目标检测的稀疏对抗攻击，代码已开源

题目：Sparse Adversarial Attack to Object Detection

论文：https://arxiv.org/pdf/2012.13692v1.pdf

代码：https://github.com/THUrssq/Tianchi04.

引言

该论文的出处是阿里天池大赛中安全AI挑战者计划第四期的通用目标检测对抗攻击。阿里的安全AI挑战者计划是一系列关于AI安全的竞赛，到目前为止球200多所高校100多家企业的近4000支队伍参加，主要目的是抵御未来AI面临的各种安全问题。阿里天池论坛的学习氛围很好，很多优秀的战队很详细的分享了在本次比赛的方法和代码，感兴趣的可以学习一下。

题目赛况

因为该论文是根植于比赛，所以需要先对本次比赛的题目和评价指标介绍一下，尤其是评价指标有些复杂需要对其详细介绍，这样才能更容易理解论文中实验结果。

赛题简介

阿里天池安全AI挑战者计划第四期比赛针对通用的目标检测模型进行攻击，比赛采用COCO数据集，其中包含20类物体。任务是通过向原始图像中添加对抗补丁（adversarial patch）的方式，使得典型的目标检测模型不能够检测到图像中的物体，绕过目标定位。主办方选取了4个近期的State-of-the-art检测模型作为攻击目标，包括两个白盒模型YOLO v4和Faster RCNN和另外两个未知的黑盒模型。

评价指标

一张图像中对抗贴图的像素值大小和位置没有任何限制，只会限制贴图的尺寸。评估是使用原始图像减去修改后的图像，得到修改域，然后，计算修改域中连通域的数量和每个连通域的大小。一个连通域被视为一个添加的对抗贴图，对抗贴图有两点限制：

1. 限制了改变的像素数量在总像素中的比率，不超过全图所有像素的2%。

2. 限制了对抗贴图的数量不多于10个，当检测到对抗贴图的数量超过10个。

对抗贴图使得图像输入到模型后，所有目标都无法被检测到，采用方评价得分方式为：

其中5000表示最大修改像素数量（因为限制1中要求像素改变量不超过全图中的2%，所以有500x500x2%=5000）， 是第 个对抗贴图的面积， 是干净样本的图像， 是对抗图像，