敵対的デコイ：Vision Transformerにおける注意ベース防御の誤誘導
研究者は、注意ベースの防御を回避するために、独立して最適化された画像パッチである敵対的デコイを提案しました。この手法は、誤分類と防御回避を分離し、攻撃非依存であり、既存の敵対的パッチ攻撃に容易に統合できます。ImageNetでの実験により、デコイが注意スコアを真の敵対領域から逸らしつつ攻撃効果を維持することが示され、注意の大きさを敵対的関連性の指標として使用することの根本的な限界が明らかになりました。
Vision Transformer（ViT）は、局所的な敵対的攻撃（例：敵対的パッチ）に対して脆弱なままです。最近のテスト時防御では、異常に高い注意スコアを持つ画像トークンを抑制することでこれらの攻撃を軽減しています。これらの防御は、注意と敵対的有効性の間の強い結合を利用しています：敵対的トークンは予測に影響を与えるためにかなりの注意を引き付ける必要があることが多いです。
この防御を回避するために、研究者は新しい手法である敵対的デコイを提案しました。これらは独立して最適化された画像パッチであり、注意とそれに関連する防御を選択されたターゲットトークンに向けて再指向します。誤分類と防御回避を共同最適化するのではなく、このアプローチは2つの目的を分離します：元の敵対的領域が誤った予測を誘導し、別のデコイが防御で使用される注意ランキングを操作します。層ごとの目的関数により、ターゲットトークンの注意を増加させ、これらのトークンを競合する非ターゲットトークンよりも上位に押し上げます。
デコイは基盤となる攻撃とは独立して最適化されるため、この手法は攻撃非依存であり、既存の敵対的パッチ攻撃と容易に統合できます。複数のViTアーキテクチャと攻撃にわたるImageNetでの実験では、デコイが高い注意スコアを真の敵対的領域から逸らし、攻撃効果の多くを維持できることが示されました。これらの結果は、注意の大きさを敵対的関連性の指標として使用することの根本的な限界を明らかにしています。
研究者らは、将来的にはこのような新しい攻撃に対抗する防御機構を設計・訓練する方法を探求する必要があると述べています。