从原理到代码：如何通过 FGSM 生成对抗样本并进行攻击

从原理到代码：如何通过 FGSM 生成对抗样本并进行攻击

简介

在机器学习领域，深度神经网络的强大表现令人印象深刻，尤其是在图像分类等任务上。然而，随着对深度学习的深入研究，研究人员发现了神经网络的一个脆弱性：对抗样本（Adversarial Examples）。简单来说，对抗样本是通过对原始输入数据添加微小扰动，导致神经网络预测错误的一类特殊样本。

Fast Gradient Sign Method (FGSM) 是最早提出的一种简单且有效的对抗攻击方法。它通过利用神经网络的梯度信息，快速生成对抗样本。本篇博客将深入剖析 FGSM 的数学原理，并提供一份基于 PyTorch 的代码实现，帮助你快速上手对抗攻击。

最终效果

当前图片为 truck，但经过对抗攻击后，结果看似应该同样是 truck，然而模型却错误地将其分类为了 cat。

数学原理

1. 神经网络的基本工作原理

神经网络通过对输入数据 $x$ 进行一系列的非线性变换，输出一个预测值 $\hat{y}$。以图像分类任务为例，输入 $x$ 是图像，网络输出 $\hat{y}$ 是一个分类结果。网络的目标是使得预测值 $\hat{y}$ 尽可能接近真实标签 $y$，通过最小化损失函数 $L(\hat{y},y)$ 来优化网络的权重。

2. 对抗攻击的目标

对抗攻击的核心思想是在输入数据上添加一个微小的扰动 $\eta$，使得网络在预测时发生错误。这种扰动应尽量保持小到人类肉眼难以察觉，但足以让网络产生不同的输出，即：

$${\hat{y}}_{adv}=f(x+\eta )\text{and}{\hat{y}}_{adv}\ne y$$

3. FGSM 的核心思想

FGSM 利用了梯度上升的思想，通过损失函数相对于输入图像的梯度来找到 最容易 迷惑网络的方向，并沿着这个方向对图像进行微小的扰动。

具体来说，给定输入图像 $x$ 和其真实标签 $y$，我们可以计算损失函数 $L(x,y)$，并对输入图像 $x$ 计算其梯度：

∇ x L ( f ( x ) , y )