自然言語処理（NLP）における敵対的攻撃は、入力テキストに微小な摂動を加えることでモデルを誤った予測に導く技術である。実環境では、攻撃者はモデルが出力する最終的なクラスラベルのみを取得でき、確率やロジット情報を得られないことが多い。このような設定はハードラベル攻撃と呼ばれ、勾配や信頼度情報が欠如しているため、有効な摂動の探索が困難である。既存の手法のほとんどは貪欲アルゴリズムに依存している。すなわち、テキスト中の一箇所を選択して置換し、それを順次繰り返すことで攻撃を試みる。しかし、この局所探索手法は局所最適解に陥りやすく、多くのクエリを消費してしまう。さらに、複数位置の同時置換を考慮できないため、より優れた攻撃サンプルを見逃す可能性がある。
これらの問題を解決するため、研究チームはLBA（Low-Budget Attack）と呼ばれる新しいサンプリングベースの攻撃手法を提案した。LBAの核心は、高品質な敵対的サンプルの分布を近似する確率分布を構築することにある。この近似分布は、事前知識（例：単語の意味的類似度や文法的妥当性）と事後知識（実行済みのクエリから得られるフィードバック）の両方を統合する。攻撃プロセスでは、アルゴリズムは現在の近似分布から候補サンプルを抽出し、各クエリの成否に応じて分布を更新する。これにより、探索は次第に有望な領域に集中し、貪欲探索に比べてより広い空間を効率的にカバーできる。
研究チームは、小規模モデル（BERT、RoBERTa）から大規模モデル（GPT-2、LLaMA）まで、6つの異なる言語モデルを用いて実験を行った。評価には、感情分析やニュース分類を含む4つのテキスト分類データセットを使用した。実験結果は、LBAが攻撃成功率（ASR）とクエリ効率の両方で既存の最先端手法を大幅に上回ることを示している。具体的には、LBAは平均してASRを10%以上向上させ、クエリ回数を従来の1/3から1/2に削減した。さらに、LBAが生成した敵対的テキストは、意味的類似度（単語ベクトルやBERTScoreで測定）と可読性（perplexityで測定）においても優れた性能を示した。
さらに、大規模言語モデル（GPT-4など）を評価者として用いた分析により、LBAが生成したサンプルは元の文の意味をよく保持し、自然で読みやすいことが確認された。これは、LBAがより巧妙で検出されにくい敵対的サンプルを生成できることを意味し、実際に展開されているNLPシステムにとって大きな脅威となる。
LBAの提案は、低予算のハードラベル攻撃に新たな効率的フレームワークを提供する。そのサンプリング駆動の設計は、コード敵対的攻撃や構造化予測など他の離散探索問題にも応用可能である。この研究は敵対的攻撃技術の進展に貢献するだけでなく、防御メカニズムの研究にも貴重な示唆を与える。論文はarXiv:2607.14101で公開されている。