CVPR2021：VMI-FGSM增强对抗样本可迁移性方法

论文方法介绍

 给定一个带有参数$\theta$的目标分类器$f$，一个干净的样本$x\in \mathcal{X}\subset {\mathbb{R}}^d$。对抗攻击的目标是找到一个对抗样本$x^{adv}\in \mathcal{X}$满足如下条件：$$f(x;\theta )\ne f(x^{adv};\theta )\mathrm{s}.\mathrm{t}.\Vert x-x^{adv}\Vert <\epsilon$$

定义1（梯度方差）：给定一个带有参数$\theta$的分类器$f$和损失函数$J(x,y;\theta )$，一个干净的样本$x\in \mathcal{X}$，以及最大扰动${ϵ}^{\prime }$，梯度方差定义为：$$V_{{ϵ}^{\prime }}^g(x)={\mathbb{E}}_{\Vert x^{\prime }-x{\Vert }_p<{ϵ}^{\prime }}[{\nabla }_{x^{\prime }}J(x^{\prime },y;\theta )]-{\nabla }_{x}J(x,y;\theta )$$

为了方便观看，将$V_{{ϵ}^{\prime }}^g(x)$的记号简化为$V(x)$，令${ϵ}^{\prime }=\beta \cdot ϵ$，其中$\beta$是超参数。在实际中，由于输入空间是离散的，所以不能直接计算$${\mathbb{E}}_{\Vert x^{\prime }-x{\Vert }_p<{ϵ}^{\prime }}[{\nabla }_{x^{\prime }}J(x^{\prime },y;\theta )]$$所以，通过采样$N$个样本将上公式离散化为$$V(x)=\frac{1}{N}\sum _{i=1}^N{\nabla }_{x^i}J(x^i,y;\theta )-{\nabla }_{x}J(x,y;\theta )$$其中$x^i=x+r_i$，$r_i\sim U[-(\beta \cdot ϵ{)}^d,(\beta \cdot ϵ{)}^d]$，$U[a^d,b^d]$表示的是$d$维均匀分布。
  在获得梯度方差之后，可以用第$t-1$步迭代的梯度方差$V(x_{t-1}^{adv})$来调整第$t$步关于对抗样本$x_t^{adv}$的梯度。$\mathrm{V}\mathrm{M}\mathrm{I}$-$\mathrm{F}\mathrm{G}\mathrm{S}\mathrm{M}$具体的算法流程图如下所示：