少ない照会で目標クラスへ誤分類させる方向を探す
GuidedRay: Diversity-Guided Direction Discovery for Targeted Hard-Label Black-Box Attacks
この論文をやさしく読む
ひとことで言うと
モデルが返す最上位ラベルだけを見て、指定した誤分類へ向かう入力変更の方向を効率よく探す研究。
何に役立つ？
画像分類モデルの敵対的入力に対する頑健性を評価する際、照会回数を抑えた試験方法になる。
この研究の面白いところ
目標クラスの参照画像から候補を多様に作り、一回の照会で方向を絞り込んでから変更量を詰める。
どこまで分かった？
結果は列挙された画像分類データセットと照会予算での評価であり、他の入力形式や実環境での成功率は要旨にない。
v1のアブストラクトに基づくAI解説。日本語訳とは別に、用途の解釈を含みます。
アブストラクトの日本語訳
深層ニューラルネットワークは敵対的な入力変更に弱い。ブラックボックス攻撃の中でも、目標を指定した判定結果だけを使う攻撃は難しい。攻撃者は対象モデルの最上位ラベルしか見られず、変更量の制限内で、事前指定したクラスを予測させようとする。変更を細かく調整する前に、指定したクラスの領域へ届く方向を見つける必要があり、この初期化には多くの照会がかかり得る。本研究は、多様性を重視して方向を探す目標指定の判定ベース攻撃GuidedRayを提案する。目標クラスの参照画像はそのクラスへ向かう方向の事前情報を与え、多様な候補は目的の方向を見つける確率を高める、という二つの観察に基づく。一つまたは複数の目標クラスの参照画像から多様な候補を作り、一回の照会によるFast Testで候補が示す符号方向を選別する。実行可能な方向が見つかった後はRay Searchを使い、判定境界までの距離を縮める。CIFAR-10、CIFAR-100、ImageNetでの実験では、500から5,000回までの四つの照会予算すべてで、従来最良水準の五つの判定ベース攻撃を一貫して上回り、初期化時の方向発見で特に大きな改善を示した。敵対的学習やTRADESで保護されたモデルに対しても、四つの照会予算すべてで最高の攻撃成功率を達成した。
v1の要旨から自動生成。本文の精読・人による確認は未実施。
- 初稿
- 2026-09-22（UTC）
- 最新改訂
- 2026-09-22 · v1
- 査読・掲載
- 査読状況未確認
更新履歴
- v1 2026-09-22 この版を読む
取得できた版を表示。版の更新は査読済みを意味しません。過去版の本文差分は未解析です。
原文の要旨
Deep neural networks are vulnerable to adversarial attacks. Among black-box attacks, targeted decision-based attacks are particularly difficult: the attacker observes only the target model's top-1 label and aims to make it predict a prespecified target class under a bounded perturbation. Before perturbation refinement, the attacker must discover a direction that reaches the prescribed target region. This initialization step can incur substantial query cost. We propose GuidedRay, a targeted decision-based attack based on diversity-guided direction discovery. GuidedRay builds on two observations: target-class reference samples provide useful target-conditioned direction priors, and diverse candidates increase the probability of discovering a targeted adversarial direction. GuidedRay generates varied candidates from one or multiple target-class references and uses a one-query Fast Test to screen their induced sign directions. Once a feasible direction is found, GuidedRay applies Ray Search to reduce its decision-boundary radius. Experiments on CIFAR-10, CIFAR-100, and ImageNet demonstrate that GuidedRay consistently outperforms five state-of-the-art decision-based attacks at four evaluated query budgets from 500 to 5,000, with particularly pronounced gains in direction discovery during initialization. Against models protected by adversarial training or TRADES, it likewise achieves the highest attack success rate at all four query budgets.
著者のコメント
12 pages, 8 figures, and 11 tables. Code is available at https://github.com/sudyuan/GuidedRay
arXiv ID: 2609.25734 ／ 要約の誤りについて