论文那些事—Defense against Adversarial Attacks Using High-Level Representation Guided Denoiser

1、摘要\背景

想到对抗样本的防御，一个很自然的想法是能不能将添加的扰动去掉，但目前为止没有任何一个算法或者模型能完全将扰动去掉复原原始图像，最常用的方法是去噪，去掉对抗样本扰动所带来的的影响，即对抗样本失效，机器能够识别为原来的标签，但去噪后的图像与原图像依然存在着差异。本文提出标准去噪器受到误差放大效应的影响，在误差放大效应中，小的残余的对抗性扰动被逐渐放大，并导致错误的分类。HGD通过使用一个损失函数克服了这个问题，该损失函数定义为干净图像和去噪图像激活的目标模型输出之间的差异。

我们尝试用了一些传统的去噪方法（median filter 、BM3D）效果都不好。之后我们尝试使用了两个不同架构的神经网络去噪。一个是DAE，另一个是DUNet。

 2、方法及原理

像素导向去噪器PGD（Pixel guided denoiser）：

基于像素点的去噪，将对抗样本转换为去噪样本。通过计算原始图像和去噪样本的 L1 范数来确定损失函数（基于像素点的距离）