【论文阅读 | 对抗攻击】《Low Frequency Adversarial Perturbation》

Abstract

We sample the noise vector η uniformly from the surface of the unit sphere of radius ρ > 0 in the rd × rd LF-DCT space and project it back to RGB through the IDCT transform.

不同 $r$ 对抗样本相对原始图片的改变如下图所示：

$\rho$ 固定，随着 $r$ 的减小，对抗样本和原始图片的 MSE 增大，对抗攻击成功率减小。其实从上图可以看出，随着 $r$ 的减小，对抗扰动较为集中，这种改变可能不会改变模型的特征提取能力，导致攻击成功率减小。

可以看出，$\rho$ 固定时，$r=\frac{1}{8}$ 时，攻击成功率最高，但是 $r=1$ 与上图的结果相矛盾。

类似于 PGD 攻击算法，通过 $z=z+\delta \eta \frac{\Vert \mathbf{z}{\Vert }_2}{\Vert \eta {\Vert }_2}$ 进行迭代，之后通过 $ϵ$ 将扰动限制在 sphere 内。扰动是在 DCT 空间内进行高斯噪声采样，并将高频置零。