技術要約：Tangent Subspace Boundary Attack (TSBA)

問題提起

本論文は、攻撃者がターゲットモデルの最終的な予測ラベルのみにアクセスでき、信頼度スコアや勾配にはアクセスできない設定である、**決定ベースのブラックボックス敵対的攻撃（decision-based black-box adversarial attacks）**の課題に取り組んでいる。この設定は、高次元の入力空間（例：ImageNet）において非常に困難である。なぜなら、勾配情報が欠如しているため、最小限の摂動を見つけるための入力空間の効率的な探索が極めて難しいためである。

既存の手法には根本的な限界がある：

• Boundary Attack: 高次元のランダムサンプリングと棄却に依存しており、クエリ効率が低い。
• HopSkipJumpAttack (HSJA): ランダムサンプリングを通じて勾配を推定することで効率を改善しているが、高い分散と大幅なクエリオーバーヘッドを導入してしまう。
• 一般的な限界: 従来のアプローチは、**局所的な幾何学的構造（local geometric structure）**を明示的に活用できていないことが多く、その結果、不安定な探索、摂動の半径方向への拡大、および冗長なクエリを引き起こしている。

手法：Tangent Subspace Boundary Attack (TSBA)

著者らは、探索プロセスを安定させ、クエリの分散を抑えるために幾何学的制約を明示的に組み込んだ決定ベースの攻撃であるTSBAを提案する。その核心となる哲学は、**境界近似と方向探索の分離（decouple boundary approximation from direction exploration）**である。

本手法は、以下の3つの主要コンポーネントで構成される：

1. 二分探索による境界投影 (Boundary Projection via Binary Search)

ランダムウォークを通じて摂動の大きさを段階的に減少させる代わりに、TSBAは現在の敵対的点を決定境界へと明示的に投影する。

• 敵対的点 $x_{adv}$ と元の入力 $x_o$ が与えられたとき、アルゴリズムは両者の間の線分を定義する。
• **二分探索（binary search）**を実行し、点 $(1-\lambda)x_o + \lambda x_{adv}$ が依然として誤分類される最小のステップサイズ $\lambda$ を見つけ出す。
• これにより、決定境界上に正確に位置する投影点 $x_b$ が得られ、従来の手法に見られる冗長な距離減少ステップを排除する。

2. 接空間制約更新 (Tangent-Space Constrained Updates)

更新が距離を増大させることなく（半径方向の拡大を防ぎながら）元の画像に向かって移動することを保証するため、TSBAは**直交制約（orthogonality constraint）**を課す。

• 境界点 $x_b$ において、「ソース方向」は $v_k = x_b - x_o$ として定義される。
• 任意の候補摂動 $\delta$ は、 $v_k$ に対して直交する**接空間（tangent space）**へと投影される：
  $$\delta \leftarrow \delta - \frac{\langle \delta, v_k \rangle}{\|v_k\|^2} v_k$$
• 理論的正当性: 本論文では、この直交制約の下では、投影後も元の入力への距離 $\|x_{b}^{k+1} - x_o\|$ が増加しないことを証明している（Proposition 1）。これにより、歪みの局所的な単調減少が保証される。

3. 低次元部分空間サンプリング (Low-Dimensional Subspace Sampling)

高次元空間 ($d \gg 1$) におけるサンプリングの非効率性を解決するため、TSBAは摂動を低次元の部分空間に制限する。

• 基底 $U \in \mathbb{R}^{d \times k}$ （ここで $k \ll d$）を使用する。
• 摂動は $\delta = Uz$ （ただし $z \sim \mathcal{N}(0, I_k)$）としてサンプリングされる。
• この構造化されたサンプリングは、全次元のランダムサンプリングと比較して、効果的な方向を見つける確率を大幅に向上させる。

アルゴリズムの流れ:

1. 二分探索を用いて、初期の敵対的例を境界へ投影する。
2. 低次元部分空間内で摂動をサンプリングする。
3. 摂動を接空間（ソース方向に対して直交する空間）へ投影する。
4. 点を更新し、二分探索によって境界へ再投影する。
5. 収束するかクエリ予算が尽きるまで繰り返す。

主な貢献

著者らは、自らの貢献を以下のようにまとめている：

1. 境界投影メカニズム: 決定境界を近似するための効率的な二分探索アプローチであり、従来のランダムウォーク手法に固有の冗長なステップを取り除く。
2. 接空間更新戦略: ソース方向に対する直交性を強制する新しい制約であり、摂動の大きさの局所的な単調減少を理論的に保証する。
3. 構造化された部分空間サンプリング: 高次元空間における探索効率と安定性を向上させるための、低次元部分空間サンプリングの統合。
4. 実証的検証: 既存の最先端手法と比較して、優れたクエリ効率と競争力のある歪みを実証する広範な実験。

実験結果

実験は、事前学習済み ResNet-50 モデルを用いた ImageNet データセットに対して行われ、TSBAを Boundary Attack および HopSkipJumpAttack (HSJA) と比較した。

クエリ効率と成功率

• 成功率: 500クエリの予算において、TSBAは 46% の成功率を達成し、HSJA (38%) および Boundary Attack (28%) を上回った。1500クエリでは、TSBAは 80% に達したが、HSJAは 73%、Boundary Attack は 61% であった。
• クエリコスト: TSBAは、成功するために必要な中央値クエリ数が大幅に少なかった。500クエリの予算において、TS、BAは中央値で 150 クエリ を必要としたのに対し、HSJAは 210、Boundary Attack は 340 を必要とした。

クエリと歪度のトレードオフ (Query-Distortion Trade-off)

• TSBAは、すべてのクエリ予算において一貫して低い $\ell_2$ 歪度を達成した。
• 低クエリ領域（<1000 クエリ）において、TSBAは最小限の歪度で決定境界に迅速に接近するという顕著な優位性を示した。

堅牢性の評価

TSBAは、防御されたモデル（敵対的訓練された PGD および Randomized Smoothing RS）に対してテストされた。

• RMSE制約 ($\le 0.1$) の下で、TSBAは堅牢なモデルに対して 70-72% の成功率を達成し、Boundary Attack (35-48%) や HSJA (55-69%) を大幅に上回った。
• また、堅牢なモデルへの攻撃を成功させるために必要なクエリ数も、HSJA (5001) や Boundary Attack (2200+) と比較して、TSBA は少なかった（約1600-1700）。

定性的分析

摂動の視覚的分析により、TSBAは、意味的に情報量の多い領域（例：物体の境界）に集中した、より低振幅で局所的な摂動を生成することが明らかになった。一方、Boundary Attack は広範な画像領域に高周波ノイズを生じさせていた。

アブレーション研究

これら3つのコアコンポーネント（境界投影、接空間制約、または部分空間サンプリング）のいずれかを除去すると、性能が低下した：

• 投影なし: クエリ数と歪度が増加した。
• 接空間制約なし: 安定性が低下し、収束が遅くなった。
• 部分空間なし: 高次元のランダムサンプリングの困難さにより、クエリ効率が著しく低下した。

意義と主張

本論文は、既存の決定ベース攻撃の非効率性は、決定境界の局所的な幾何学的構造の活用不足に起因すると主張している。更新を接部分空間に明示的に制約し、境界近似と方向探索を分離することで、TSBAは以下の原理的なメカニズムを提供する：

1. 摂動の半径方向への拡大を回避することで、探索プロセスを安定させる。
2. サンプリングされた方向の分散を減少させる。
3. 勾配を実際に推定することなく、勾配推定法と同等またはそれ以上のクエリ効率を実現する。

著者らは、TSBAが敵対的脆弱性における局所的な決定境界の幾何学の根本的な役割を浮き彫りにし、効率的なブラックボックス攻撃を設計するための新しい方向性を提示していると結論付けている。彼らのアプローチは、敵対的摂動が低次元の接構造内で効果的に最適化できることを示唆している。

今後の展望 として、適応的な部分空間学習、動的なステップサイズ制御、ビデオおよび3Dデータへの拡張、ならびに収束性とクエリ複雑性に関する理論的保証の調査が提案されている。