对抗性诱饵：将基于注意力的防御误导至Vision Transformer中的错误目标
研究人员提出了一种称为“对抗性诱饵”的新型攻击方法，通过独立优化的图像补丁来重新定向注意力，从而规避Vision Transformers中基于注意力的防御。该方法将分类错误和防御规避解耦，攻击无关，可轻松集成到现有对抗性补丁攻击中。实验表明，诱饵能将高注意力分数从真实对抗区域转移开，同时保持攻击有效性，揭示了依赖注意力大小作为对抗相关性指标的固有局限性。
Vision Transformers（ViT）在局部对抗性攻击（如对抗性补丁）面前仍然脆弱。最近的测试时防御通过抑制具有异常高注意力分数的图像令牌来缓解这些攻击。这些防御利用了注意力与对抗有效性之间的强耦合：对抗性令牌通常需要吸引大量注意力才能影响预测。
为了规避这种防御，研究人员提出了一种新颖的方法——对抗性诱饵。这些是独立优化的图像补丁，旨在将注意力和相关防御重新定向到选定的目标令牌。与联合优化错误分类和防御规避不同，该方法将两个目标解耦：原始对抗区域诱导错误预测，而单独的诱饵操纵防御使用的注意力排名。通过逐层目标函数，增加目标令牌的注意力，并使其超过竞争的非目标令牌。
由于诱饵是独立于底层攻击优化的，因此该方法具有攻击无关性，可以轻松与任何现有的对抗性补丁攻击集成。在ImageNet上，针对多种ViT架构和攻击的实验表明，诱饵能够将高注意力分数从真正的对抗区域转移开，同时保留大部分攻击有效性。这些结果揭示了使用注意力大小作为对抗相关性指标的根本局限性，为未来防御设计提供了重要见解。
该研究的代码和更多实验细节可在项目网页上获取。研究人员指出，未来的工作可以探索如何设计和训练防御机制来应对这种新型的攻击方式。