Opportunistic Target Selection: Early Directional Commitment for Query-Efficient Black-Box Adversarial Attacks

Resumo Técnico: Seleção Oportunista de Alvos para Ataques Adversariais de Caixa-Preta Eficientes em Consultas

1. Definição do Problema: Deriva de Classe em Ataques Não Direcionados

Ataques adversariais de caixa-preta não direcionados padrão visam minimizar a confiança do modelo na classe verdadeira ($y$) sem especificar uma classe-alvo. Implementações comuns incluem minimizar a probabilidade $P(y|x')$ (por exemplo, SimBA) ou minimizar a perda de entropia cruzada. Os autores identificam uma ineficiência crítica nessa abordagem denominada deriva de classe.

Em ataques não direcionados, a massa de probabilidade "liberada" não é direcionada para uma classe adversarial específica. Em vez disso, a perturbação executa um passeio aleatório através do espaço de características latente, atravessando múltiplos bacias de classe oportunisticamente. Essa falta de compromisso direcional resulta em consultas desperdiçadas, particularmente em modelos difíceis, onde a perturbação deve atravessar muitas bacias antes de se estabelecer em uma fronteira de decisão. Embora ataques direcionados eliminem a deriva por definição, eles requerem conhecimento a priori da classe-alvo, o que geralmente não está disponível em configurações de caixa-preta. Perdas baseadas em margem oferecem uma solução parcial ao rastrear implicitamente a fronteira de decisão mais próxima, mas muitos ataques baseados em pontuação populares (como SimBA ou Square Attack com entropia cruzada) não as suportam ou operam sobre probabilidades brutas onde a lógica de margem não é diretamente aplicável.

2. Metodologia: Seleção Oportunista de Alvos (OTS)

O artigo introduz a Seleção Oportunista de Alvos (OTS), um algoritmo de wrapper leve que converte um ataque não direcionado em um direcionado cedo em sua trajetória, sem exigir acesso a gradientes ou conhecimento prévio do alvo.

Mecanismo Central:
A OTS opera em duas fases:

1. Fase de Exploração: O ataque é executado no modo não direcionado padrão por um curto prefixo de $T$ iterações (ou até que uma condição de estabilidade seja atendida). Durante esse tempo, o algoritmo observa o ranqueamento das classes da entrada perturbada.
2. Fase de Exploração: Uma vez que uma classe não-verdadeira "líder" (a classe com a maior probabilidade entre $k \neq y$) é identificada e estabilizada, o ataque trava nessa classe como um alvo fixo. O objetivo muda para maximizar a probabilidade dessa classe-alvo específica ($P(t|x')$) pelo restante do orçamento de consultas.

Variantes Algorítmicas:

• Troca de Iteração Fixa: O ataque troca de alvo após um número fixo de iterações $T$. Estudos de ablação mostram que qualquer $T \in \{5, \dots, 500\}$ produz resultados estatisticamente indistinguíveis, pois o ranqueamento das classes se estabiliza rapidamente para ataques propensos à deriva.
• Variante de Estabilidade de Ranqueamento: Um contador rastreia a classe não-verdadeira líder, trocando apenas após a mesma classe liderar por $S$ passos aceitos consecutivos. Embora incluída para completude, experimentos mostram que isso não oferece vantagem mensurável sobre a troca fixa.

Integração:
A OTS é aplicada a três famílias distintas de ataques:

• SimBA: Troca de minimizar $P(y|x')$ para maximizar $P(t|x')$.
• Square Attack (Entropia Cruzada): Usa deliberadamente a perda de entropia cruzada (que induz deriva) em vez da perda de margem padrão para isolar o efeito da OTS.
• Bandits: Um ataque de estimação de gradiente que inerentemente possui direcionalidade.

3. Contribuições Principais

O artigo faz três contribuições principais:

1. OTS como Substituto de Perda de Margem: Os autores demonstram que a OTS aproxima o "termo competidor" da perda de margem ($\max_{k \neq y} f_k(x')$) para ataques que carecem de rastreamento de alvo implícito. Ao travar na classe não-verdadeira líder cedo, a OTS fornece o compromisso direcional que a perda de margem oferece, mas sem exigir acesso aos valores de logit ou recálculo dinâmico da margem a cada passo.
2. Validação Empírica: Experimentos extensos em cinco classificadores ImageNet (AlexNet, ResNet-18, VGG-16, ResNet-50, ViT-B/16) e três métodos de ataque (4.500 execuções) mostram que a OTS alcança eficiência próxima à de um oráculo. Os autores destacam que a seleção aleatória de alvos é catastrófica, provando que a seleção oportuna da classe atualmente líder é o fator crítico.
3. Caracterização da Neutralidade de Direcionamento: O estudo identifica que a OTS não oferece benefício em modelos treinados adversarialmente. Os autores atribuem isso a uma distribuição bimodal de dificuldade em modelos robustos, onde as imagens são ou facilmente atacadas ou completamente inviáveis, eliminando o regime de "dificuldade média" onde o compromisso direcional fornece valor.

4. Resultados Experimentais

Desempenho em Modelos Padrão:

• Taxa de Sucesso: No ResNet-50, a OTS aumentou a taxa de sucesso do SimBA de 43% para 70% (+27 pontos percentuais) e do Square Attack (CE) de 81% para 94% (+13 pontos percentuais). O desempenho da OTS acompanha de perto o desempenho "oráculo" (onde o alvo é escolhido post-hoc com base na trajetória não direcionada).
• Eficiência de Consultas: A OTS reduziu as iterações médias censuradas (penalizando falhas) em 43% para o SimBA e 29,5% para o Square Attack no ResNet-50.
• Especificidade do Ataque:
  • Benéfico: Ataques que dependem de minimização de probabilidade ou perda de entropia cruzada (SimBA, Square Attack CE) mostram ganhos significativos.
  • Redundante/Prejudicial: Ataques de estimação de gradiente (Bandits) e ataques que usam perda de margem não mostram benefício ou leve degradação. Isso confirma que a OTS é necessária apenas quando o ataque carece de direcionalidade embutida.

Alinhamento de Perturbação:
Análise da similaridade de cosseno entre perturbações e a direção do oráculo revela que perturbações não direcionadas derivam significativamente (similaridade terminal $\approx 0,17$), enquanto perturbações OTS alinham-se rapidamente com a direção do oráculo após a troca (similaridade $\approx 0,86$).

Modelos Robustos:
Em modelos treinados adversarialmente (Salman2020Do R18/R50), a OTS não mostrou melhoria estatisticamente significativa sobre as linhas de base não direcionadas. Os autores interpretam isso como uma consequência da distribuição de dificuldade: modelos robustos comprimem o espectro de dificuldade em dois extremos (muito fácil ou impossível), removendo a zona de dificuldade "média" onde travar em um alvo específico é vantajoso.

5. Significado e Alegações

O artigo posiciona a OTS não como um novo algoritmo de ataque, mas como um wrapper universal que aumenta a eficiência de consultas para classes específicas de ataques de caixa-preta. Seu significado reside em:

• Ponte da Lacuna: Oferece os benefícios de eficiência de ataques direcionados (compromisso direcional) sem a exigência de conhecimento prévio do alvo.
• Insight Teórico: Esclarece que a informação necessária para selecionar um alvo eficaz está latente na trajetória do ataque dentro das primeiras iterações.
• Utilidade Prática: Oferece uma modificação simples e de baixo custo (trocar a função objetivo) que produz desempenho próximo ao oráculo em modelos padrão, particularmente para ataques que sofrem com deriva de classe.

Os autores permanecem modestos quanto à generalizabilidade, observando que os benefícios podem ser reduzidos em configurações com baixo número de classes (por exemplo, CIFAR-10), onde a massa de probabilidade tem menos espaço para se dispersar, e que o comportamento em modelos robustos sugere que o direcionamento é ineficaz quando a distribuição de dificuldade é bimodal.