs-Verhältnis)

TSBA erzielte über alle Abfragebudgets hinweg konsistent eine geringere $\ell_2$ -Verzerrung.
Im Bereich geringer Abfragezahlen (<1000 Abfragen) zeigte TSBA einen signifikanten Vorteil darin, der Entscheidungsgrenze mit minimaler Verzerrung schnell näher zu kommen.

Robustheitsbewertung

TSBA wurde gegen verteidigte Modelle (adversariell trainiertes PGD und Randomized Smoothing RS) getestet.

Unter einer RMSE-Beschränkung ( $\le 0.1$ ) erreichte TSBA Erfolgsraten von 70-72% auf robusten Modellen und übertraf damit signifikant Boundary Attack (35-48%) und HSJA (55-69%).
TSBA benötigte zudem weniger Abfragen (ca. 1600-1700) als HSJA (5001) und Boundary Attack (2200+), um erfolgreiche Angriffe auf robuste Modelle zu erzielen.

Qualitative Analyse

Die visuelle Analyse der Perturbationen zeigte, dass TSBA niedrigere Magnituden und lokalisiertere Perturbationen erzeugt, die auf semantisch informativen Regionen (z. B. Objektgrenzen) konzentriert sind, während Boundary Attack hochfrequentes Rauschen über große Bildregionen hinweg produzierte.

Ablationsstudie

Das Entfernen einer der drei Kernkomponenten (Boundary Projection, Tangent Constraint oder Subspace Sampling) führte zu einer Verschlechterung der Leistung:

Ohne Projektion: Erhöhte Anzahl an Abfragen und Verzerrung.
Ohne Tangent Constraint: Reduzierte Stabilität und langsamere Konvergenz.
Ohne Subspace: Signifikant verschlechterte Abfrageeffizienz aufgrund der Schwierigkeit des hochdimensionalen Zufallssamplings.

Bedeutung und Behauptungen

Die Arbeit behauptet, dass die Ineffizienz bestehender entscheidungsbasierter Angriffe auf einer unzureichenden Ausnutzung der lokalen geometrischen Struktur der Entscheidungsgrenze beruht. Durch die explizite Beschränkung der Updates auf einen Tangenten-Subraum und die Entkopplung von Grenzannäherung und Richtungs-Exploration bietet TSBA einen prinzipienbasierten Mechanismus, um:

Den Suchprozess zu stabilisieren, indem die radiale Expansion von Perturbationen vermieden wird.
Die Varianz der gesampelten Richtungen zu reduzieren.
Eine Abfrageeffizienz zu erreichen, die mit Gradientenschätzverfahren vergleichbar oder sogar besser ist, ohne tatsächlich Gradienten zu schätzen.

Die Autoren kommen zu dem Schluss, dass TSBA die fundamentale Rolle der lokalen Geometrie der Entscheidungsgrenze für die adversarielle Vulnerabilität hervorhebt und einen neuen Weg für das Design effizienter Black-Box-Angriffe eröffnet. Sie merken an, dass ihr Ansatz darauf hindeutet, dass adversarielle Perturbationen effektiv innerhalb einer niedrigdimensionalen Tangentenstruktur optimiert werden können.

Zukünftige Arbeiten sollen die adaptive Subraum-Lernverfahren, die dynamische Schrittweitensteuerung sowie Erweiterungen auf Video- und 3D-Daten untersuchen sowie theoretische Garantien für Konvergenz und Abfragekomplexität erforschen.