动量迭代式对抗噪声生成方法 | VALSE2018年度杰出学生论文奖

编者按：深度模型的精度和速度长期以来成为了评价模型性能的核心标准，但即使性能优越的深度神经网络也很容易被对抗样本攻击。因此，寻找到合适的对抗攻击策略可有效提升模型本身的鲁棒性。本文作者提出了基于动量的迭代算法来构造对抗扰动，有效地减轻了白盒攻击成功率和迁移性能之间的耦合，并能够同时成功攻击白盒和黑盒模型。

一、研究动机

深度神经网络虽然在语音识别、图像分类、物体检测等诸多领域取得了显著效果，但是却很容易受到对抗样本的攻击。对抗样本是指向原始样本中添加微小的噪声，使得深度学习模型错误分类,但是对于人类观察者来说，却很难发现对抗样本和正常样本之间的区别。

生成对抗样本的场景主要分为两种：白盒攻击和黑盒攻击。对于白盒攻击，攻击者知道目标网络的结构和参数，可以利用基于梯度的方法构造对抗样本。由于所构造的对抗样本具有一定的迁移性能（即对于一个模型构造的对抗样本也可以欺骗另一个模型），所以其可以被用来攻击未知结构和参数的黑盒模型，即黑盒攻击。

然而，在实际的应用过程中，攻击一个黑盒模型十分困难，尤其对于具有一定防御措施的模型更加难以黑盒攻击成功。造成此现象的根本原因在于现有攻击方法的白盒攻击成功率和迁移性能之间的耦合与限制，使得没有能够同时达到很好的白盒攻击成功率和迁移性能的方法。

具体地，对于一步迭代的快速梯度符号算法（FGSM），虽然这种方法构造的对抗样本的迁移性能很好，其攻击白盒模型的成功率受到了很大的限制，不能有效地攻击黑盒模型；另一方面，对于多步迭代的方法(I-FGSM)，虽然可以很好地攻击白盒模型，但是所构造对抗样本的迁移性能很差，也不能有效地攻击黑盒模型。所以我们提出了一类新的攻击方法，可以有效地减轻白盒攻击成功率和转移性能之间的耦合，同时成功攻击白盒和黑盒模型。

图1:对抗样本示例

二、研究方案

2.1 问题定义

生成对抗噪声本质上可以归结为一个优化问题。对于单个模型f(x)，攻击者希望生成满足L_∞限制的无目标对抗样本，即生成对抗样本x^*，使得f(x^*)≠y且‖x^*-x‖_∞≤ϵ，其中y为真实样本x所对应的真实类别、ϵ为所允许的噪声规模。所对应的优化目标为

其中J为模型的损失函数，通常定义为交叉信息熵损失。

2.2 相关工作