Vision Transformers（ViT）は、敵対的パッチなどの局所的な敵対的攻撃に対して依然として脆弱性を持っています。最近のテスト時防御は、異常に高い注意スコアを持つ画像トークンを抑制することでこれらの攻撃を緩和しようとしていますが、研究者らはこの防御機構の根本的な限界を明らかにする新しい攻撃手法を提案しました。 従来の敵対的パッチ攻撃では、画像の予測を間違わせるため、攻撃領域が高い注意スコアを獲得する必要があります。防御メカニズムはこの特性を利用して、高い注意スコアを持つトークンを検出・抑制することで攻撃を検出しています。しかし今回の研究では、「敵対的デコイ」と呼ばれる独立して最適化された画像パッチを用いることで、この防御を回避できることを示しました。 敵対的デコイの重要な特徴は、攻撃目標とデコイの最適化を分離することです。元の敵対的領域は相変わらず誤分類を引き起こし、一方でデコイは防御が使用する注意ランキングを意図的に誤誘導します。層ごとの目的関数により、目標トークンの注意スコアを増加させ、競合する非目標トークンを上回る位置に促進します。このアプローチは基礎となる攻撃に依存しないため、既存の任意の敵対的パッチ攻撃と容易に統合できます。 ImageNetを用いた複数のViTアーキテクチャに対する実験の結果、デコイは真の敵対領域から高い注意スコアを効果的に逸らしながら、攻撃の有効性の大部分を保持できることが確認されました。これらの結果は、注意の大きさを敵対的関連性の指標として使用する防御方法の根本的な限界を示唆しており、より堅牢なViT防御メカニズムの開発の必要性を強調しています。