Fast Adversarial Attacks with Gradient Prediction

Technische Samenvatting: Snelle Adversariële Aanvallen met Gradiëntvoorspelling

Probleemstelling
Het genereren van adversariële voorbeelden op grote schaal is een fundamentele vereiste voor robuustheidsevaluatie, adversariële training en red-teaming. Echter, zelfs "snelle" single-step-aanvallen zoals de Fast Gradient Sign Method (FGSM) worden beperkt in doorvoer door de rekenkosten van de backward pass die nodig is om inputgradiënten te berekenen. Voor modellen op grote schaal, met name Large Language Models (LLM's), domineert deze backward pass de kosten van adversariële datageneratie, wat een knelpunt creëert in robuustheidspijplijnen die beperkt zijn door wandkloktijd en de beschikbaarheid van accelerators. Bestaande methoden om deze kosten te verlagen (bijvoorbeeld door gradiënten te recyclen of backpropagatie te beperken tot vroege lagen) vertrouwen fundamenteel nog steeds op backpropagatie.

Methodologie
De auteurs stellen een familie van aanvallen voor die de backward pass tijdens de aanval volledig elimineert door de richting van de inputgradiënt te voorspellen uit hidden states van de forward pass, gebruikmakend van een lichtgewicht lineair regressiemodel.

• Kernmechanisme: De methode past een lineaire regressor (met een bias-term) aan op een kleine trainingsset om hidden state-vectoren $h_\theta(x)$ te mappen naar inputgradiënten $\nabla_x S_\theta(x, t)$, waarbij $S$ een aanvalscores is (bijvoorbeeld een target logit). De aanval gaat vervolgens verder met de voorspelde gradiënt $\hat{g}$ in een FGSM-stijl update: $x_{adv} = x + \epsilon \text{sgn}(\hat{g})$.
• Theoretische Grondslag: De aanpak wordt gemotiveerd door de Neural Tangent Kernel (NTK) en Gaussian Process (GP) perspectieven van neurale netwerken. In de limiet van oneindige breedte is de gezamenlijke verdeling van hidden states en inputgradiënten Gaussisch. Onder specifieke voorwaarden – namelijk het gebruik van stationaire kernels en constante mean-functies (bereikt via geïdealiseerde sin-cos embeddings) – is de conditionele verwachting van de gradiënt gegeven de hidden state een affiene functie die onafhankelijk is van de input $x$. Dit rechtvaardigt theoretisch het gebruik van een enkele, input-onafhankelijke lineaire mapping om gradiënten te voorspellen.
• Praktische Implementatie:
  • Keuze van Embedding: Hoewel bewijzen gebruikmaken van geïdealiseerde sin-cos embeddings om stationariteit te waarborgen, wordt de methode toegepast op praktische modellen met geleerde token-embeddings. De auteurs merken op dat echte positionele encodingen (bijvoorbeeld RoPE) vergelijkbare trigonometrische rotatiestructuren delen.
  • Training: De predictor wordt getraind op een kleine dataset van paren (hidden state, genormaliseerde gradiënt). Om stabiliteit en generalisatie te verbeteren, passen de auteurs coördinaatgewijze standaardisatie toe op hidden states, normaliseren ze gradiëntdoelen naar een eenheidsnorm (waardoor de predictor zich richt op richting in plaats van magnitude), en gebruiken ze ridge-regressie.
  • Efficiëntie: Tijdens inferentie vereist de methode slechts een forward pass (vaak gebruikmakend van een early-exit hidden state) en een lineaire matrix-vector vermenigvuldiging, waardoor backpropagatie volledig wordt vermeden.

Belangrijkste Bijdragen

1. Gradiëntvoorspelling Framework: Introductie van een methode die de dure backward pass vervangt door een geleerde lineaire predictor, waardoor adversariële generatie mogelijk wordt met uitsluitend forward-berekeningen.
2. Theoretische Rechtvaardiging: Een bewijs dat in het NTK-regime met stationaire kernels de mapping van hidden states naar inputgradiënten exact affien en input-onafhankelijk is.
3. Doorvoeroptimalisatie: Demonstratie dat deze aanpak het aantal gegenereerde adversariële voorbeelden per tijdseenheid significant verhoogt, waardoor robuustheidsscreening haalbaar wordt in inferentie-only of resource-beperkte omgevingen.

Experimentele Resultaten
De auteurs evalueerden hun methode (aangeduid als GPR-FGSM of GCG-GPR) tegen exact-gradiënt baselines (FGSM, PGD, GCG) op drie LLM's (Llama-2-7B, Qwen2.5-3B, Qwen3-4B) met behulp van de HarmBench en JailbreakBench datasets.

• Aanvallen op Embedding-niveau: In taken voor continue embedding-perturbatie bereikten de GPR-varianten een toename in doorvoer van 532% (bijvoorbeeld voor FGSM op Qwen3-4B) in vergelijking met exact-gradiënt aanvallen. Hoewel de Aanvalsuccespercentages (ASR) over het algemeen lager waren dan exact-gradiënt methoden, behielden ze een substantieel deel van de prestaties (bijvoorbeeld 6,8% versus 12,6% ASR voor FGSM op Qwen3-4B) terwijl ze een orde van grootte sneller waren. De methode verschuift de Pareto-grens, waardoor opties met hoge doorvoer worden geboden voor one-shot-aanvallen.
• Aanvallen op Token-niveau: Voor discrete prompt-aanvallen met de Greedy Coordinate Gradient (GCG) methode, verhoogde het vervangen van de via backpropagatie berekende gradiënt door de voorspelde gradiënt de perturbatie-doorvoer met 1,5–3× en de doorvoer voor succesvolle aanvallen met 2–2,4×. Cruciaal bleef de ASR in de meeste settings statistisch niet te onderscheiden van de exact-gradiënt baseline, wat aangeeft dat de voorspelde gradiënt voldoende is om veelbelovende token-kandidaten te identificeren voor de daaropvolgende exacte forward-pass evaluatie.
• Sensitiviteitsanalyse: Experimenten waarbij voorspelde en exacte gradiënten werden gemengd, toonden aan dat one-shot FGSM robuust is voor aanzienlijke gradiëntruis zolang de coördinaatgewijze tekenovereenkomst een specifieke drempelwaarde overschrijdt. Pure GPR viel soms net onder deze drempel op moeilijke benchmarks (bijvoorbeeld JailbreakBench met Qwen3-4B), maar een kleine toevoeging van exacte gradiënt herstelde de prestaties.

Betekenis en Claims
Het artikel beweert dat gradiëntvoorspelling een eenvoudige en algemene route biedt naar aanzienlijk snellere adversariële generatie onder realistische beperkingen. De primaire betekenis ligt in het mogelijk maken van robuustheidsevaluatie en red-teaming op schalen die voorheen werden beperkt door de kosten van de backward pass. De auteurs benadrukken dat dit werk geen nieuwe aanvalscapaciteiten introduceert of aanvallen krachtiger maakt in termen van succespercentage; het verbetert eerder de efficiëntie van bestaande methoden. Dit maakt bredere screening van modelrobuustheid mogelijk, inclusief in deployment-scenario's waar backpropagatie onpraktisch is (bijvoorbeeld inferentie-only omgevingen). De auteurs concluderen dat de regelmaat van representatie-gradiëntrelaties in moderne netwerken voldoende is om te exploiteren voor snelle adversariële generatie, zelfs buiten het strikte oneindig-brede theoretische regime.