基于梯度的对抗排序攻击方法

引用本文

吴晨, 张儒清, 郭嘉丰, 范意兴. 基于梯度的对抗排序攻击方法. 模式识别与人工智能, 2022,35(3): 254-261
WU Chen, ZHANG Ruqing, GUO Jiafeng, FAN Yixing. Gradient-Based Adversarial Ranking Attack. PATTERN RECOGNITION AND ARTIFICIAL INTELLIGENCE, 2022,35(3): 254-261. 复制到剪切板

Doi: 10.16451/j.cnki.issn1003-6059.202203005
Permissions

《模式识别与人工智能》编辑部

基于梯度的对抗排序攻击方法

吴晨^1,², 张儒清^1,², 郭嘉丰^1,², 范意兴^1,²

1.中国科学院计算技术研究所网络数据科学与技术重点实验室北京 100190

2.中国科学院大学计算机与控制学院北京 100190

通讯作者:

张儒清,博士,助理研究员,主要研究方向为自然语言处理.E⁃mail:zhangruqing@ict.ac.cn.

作者简介:

吴晨,博士研究生,主要研究方向为信息检索、自然语言处理.E⁃mail:wuchen17z@ict.ac.cn.

郭嘉丰,博士,研究员,主要研究方向为数据挖掘、信息检索.E⁃mail:guojiafeng@ict.ac.cn.

范意兴,博士,助理研究员,主要研究方向为数据挖掘、信息检索.E⁃mail:fanyixing@ict.ac.cn.

收稿日期: 2021-08-16 接受日期: 2021-09-17

资助项目: 国家自然科学基金项目(No.62006218,61902381,61773362,61872338)、北京智源人工智能研究院项目(No.BAAI2019ZD0306)、中国科学院青年创新促进会项目(No.20144310,2016102,2021100)、联想-中科院联合实验室青年科学家项目(No.cstc2017jcjyBX0059)资助

摘要

互联网检索中普遍存在排名竞争这种对抗攻击行为,会产生许多不良影响,因此对攻击方法的研究有助于设计更鲁棒的排序模型.已有的攻击方法容易被人识别且无法有效攻击神经排序模型.因此,文中提出基于梯度的对抗排序攻击方法.方法分为3个模块:基于梯度大小的词重要度排序、基于梯度的排序攻击和基于词嵌入的同义词替换.针对给定的目标排序模型,首先基于构建的排序攻击目标进行梯度回传,利用梯度信息在指定文档上找到最重要的词.然后,基于投影梯度攻击原理,在词向量空间上对这些最重要的词进行扰动.最后,利用同义词替换技术将这些最重要的词替换为和原词语义相近且和扰动后的词向量最近邻的词,完成文档扰动.在MQ2007、MS MARCO数据集上的实验验证文中方法的有效性.

关键词: 排名竞争; 对抗攻击; 梯度攻击; 神经排序模型; 网页检索

中图分类号:TP 391

Gradient-Based Adversarial Ranking Attack

WU Chen^1,², ZHANG Ruqing^1,², GUO Jiafeng^1,², FAN Yixing^1,²

1. Key Laboratory of Network Data Science and Technology, In-stitute of Computing Technology, Chinese Academy of Sciences, Beijing 100190

2. School of Computer and Control Engineering, University of Chinese Academy of Sciences, Beijing 100190

Corresponding author:
ZHANG Ruqing, Ph.D., assistant professor. Her research interests include natural language processing.

About Author:
WU Chen, Ph.D. candidate. His research interests include information retrieval and na-tural language processing.
GUO Jiafeng, Ph.D., professor. His research interests include data mining and information retrieval.
FAN Yixing, Ph.D., assistant professor. His research interests include data mining and information retrieval.

Fund:National Natural Science Foundation of China(No.62006218,61902381,61773362,61872338), Project of Beijing Academy of Artificial Intelligence(BAAI)(No.BAAI2019ZD0306), Project of Youth Innovation Promotion Association of CAS(No.20144310,2016102,2021100), the Lenovo-CAS Joint Lab Youth Scientist Project(No.cstc2017jcjyBX0059)

Abstract

Ranking competition is prevalent in Web retrieval, and undesirable effects are caused by this adversarial attack behavior. Thus, the study on attack methods is conducive to designing a more robust ranking model.The existing attack methods are recognized by people easily and cannot attack neural ranking models effectively.In this paper, a gradient-based adversarial attack method(GARA) is proposed, including gradient-based word importance ranking, gradient-based adversarial ranking attack and embedding-based word replacement. Given a target ranking model, the backpropagation is firstly conducted based on the constructed ranking-based adversarial attack objective. Then the most important words of a specific document is recognized based on the gradient information. These important words are perturbed in the word embedding space based on the projected gradient descent. Finally, by adopting the counter-fitting technology, the document perturbation is completed by substituting the important word with its synonym which is semantically similar to the original word and nearest to the perturbed word vector.Experiments on MQ2007 and MS MARCO datasets demonstrate the effectiveness of the proposed method.

Key words: Key Words Ranking Competition; Adversarial Attack; Gradient-Based Attack; Neural Ranking Model; Web Retrieval

文章图片

本文责任编委马少平

Recommended by Associate Editor MA Shaoping

在互联网检索中普遍存在排名竞争现象^[1]:一些文档的内容拥有者故意改变文档内容, 使文档的排序位置在某些特定的查询下更靠前, 获得更高的关注度.这种排名竞争会产生不良影响, 整体的排序性能会因这种行为而有所下降.因此, 针对排名竞争攻击的研究对于维护检索结果的公平性具有积极意义.

随着深度学习的发展, 神经排序模型因为其强大的表示能力被越来越多地运用到搜索引擎当中.然而, 面向图像和文本分类的深度模型对于对抗攻击十分脆弱^{[2, 3]}.因此深度排序模型也存在类似的脆弱性.对于单个文档, 在文档内容上十分细微的扰动可能会极大地影响排序结果.这对排序模型的危害很大.因此, 在文本检索的场景下, 研究深度排序模型的对抗攻击, 设计更鲁棒的排序模型具有积极意义.

对抗攻击在图像领域已被广泛研究^{[3, 4, 5, 6, 7]}.核心思想是寻找一个难以被人发觉的最小扰动以最大化预测失误的风险.强大的攻击方法之一是投影梯度下降(Projected Gradient Descent, PGD)^[8], 它利用模型的梯度信息扰动输入, 使分类错误.

在文本领域, 对抗攻击的方法也运用到如文本分类^{[9, 10, 11, 12]}、情感分析^{[11, 12, 13, 14]}和自然语言推断^{[13, 15]}等任务中.面对文本的离散性挑战, Gong等^[16]提出在词嵌入空间中使用快速符号梯度法(Fast Gradient Sign Method, FGSM)^[3]造成扰动, 并使用最近邻搜索法产生词粒度的攻击.然而, 此方法容易造成扰动后的文本和原文本语义相差甚远, 甚至语法上也不通顺^[17].近年来, Jin等^[18]通过词重要度排序, 将原文本中的重要词替换为和原词语义近似、能使目标模型预测错误的风险最大的词.这一框架保证对抗攻击的稀疏性, 也确保文本的语义连贯性, 在文本对抗攻击中的很多工作都使用这一框架.然而, 这一框架完全舍弃梯度攻击的优势, 替换词的过程过于启发式, 无法保证攻击的效率和成功率.

在信息检索领域, 对抗攻击仍未得到充分研究.对抗信息检索中的早期工作集中在识别和解决不同类别的垃圾网页^[19].近年来, Goren等^[20]研究网页检索中的排名竞争现象.在图像检索领域, Liu等^[21]认为对抗的查询会导致不正确的检索结果.Li等^[22]使用通用扰动, 对基于列表的排序结果造成相似的攻击.Zhou等^[23]设计基于排序的攻击目标, 结合PGD提出对候选图像提升或下降排序位置的攻击.然而, 上述工作未考虑文本的离散化特性, 攻击方法难以直接应用到文本信息检索中.

排名竞争中已有的传统攻击方法, 如基于内容的Spamming方法^[24], 忽略改变后的文档和原始文档的语义相似性, 导致人们能够轻易识别攻击.同时, 方法没有针对神经排序模型进行设计, 无法有效攻击神经排序模型.因此, 本文提出基于梯度的对抗排序攻击方法(Gradient-Based Adversarial Ranking Attack, GARA).通过梯度攻击的原理, 将原文档中最重要的部分词修改为其语义空间上相近的近似词, 提升文档的排序位置.具体地, GARA分为3个模块:基于梯度大小的词重要度排序、基于梯度的排序攻击和基于词嵌入的同义词替换.针对给定的目标排序模型, 首先基于构建的排序攻击目标进行梯度回传, 利用梯度信息在指定文档上找到最重要的词.再基于投影梯度攻击的原理, 对这些词在词向量空间上进行扰动.最后, 利用同义词替换(Counter-Fitting)算法^[25]将这些词替换为和原词语义相近且和扰动后的词向量最近邻的词, 完成文档扰动.在MQ2007、MS MARCO数据集上的实验表明, GARA能有效攻击神经排序模型, 上升文档的排序位置, 同时保持良好的语义相似性.

1 基于梯度的对抗排序攻击

1.1 方法介绍

给定一组查询Q={q₁, q₂, …, q_m}和一个训练好的目标排序模型f, 并指定一篇需要攻击的文档d', 本文提出的基于梯度的对抗排序攻击方法(GARA)在文档d'上添加一定的扰动, 提升排序位置.

总体上, GARA由3步组成.1)基于梯度大小的词重要度排序.针对目标排序模型, 在指定的文档d'上找到其最重要的N个词.2)基于梯度的排序攻击.基于投影梯度攻击原理, 对这些词在词向量空间上进行扰动攻击.3)基于词嵌入的词替换.将这些词替换为和原词语义相近的词.

GARA具体步骤如算法1所示.

算法 1 GARA

输入一组查询Q={q₁, q₂, …, q_m},

训练好的目标排序模型f,

指定要攻击的文档d'

输出被攻击后的文档d^adv

基于梯度大小的词重要度排序

d'={w₁, …, w_i, …} // 输入指定文档中的词

通过Q和f检索m个排序列表D={l₁, l₂, …, l_m}

for w_i in d' do

计算词重要度打分 $I_{w_{i}}$

end for

得到待攻击词列表L= {w_t₁, w_t₂, …, w_tN}

//使用 $I_{w_{i}}$ 对d'中的词降序排序, 得到最重要的前N

个词列表

基于梯度的排序攻击

待攻击词集合w_atk={w_t₁, w_t₂, …, w_tN}

映射到词向量集合为e^atk={ $e_{w_{t 1}}$ , $e_{w_{t 2}}$ , …, $e_{w_{tN}}$ }

计算攻击词向量

得到扰动后的词向量集合

$e_{η}^{atk}$ ={e $'_{w_{t 1}}$ , e $'_{w_{t 2}}$ , …, e $'_{w_{tN}}$ }

基于词嵌入的词替换

for w_ti in w_atkdo

在原词嵌入Counter-Fitted后的词嵌入空间中,

找到top k个最近邻的相似词,

将top k个词映射回原词嵌入空间

找到和扰动后的词向量e $'_{w_{ti}}$ 最近的那个词, 作

为最终的替换词

end for

返回被攻击后的文档d^adv

1.2 基于梯度大小的词重要度排序

不同于计算机视觉中的对抗攻击可针对整幅图像, 在文本中词的改变相对容易被人发现.所以寻找最重要的词攻击, 可有效减少词数目的改变, 使人们不易察觉这一扰动, 并使攻击的效率更高.受到Xu等^[26]的启发, 本文的核心思想是利用梯度越大的词对于优化目标的影响力越大的假设, 针对排序攻击的场景设计相应的攻击目标, 挑选其中梯度最大的前N个词进行攻击.

假设d'={w₁, w₂, …, w_i, …}表示输入文档中的词, 词w_i的重要度打分为:

$I_{w_{i}}$ = ${(\frac{\partial L_{RA}}{\partial e_{w_{i}}})}_{2}^{2}$ , (1)

其中, L_RA为本文定义的针对排序场景的攻击目标, $e_{w_{i}}$ 为词w_i的词向量.

再根据计算的重要度得分 $I_{w_{i}}$ 对文档中的所有词进行降序排列, 产生待攻击词列表L.本文只对待攻击词列表L中的前N个最重要的词进行攻击, 保证产生的扰动最小.这一寻找最重要的词的过程提升了攻击效率.

1.3 基于梯度的排序攻击

不同于分类对抗攻击中直接加分到目标类概率或减分到正确类概率的简单攻击目标, 排序对抗攻击问题不仅要考虑文档本身, 还要考虑整个文档列表的相关性.本文的核心思想是根据排序场景的特点, 构造基于排序的对抗攻击目标, 并使用投影梯度下降法在词向量空间上对文档进行扰动.

本文想找到指定文档d'上的扰动r, 对所有的q∈ Q, 提升该文档的排序位置:

其中Rank为文档的排序位置.但是, 排序位置Rank(q, d'+r)是离散的, 不能直接解决这一优化问题.为了解决这一问题, 需要一个替代优化目标.

首先利用给定的目标排序模型f, 结合查询集合Q, 检索m个排序列表:

D={l₁, l₂, …, l_m}, l_i={d_i₁, d_i₂, …, d_iu}.

因为想让指定文档d'对所有的q∈ Q都排到最前面, 所以对∀ d_ij∈ l_i, 有

$Ran k_{l_{i}}$ (q, d'+r)< $Ran k_{l_{i}}$ (q, d_ij).(2)

这里, 结合神经排序模型中常用的基于文档对的排序损失, 将这一系列不等关系建模成基于排序的攻击目标:

其中,

为Hinge loss, β 为边距超参数, 一般指定为1.通过这种方式, 原始问题可转化为针对基于排序的攻击目标的优化问题, 即找到文档上扰动r以最小化攻击目标:

r=arg min L_RA(d'+r, Q; D).

本文使用投影梯度下降法^[8]解决这一优化问题.具体地, 为了找到对抗扰动r以得到扰动后的文档d^adv=d'+r, 投影梯度下降法在每轮t=1, 2, …, η 中, 使用梯度g( ${d^{adv}}_{t}$ , Q; D)更新d^adv.更新方式如下所示:

$d_{t + 1}^{adv}$ = $d_{t}^{adv}$ -α $\frac{g (d_{t}^{adv}, Q; D)}{{(g (d_{t}^{adv}, Q; D))}_{2}^{2}}$ , (3)

其中,

g( $d_{t}^{adv}$ , Q; D)= $\nabla_{{d^{adv}}_{t}}$ L_RA( $d_{t}^{adv}$ , Q; D)

为文档在第t轮的梯度, α 为攻击步长的超参数, ${d^{adv}}_{1}$ 由d'初始化.

在η 轮迭代之后, 原始文档改成满足尽可能多的不等式(式(2))的文档.因为每条不等式都表示一个文档对排序的子问题, 因此最终得到的文档会对Q中的任意查询都排到其它文档的前面.

因为文本中的词是离散的, 所以只对1.2节中选择的最重要的N个词的词向量进行梯度攻击.假设这些词w_atk={w_t₁, w_t₂, …, w_tN}, 对应的词向量e^atk={ $e_{w_{t 1}}$ , $e_{w_{t 2}}$ , …, $e_{w_{tN}}$ }.实际的更新方式如下:

基于梯度攻击的方式针对排序攻击的目标直接优化, 相比启发式的替换词方法更高效.

1.4 基于词嵌入的词替换

在词向量空间产生攻击后, 需要找到具体的词来替换原词.在1.2节中, 确保攻击尽量少的词; 在1.3节中, 保证攻击的高效达成.本节需要确保替换后的词和原词的语义一致性, 保证这一扰动不易被人发觉.核心思想是找到待替换的词在同义词嵌入空间中最临近的词集合, 选择其中和被攻击后的词向量在原词嵌入空间最相邻的词并进行替换.

这一过程如图1所示.因为在模型原始的词空间(如基于全局词向量(Global Vectors for Word Representations, GloVe)^[27]的词嵌入空间等)直接寻找相似的词进行替换面临着如下的问题:不仅相似的词(如同义词)和原词的距离较接近, 相关的词(如反义词)也会较接近^[28].所以使用Counter-Fitted后的词嵌入^[25]解决这一问题.Counter-Fitting是对词嵌入快速后处理的过程, 能将相似词推得更近, 同时将相关的词推得更远.其结果是产生只有同义词更靠近彼此的词嵌入.

	Figure Option View Download New Window
	图1 词替换过程示意图Fig.1 Sketch map of word replacement process

对于1.2节中选择的重要词, 首先对原词嵌入矩阵进行Counter-Fitting, 并在Counter-Fitted后的词嵌入空间中找到近似词.例如, 针对词diabetes找到近似词, 分别为insulin、glucose、sugar.然后, 将其映射回原词空间, 并选择其中被梯度攻击后的词向量(如× 所示, 标记为diabetes_attack)最近的词(如▲所示, 标记为insulin), 作为最终的替换词.

这种攻击方式不仅确保替换后的词和原词的语义一致性, 也最大程度地保留梯度攻击的高效性, 达到两者间的平衡.

2 实验及结果分析

2.1 实验环境

采用ad-hoc检索下的MQ2007、MS MARCO公开数据集进行实验.MQ2007数据集是一个LETOR数据集^[29], 包含1 692个TREC 2007 Million Query Track的查询, 及65 233个从GOV2的25万网页中采样的文档.平均每个查询有10个相关文档.MS MAR-CO数据集为TREC 2020 Deep Learning Track发布的用于网页文档检索的数据集, 包含3 210 000个文档, 其中367 013个查询用于训练, 5 193个查询用于测试.大多数查询只有一个相关文档.

本文采取如下评价指标:扰动后的文档比原文档的排序提升百分比和扰动后的文档和原文档的语义相似度, 分别衡量扰动对于排序提升的效果和对于语义一致性的保持.

假设对于查询集合Q, d^adv为原文档d扰动后的文档, 排序提升定义为

其中Rank为文档的排序位置.

本文使用通用句子编码器(Universal Sentence Encoder, USE)^[30]衡量原文档和扰动后文档的语义相似度.2个对比文档通过通用句子编码器后表示为余弦相似度, 输出值在-1~1之间, 值越大表示两个文档的语义相似度越大.

因为之前还没有相应工作探索过文本检索领域的对抗攻击, 所以对比的基线方法如下.

1)随机替换词的方法(简记为Random swap).随机选取原文档中的词, 并替换成随机的词.

2)基于内容的Spamming方法(简记为Spam-ming)^[24].选取原文档中末尾的词, 并替换为查询中的词.

为了公平对比, 在基线方法中, 设置选取的原文档的词的个数和GARA中的重要词个数N相同.

GARA可对任意使用词嵌入的神经排序模型进行攻击.这里选择被广泛使用的BERT(Bidirectional Encoder Representations from Transformers)和卷积化的基于核的神经排序模型(Convolutional Kernel-Based Neural Ranking Model, Conv-KNRM)进行攻击.BERT应用多层双向Transformer 编码器架构对语言建模.将查询和文档进行拼接, 加入[CLS]和[SEP]后, 输入BERT进行交叉注意力交互, 得到表达.再将表达输入全连接层, 得到相应打分.Conv-KNRM是一个以交互为中心的神经排序模型, 基于卷积和核池化, 建模文档和查询的n-gram软匹配.

本文的神经排序模型使用Matchzoo^[31]进行训练, BERT采用谷歌公布的BERT_base参数进行初始化.Conv-KNRM中设置最大n-gram数为3, 核数为11.采用自适应矩估计(Adaptive Moment Estimation, Adam)^[32]优化器进行优化, 并对学习率进行动态调整.

对于GARA, 尝试调整不同的重要词个数N、不同的攻击步长α 和迭代轮数η , 并选择最优值.

2.2 实验结果对比

本文分别测试在查询个数为1, 3, 5时, 各方法对于文档的排名提升效果.在MQ2007、MS MARCO数据集上, 对BERT和Conv-KNRM进行攻击, 结果如表1和表2所示.

表1 各方法在MQ2007数据集上的攻击结果 Table 1 Attack result of different methods on MQ2007 dataset

表2 各方法在MS MARCO数据集上的攻击结果 Table 2 Attack result of different methods on MS MARCO dataset

由表1和表2可知:1)随机替换词的方法不能有效提升文档的排序位置, 甚至还可能降低排序, 并且扰动后的文档和原文档的语义相似度很低.2)传统的Spamming方法虽然可提升文档的排序, 但未注意保持文档的语义连贯性, 导致扰动后的文档和原文档的语义相似度较低, 容易被人发觉.另外, Spam-ming方法对于排序的提升远低于GARA.这说明传统的攻击方法没有针对神经排序模型设计, 无法有效攻击神经排序模型.3)当给定的查询数目提升时, GARA的排序提升和语义相似度呈现下降趋势.这是因为GARA需要对多个查询寻找一个最优的扰动文档, 当查询数目提升时, 优化的难度增加.4)GARA取得最高的排序提升和语义相似性.例如在MQ2007数据集上, BERT作为神经排序模型, 对于给定的3个查询, GARA能提升90%的排序并达到0.63的语义相似度.这说明GARA能有效攻击神经排序模型, 保持良好的语义相似性.

2.3 扰动的不易觉察性分析

本文分析基于词嵌入的同义词替换对于扰动的不易觉察性(Imperceptibility)的作用.基于BERT模型, 在MS MARCO数据集关于“ 争论辩论的含义” 的查询上进行个例分析, 对比基于词嵌入的同义词替换和去掉该模块, 即直接在梯度攻击后的词向量附近寻找最近邻词以这两种方式产生的扰动文档.

实验结果如表3所示.原文档文本片段中的黑体字母表示原文档中被选中要攻击的词, 其余的黑体字母分别表示GARA产生的扰动文档中改动的词和去掉同义词替换后产生的扰动文档中改动的词.由表可看到, 基于词嵌入的同义词替换把原文档中的词替换成语义相近的同义词, 如entry→ entries, cite→ quoting等, 读起来和原文档十分接近, 所以和原文档达到0.87的语义相似度.而去掉这一同义词替换模块后, 产生的扰动词和原文档中的词意思相差甚远甚至完全无关, 如up→ bonaparte, papers→ sword等.这是因为词向量上的扰动只保证目标文档会在排序上得到提升, 因此扰动后的词向量可能和原词向量的差别非常大, 甚至造成对应的词和原词丝毫没有关联.

表3 去掉同义词替换模块前后的对比 Table 3 Comparison before and after removing synonym replacement module

这一结果表明, GARA产生的扰动文档和原文档非常接近, 不易被人轻易觉察, 符合对抗攻击中微小的扰动能产生深刻影响的原则.而没有同义词替换模块的算法产生的扰动相当随意, 容易被人识别.

2.4 攻击词个数分析

选择多少个最重要的词进行攻击也是GARA中重要的超参数.本节分析攻击词的个数对于攻击结果的影响.基于BERT模型, 在MQ2007数据集上进行分析实验, 让攻击词的个数N在1~150(接近文档中包含最多不重复词的个数)之间变化, 查看攻击效果.N不同时对语义相似度和排序位置的影响如图2所示.

	Figure Option View Download New Window
	图2 攻击词的个数对于排序位置和语义相似度的影响Fig.2 Effect of different numbers of attacking words on ranking position and semantic similarity

由图2可看到, 随着攻击词数目的上升, 语义相似度整体呈现下降的趋势, 这说明替换的词越多, 扰动后的文本和原文本越不相似.随着攻击词数目的上升, 扰动文档的排序位置先下降后上升, 说明当扰动词小于一定的阈值时, 替换越多的词文档的排序会越靠前.但是, 当扰动词的数目大于一定值时, 再扰动新的词不但不能使文档继续上升排名, 反而会使文档的排名下降.这可能是因为后续的扰动加入更多的同义词噪声, 干扰神经排序模型.

3 结束语

本文针对信息检索中排名竞争的场景, 提出基于梯度的对抗排序攻击方法(GARA).通过寻找原文档中最重要词, 结合针对排序场景的对抗攻击目标和投影梯度方法, 在词嵌入空间上对重要词的词向量产生扰动.最后, 结合Counter-Fitting算法将待攻击的词替换成同义词, 完成文档攻击.选择BERT模型和Conv-KNRM模型进行攻击, 在MQ-2007、MS MARCO数据集上的实验表明, GARA能有效攻击神经排序模型, 上升文档的排序位置, 并且保持良好的语义相似性.同时还通过分析实验, 说明同义词替换对于造成不易被人察觉的攻击的重要性.另外也探索不同的攻击词数目对于攻击效果的影响.今后可探索如何针对目前的攻击方法设计相应的防御方法, 设计更鲁棒的神经排序模型.

参考文献

文献选项

[1]	RAIFER N, RAIBER F, TENNENHOLTZ M, et al. Information Retrieval Meets Game Theory: The Ranking Competition between Documents' Authors // Proc of the 40th ACM SIGIR International Conference on Research and Development in Information Retrieval. New York, USA: ACM, 2017: 465-474. [本文引用:1]
[2]	SZEGEDY C, ZAREMBA W, SUTSKEVER I, et al. Intriguing Properties of Neural Networks[C/OL]. [2021-09-08]. https://arxiv.org/pdf/1312.6199v4.pdf. [本文引用:1]
[3]	GOODFELLOW I J, SHLENS J, SZEGEDY C. Explaining and Har-nessing Adversarial Examples[C/OL]. [2021-09-08]. https://arxiv.org/pdf/1412.6572v2.pdf. [本文引用:3]
[4]	NGUYEN A, YOSINSKI J, CLUNE J. Deep Neural Networks Are Easily Fooled: High Confidence Predictions for Unrecognizable Images // Proc of the IEEE Conference on Computer Vision and Pattern Recognition. Washington, USA: IEEE, 2015: 427-436. [本文引用:1]
[5]	CHAKRABORTY A, ALAM M, DEY V, et al. Adversarial Attacks and Defenses: A Survey[C/OL]. [2021-09-08]. https://arxiv.org/pdf/1810.00069.pdf. [本文引用:1]
[6]	KURAKIN A, GOODFELLOW I, BENGIO S. Adversarial Exam-ples in the Physical World[C/OL]. [2021-09-08]. https://arxiv.org/pdf/1607.02533v1.pdf. [本文引用:1]
[7]	MOOSAVI-DEZFOOLI S, FAWZI A, FAWZI O, et al. Universal Adversarial Perturbations // Proc of the IEEE Conference on Computer Vision and Pattern Recognition. Washington, USA: IEEE, 2017: 86-94. [本文引用:1]
[8]	MADRY A, MAKELOV A, SCHMIDT L, et al. Towards Deep Lear-ning Models Resistant to Adversarial Attacks[C/OL]. [2021-09-08]. https://arxiv.org/pdf/1706.06083.pdf. [本文引用:2]
[9]	EBRAHIMI J, RAO A, LOWD D, et al. HotFlip: White-Box Adversarial Examples for Text Classification // Proc of the 56th Annual Meeting of the Association for Computational Linguistics. Stroudsburg, USA: ACL, 2018: 31-36. [本文引用:1]
[10]	GAO J, LANCHANTIN J, SOFFA M L, et al. Black-Box Generation of Adversarial Text Sequences to Evade Deep Learning Classifiers // Proc of the IEEE Security and Privacy Workshops. Wa-shington, USA: IEEE, 2018: 50-56. [本文引用:1]
[11]	LIANG B, LI H C, SU M Q, et al. Deep Text Classification Can Be Fooled // Proc of the 27th International Joint Conference on Artificial Intelligence. New York, USA: ACM, 2018: 4208-4215. [本文引用:2]
[12]	SATO M, SUZUKI J, SHINDO H, et al. Interpretable Adversarial Perturbation in Input Embedding Space for Text // Proc of the 27th International Joint Conference on Artificial Intelligence. New York, USA: ACM, 2018: 4323-4330. [本文引用:2]
[13]	ALZANTOT M, SHARMA Y, ELGOHARY A, et al. Generating Natural Language Adversarial Examples // Proc of the Conference on Empirical Methods in Natural Language Processing. Stroudsburg, USA: ACL, 2018: 2890-2896. [本文引用:2]
[14]	LI J F, JI S L, DU T Y, et al. TextBugger: Generating Adversarial Text Against Real-World Applications[C/OL]. [2021-09-08]. https://arxiv.org/pdf/1812.05271.pdf. [本文引用:1]
[15]	MINERVINI P, RIEDEL S. Adversarially Regularizing Neural NLI Models to Integrate Logical Background Knowledge // Proc of the 22nd Conference on Computational Natural Language Learning. Stroudsburg, USA: ACL, 2018: 65-74. [本文引用:1]
[16]	GONG Z T, WANG W L, LI B, et al. Adversarial Texts with Gradient Methods[C/OL]. [2021-09-08]. https://arxiv.org/pdf/1801.07175v1.pdf. [本文引用:1]
[17]	XU Y, ZHONG X, YEPES A J, et al. Grey-Box Adversarial Attack and Defence for Sentiment Classification // Proc of the Conference of the North American Chapter of the Association for Computational Linguistics: Human Language Technologies. Stroudsburg, USA: ACL, 2021: 4078-4087. [本文引用:1]
[18]	JIN D, JIN Z J, ZHOU J T, et al. Is BERT Really Robust?A Strong Baseline for Natural Language Attack on Text Classification and Entailment[C/OL]. [2021-09-08]. https://arxiv.org/pdf/1907.11932.pdf. [本文引用:1]
[19]	CASTILLO C, DAVISON B D. Adversarial Web Search. Foundations and Trends in Information Retrieval, 2011, 4(5): 377-386. [本文引用:1]
[20]	GOREN G, KURLAND O, TENNENHOLTZ M, et al. Ranking Robustness under Adversarial Document Manipulations // Proc of the 41st ACM SIGIR International Conference on Research and Development in Information Retrieval. New York, USA: ACM, 2018: 395-404. [本文引用:1]
[21]	LIU Z R, ZHAO Z Y, LARSON M. Who's Afraid of Adversarial Queries? The Impact of Image Modifications on Content-Based Image Retrieval // Proc of the International Conference on Multimedia Retrieval. New York, USA: ACM, 2019: 306-314. [本文引用:1]
[22]	LI J, JI R R, LIU H, et al. Universal Perturbation Attack Against Image Retrieval // Proc of the IEEE/CVF International Conference on Computer Vision. Washington, USA: IEEE, 2019: 4898-4907. [本文引用:1]
[23]	ZHOU M, NIU Z X, WANG L, et al. Adversarial Ranking Attack and Defense[C/OL]. [2021-09-08]. https://arxiv.org/pdf/2002.11293.pdf. [本文引用:1]
[24]	GYÖNGYI Z, GARCIA-MOLINA H. Web Spam Taxonomy[C/OL]. [2021-09-08]. http://airweb.cse.lehigh.edu/2005/gyongyi.pdf. [本文引用:2]
[25]	MRK$\bar{S}$IĆ N, SÉAGHDHA D O, THOMSON B, et al. Counter-Fi-tting Word Vectors to Linguistic Constraints // Proc of the Confe-rence of the North American Chapter of the Association for Computational Linguistics(Human Language Technologies). Stroudsburg, USA: ACL, 2016: 142-148. [本文引用:2]
[26]	XU J C, DU Q F. TextTricker: Loss-Based and Gradient-Based Adversarial Attacks on Text Classification Models. Engineering Applications of Artificial Intelligence, 2020, 92. DOI: DOI:10.1016/j.engappai.2020.103641. [本文引用:1]
[27]	PENNINGTON J, SOCHER R, MANNING C. GloVe: Global Vec-tors for Word Representation // Proc of the Conference on Empirical Methods in Natural Language Processing. Stroudsburg, USA: ACL, 2014: 1532-1543. [本文引用:1]
[28]	ROTH T, GAO Y S, ABUADBBA A, et al. Token-Modification Adversarial Attacks for Natural Language Processing: A Survey[C/OL]. [2021-09-08]. https://arxiv.org/pdf/2103.00676.pdf. [本文引用:1]
[29]	QIN T, LIU T Y. Introducing LETOR 4. 0 Datasets[C/OL]. [2021-09-08]. https://arxiv.org/pdf/1306.2597.pdf. [本文引用:1]
[30]	CER D, YANG Y F, KONG S Y, et al. Universal Sentence Encoder[C/OL]. [2021-09-08]. https://arxiv.org/pdf/1803.11175v1.pdf. [本文引用:1]
[31]	GUO J F, FAN Y X, JI X, et al. MatchZoo: A Learning, Practicing, and Developing System for Neural Text Matching // Proc of the 42nd ACM SIGIR International Conference on Research and Development in Information Retrieval. New York, USA: ACM, 2019: 1297-1300. [本文引用:1]
[32]	KINGMA D, BA J. Adam: A Method for Stochastic Optimization[C/OL]. [2021-09-08]. https://arxiv.org/pdf/1412.6980v5.pdf. [本文引用:1]

2017

0.0

... 在互联网检索中普遍存在排名竞争现象^[1]:一些文档的内容拥有者故意改变文档内容,使文档的排序位置在某些特定的查询下更靠前,获得更高的关注度 ...

2021

0.0

... 然而,面向图像和文本分类的深度模型对于对抗攻击十分脆弱^[2,3] ...

2021

0.0

... 然而,面向图像和文本分类的深度模型对于对抗攻击十分脆弱^[2,3] ...

... 对抗攻击在图像领域已被广泛研究^[3,4,5,6,7] ...

... 面对文本的离散性挑战,Gong等^[16]提出在词嵌入空间中使用快速符号梯度法(Fast Gradient Sign Method, FGSM)^[3]造成扰动,并使用最近邻搜索法产生词粒度的攻击 ...

2015

0.0

... 对抗攻击在图像领域已被广泛研究^[3,4,5,6,7] ...

2021

0.0

... 对抗攻击在图像领域已被广泛研究^[3,4,5,6,7] ...

2021

0.0

... 对抗攻击在图像领域已被广泛研究^[3,4,5,6,7] ...

2017

0.0

... 对抗攻击在图像领域已被广泛研究^[3,4,5,6,7] ...

2021

0.0

... 强大的攻击方法之一是投影梯度下降(Projected Gradient Descent, PGD)^[8],它利用模型的梯度信息扰动输入,使分类错误 ...

... 本文使用投影梯度下降法^[8]解决这一优化问题 ...

2018

0.0