对抗攻击3——BIM(Basic Iterative Method)

  Basic Iterative Method是许多个FGSM方法的拓展之一，有时候它也被称作I-FGSM。BIM是FGSM多次迭代的版本，其中总的对抗扰动量为$\Vert r{\Vert }_{\infty }\le ϵ$。由BIM生成对抗样本的具体形式如下所示： x i + 1 ′ = C l i p ϵ { x i ′ + α ⋅ s i g n ( ∇ x L ( x i ′ , y ) ) } i = 0 , ⋯ n a n d x 0 ′ = x x^{\prime}_{i+1}=Clip_{\epsilon}\{x_i^{\prime}+\alpha\cdot\mathrm{sign}(\nabla_x\mathcal{L(x^{\prime}_{i},y)})\}\quad i=0,\cdots n \quad \mathrm{and} \quad x^{\prime}_0=x xi+1′​=Clipϵ​{xi′​+α⋅sign(∇x​L(xi′​,y))}i=0,⋯nandx0′​=x其中$n$是总的迭代次数，$0<\alpha <ϵ$是每次的迭代步长。 C l i p { ⋅ } Clip\{\cdot\} Clip{⋅}表示将每个输入特征点限制在输入样本$x$的$ϵ$邻域中。具体公式如下所示： C l i p ϵ { x i , ( u , v , w ) ′ } = min ⁡ { 255 , x u , v , w + ϵ , max ⁡ { 0 , x u , v , w − ϵ , x i , ( u , v , w ) ′ } } Clip_{\epsilon}\{x^{\prime}_{i,(u,v,w)}\}=\min\{255,x_{u,v,w}+\epsilon,\max\{0,x_{u,v,w}-\epsilon,x^{\prime}_{i,(u,v,w)}\} \} Clipϵ​{xi,(u,v,w)′​}=min{255,xu,v,w​+ϵ,max{0,xu,v,w​−ϵ,xi,(u,v,w)′​}}除了分类模型，BIM也被应用在攻击语义分割的模型中，例如FCN。