图像对抗算法（先导篇）

什么是图像对抗算法？图像对抗算法是最近几年比较活跃的研究方向，目前主要的研究集中在图像分类和目标检测领域中，因为在图像分类中的研究比较成熟，因此接下来主要以图像分类为例介绍图像对抗算法。

攻击和防御

图像对抗算法主要包含攻击和防御2部分内容。
攻击表示通过一定的算法在原输入图像上加入攻击噪声得到攻击图像，这个攻击图像能够扰乱分类器的分类，使其分类结果出错。这里面涉及到的最重要内容是攻击图像从人类肉眼看来和原输入图像基本没有区别，这样的攻击才是有意义的，比如下面这幅图的左边是原输入图像，中间是攻击噪声，右边是得到的攻击图像，从肉眼看右边的图像也是一只熊猫，但是分类器却将其误分类成长臂猿。因此攻击任务的难点在于攻击成功率和扰动之间的平衡，一般而言，扰动越大，攻击成功率越高，反之亦然。

防御表示构建足够鲁棒的分类器（防御模型），使其在输入攻击图像时也能够分类正确。防御模型的做法主要有2种，一种是训练更加鲁棒的分类器，这是从分类器本身出发做防御，另一种是对输入的攻击图像做一定的预处理后再传给分类器，目的是尽可能减少攻击噪声。

黑盒攻击和白盒攻击

在攻击算法中涉及到2个概念：黑盒攻击和白盒攻击。
黑盒攻击是指攻击者不知道防御模型的网络结构和参数，在此基础上生成攻击图像进行