Opportunistic Target Selection: Early Directional Commitment for Query-Efficient Black-Box Adversarial Attacks

기술 요약: 쿼리 효율적 블랙박스 적대적 공격을 위한 기회주의적 타겟 선택

1. 문제 정의: 비타겟 공격에서의 클래스 드리프트 (Class Drift)

표준 비타겟 블랙박스 적대적 공격은 타겟 클래스를 지정하지 않고 정답 클래스 ($y$) 에 대한 모델의 신뢰도를 최소화하는 것을 목표로 합니다. 일반적인 구현에는 확률 $P(y|x')$ 최소화 (예: SimBA) 또는 교차 엔트로피 손실 최소화가 포함됩니다. 저자들은 이러한 접근 방식에서 클래스 드리프트라고 명명된 치명적인 비효율성을 발견했습니다.

비타겟 공격에서 "해방된" 확률 질량은 특정 적대적 클래스로 향하지 않습니다. 대신, 교란 (perturbation) 은 잠재 특징 공간을 통해 무작위 보행 (random walk) 을 수행하며 여러 클래스 분지 (basins) 를 기회주의적으로 통과합니다. 이러한 방향성 결여는 특히 교란이 결정 경계에 도달하기 전에 많은 분지를 통과해야 하는 어려운 모델에서 쿼리 낭비로 이어집니다. 타겟 공격은 정의상 드리프트를 제거하지만, 블랙박스 환경에서는 일반적으로 사용 불가능한 타겟 클래스에 대한 사전 지식을 요구합니다. 마진 기반 손실은 가장 가까운 결정 경계를 암시적으로 추적함으로써 부분적인 해결책을 제시하지만, 많은 인기 있는 점수 기반 공격 (SimBA 또는 교차 엔트로피를 사용하는 Square Attack 등) 은 이를 지원하지 않거나 마진 논리가 직접 적용되지 않는 원시 확률 (raw probabilities) 에서 작동합니다.

2. 방법론: 기회주의적 타겟 선택 (OTS)

본 논문은 경량 래퍼 (wrapper) 알고리즘인 **기회주의적 타겟 선택 (Opportunistic Target Selection, OTS)**을 소개하며, 이는 그라디언트 접근이나 사전 타겟 지식 없이 비타겟 공격을 초기 궤적에서 타겟 공격으로 변환합니다.

핵심 메커니즘:
OTS 는 두 단계로 작동합니다:

1. 탐색 단계 (Exploration Phase): 공격은 $T$회 반복 (또는 안정성 조건이 충족될 때까지) 의 짧은 접두어 동안 표준 비타겟 모드로 실행됩니다. 이 기간 동안 알고리즘은 교란된 입력의 클래스 순위 변화를 관찰합니다.
2. 활용 단계 (Exploitation Phase): "선도하는" 비진실 클래스 (비진실 클래스 $k \neq y$ 중 가장 높은 확률을 가진 클래스) 가 식별되고 안정화되면, 공격은 이 클래스를 고정된 타겟으로 **잠금 (lock)**합니다. 목표는 나머지 쿼리 예산 동안 이 특정 타겟 클래스의 확률 ($P(t|x')$) 을 최대화하는 것으로 전환됩니다.

알고리즘 변형:

• 고정 반복 전환: 공격은 고정된 반복 횟수 $T$ 후 타겟을 전환합니다. 제거 분석 (ablation studies) 에 따르면, 드리프트가 발생하기 쉬운 공격의 경우 클래스 순위가 빠르게 안정화되므로 $T \in \{5, \dots, 500\}$의 모든 값이 통계적으로 구별할 수 없는 결과를 산출합니다.
• 순위 안정성 변형: 카운터가 선도하는 비진실 클래스를 추적하여 동일한 클래스가 $S$개의 연속된 승인된 단계 동안 선도할 때만 전환합니다. 완전성을 위해 포함되었으나, 실험 결과 고정 전환보다 측정 가능한 이점을 제공하지 않는 것으로 나타났습니다.

통합:
OTS 는 세 가지 다른 공격 계열에 적용됩니다:

• SimBA: $P(y|x')$ 최소화에서 $P(t|x')$ 최대화로 전환합니다.
• Square Attack (교차 엔트로피): OTS 의 효과를 분리하기 위해 기본 마진 손실이 아닌 고의적으로 교차 엔트로피 손실 (드리프트를 유발함) 을 사용합니다.
• Bandits: 본질적으로 방향성을 가진 그라디언트 추정 공격입니다.

3. 주요 기여

본 논문은 세 가지 주요 기여를 합니다:

1. OTS 를 마진 손실 대체제로서: 저자들은 OTS 가 암시적 타겟 추적이 부족한 공격들을 위해 마진 손실의 "경쟁자 항" ($\max_{k \neq y} f_k(x')$) 을 근사화함을 입증합니다. 초기에 선도하는 비진실 클래스에 잠금함으로써 OTS 는 마진 손실이 제공하는 방향성 결여를 제공하지만, 로짓 값에 대한 접근이나 각 단계에서의 동적 마진 재계산은 필요하지 않습니다.
2. 실증적 검증: 다섯 가지 ImageNet 분류기 (AlexNet, ResNet-18, VGG-16, ResNet-50, ViT-B/16) 와 세 가지 공격 방법 (4,500 회 실행) 을 통한 광범위한 실험에서 OTS 가 오라클 효율성에 근접함을 보여줍니다. 저자들은 무작위 타겟 선택이 치명적임을 강조하며, 현재 선도하는 클래스의 기회주의적 선택이 결정적 요소임을 입증합니다.
3. 타겟팅 중립성 특성화: 이 연구는 OTS 가 적대적으로 훈련된 모델에서는 이점을 제공하지 않는다고 규명합니다. 저자들은 이를 이모달 (bimodal) 난이도 분포로 귀인하며, 이는 이미지들이 쉽게 공격되거나 완전히 불가능한 두 극단으로 압축되어 방향성 결여가 가치를 갖는 "중간 난이도" 영역이 제거되기 때문입니다.

4. 실험 결과

표준 모델에서의 성능:

• 성공률: ResNet-50 에서 OTS 는 SimBA 의 성공률을 43% 에서 70% 로 (+27 퍼센트 포인트), Square Attack (CE) 을 81% 에서 94% 로 (+13 퍼센트 포인트) 증가시켰습니다. OTS 성능은 사후에 비타겟 궤적을 기반으로 타겟이 선택되는 "오라클" 성능과 밀접하게 일치합니다.
• 쿼리 효율성: OTS 는 ResNet-50 에서 SimBA 의 경우 43%, Square Attack 의 경우 29.5% 만큼 실패를 패널티로 부과하는 검열된 평균 반복 횟수를 감소시켰습니다.
• 공격 특이성:
  • 유익: 확률 최소화 또는 교차 엔트로피 손실에 의존하는 공격 (SimBA, Square Attack CE) 은 상당한 개선을 보입니다.
  • 불필요/유해: 그라디언트 추정 공격 (Bandits) 과 마진 손실을 사용하는 공격은 이점이 없거나 약간 저하됩니다. 이는 OTS 가 공격에 내재된 방향성이 없을 때만 필요함을 확인시켜 줍니다.

교란 정렬:
교란과 오라클 방향 사이의 코사인 유사도 분석은 비타겟 교란이 크게 드리프트됨을 (최종 유사도 $\approx 0.17$) 보여주며, 반면 OTS 교란은 전환 후 오라클 방향과 빠르게 정렬됨을 보여줍니다 (유사도 $\approx 0.86$).

강건 모델:
적대적으로 훈련된 모델 (Salman2020Do R18/R50) 에서 OTS 는 비타겟 기준선 대비 통계적으로 유의미한 개선을 보이지 않았습니다. 저자들은 이를 난이도 분포의 결과로 해석하며, 강건한 모델은 난이도 스펙트럼을 매우 쉽거나 불가능한 두 극단으로 압축하여 특정 타겟에 잠금하는 것이 유리한 "중간" 난이도 영역을 제거한다고 설명합니다.

5. 중요성과 주장

본 논문은 OTS 를 새로운 공격 알고리즘이 아니라 특정 클래스의 블랙박스 공격에 대한 쿼리 효율성을 향상시키는 범용 래퍼로 위치시킵니다. 그 중요성은 다음과 같습니다:

• 격차 해소: 사전 타겟 지식 요구 없이 타겟 공격의 효율성 이점 (방향성 결여) 을 제공합니다.
• 이론적 통찰: 효과적인 타겟을 선택하는 데 필요한 정보는 공격의 초기 몇 반복 내 궤적에 잠재되어 있음을 명확히 합니다.
• 실용적 유용성: 클래스 드리프트로 고통받는 공격들, 특히 표준 모델에서 오라클 성능에 근접하는 결과를 산출하는 단순하고 낮은 오버헤드의 수정 (목적 함수 전환) 을 제공합니다.

저자들은 일반화 가능성에 대해 겸손하게 언급하며, 확률 질량이 흩어질 여지가 적은 저 클래스 수 환경 (예: CIFAR-10) 에서는 이점이 감소할 수 있으며, 강건한 모델에서의 행동은 난이도 분포가 이모달일 때 타겟팅이 비효율적임을 시사한다고 덧붙입니다.