对抗攻击不同方法特点比较

攻击方法	特点	攻击目标	适用模型	主要优点
PGD 攻击	- 迭代型攻击方法	误分类	深度神经网络	通用性高，适用于不同模型
	- 旨在找到最小程度的扰动
	- 梯度方向决定扰动方向
	- 扰动大小受限制
	- 通常需要较多计算资源
CW 攻击	- 优化型攻击方法	最小化扰动大小	深度神经网络	灵活，可定制攻击目标
	- 旨在最小化扰动大小并欺骗模型			通常需要较少迭代
	- 损失函数同时考虑分类错误和扰动大小
	- 可选择不同扰动范数（如L2、L∞）
FGSM 攻击	- 单次迭代攻击方法	误分类	深度神经网络	快速生成对抗样本
	- 扰动大小直接与梯度成正比
	- 通常使用L∞范数
JSMA 攻击	- 单次迭代攻击方法	误分类	规则型模型（例如图像分类）	改变像素值的颠倒性攻击
	- 针对规则型模型有效			需要目标标签
	- 通常需要目标标签
DeepFool 攻击	- 迭代型攻击方法	误分类	深度神经网络	基于线性化模型的快速攻击方法
	- 寻找最小的扰动以欺骗模型			可适用于线性模型和非线性模型
	- 可以应用于不同范数的扰动			需要较少的迭代次数
Boundary 攻击	- 优化型攻击方法	穿越决策边界	深度神经网络	突破模型的决策边界
	- 旨在欺骗模型，使其在决策边界上变化			可定制攻击目标
	- 可以选择不同的目标类别进行攻击			需要较多的计算资源
Universal 攻击	- 迭代型攻击方法	误分类	深度神经网络	可生成适用于多个样本的扰动
	- 寻找最小的扰动以欺骗多个样本			高度通用性
	- 攻击目标为多个样本			需要更多计算资源
Saliency Map 攻击	- 单次迭代攻击方法	误分类	深度神经网络	利用输入的显著性信息
	- 通过显著性地扰动输入			非常高效
	- 可以改变输入的显著性			需要更多的领域知识
Momentum 攻击	- 迭代型攻击方法	误分类	深度神经网络	结合动量的迭代攻击方法
	- 结合了梯度方向和历史梯度信息			收敛速度相对较快
	- 有助于跳出局部极小值
	- 可以使用不同的扰动范数
Sparse 攻击	- 迭代型攻击方法	误分类	深度神经网络	利用稀疏扰动进行攻击
	- 扰动被限制为少量非零元素			在稀疏性问题中表现良好
	- 可以选择L0范数或L1范数的扰动
Transferability	- 从一个模型到另一个模型的攻击	误分类	多个深度神经网络	攻击成功率高
Attack	- 利用对抗样本在不同模型之间的转移性			可跨多个模型进行攻击
	- 可以攻击具有相似结构的模型