画像検索モデルに対してターゲットラベルを定めたadversarial attack手法（NAG）を提案。摂動を作成する際に、モデルが脆弱となる画像ペアが存在することを明らかにし、そのこととランダムノイズを利用してブラックボックス攻撃におけるモデル転移性を向上させた。