Auto Attack&APGD:一种评估模型鲁棒性的弱参数攻击方法

1 前人缺点以及本文贡献

论文:Reliable evaluation of adversarial robustness with an ensemble of diverse parameter-free attacks

开源代码:https://github.com/fra31/auto-attack

1.1 PGD攻击在测试模型鲁棒性的缺陷

直接使用单一的PGD攻击评估某一个防御方法是否奏效不具有说服力.测试对抗性鲁棒性的最流行方法是PGD攻击，因为它的计算成本低廉，并且在许多情况下性能良好。然而，已经证明，即使PGD也会失败，从而导致对鲁棒性的严重高估：i）固定步长和ii）广泛使用的交叉熵损失是潜在失败的两个原因，评估不佳的另一个原因是所iii）使用的攻击之间缺乏多样性，因为大多数论文仅依赖于PGD或较弱的版本（例如FGSM）给出的结果。例如，两种不同的攻击具有不同的性质：白盒FAB攻击和黑盒Square攻击。重要的是，这些方法的参数数量有限，可以很好地在分类器和数据集之间进行泛化。作者将提出的两个新版本的PGD与FAB和Square Attack相结合，形成了无参数，计算可负担且用户独立的互补攻击组合，以评估对抗性鲁棒性，称为AutoAttack。

1.2 本论文的贡献

APGD:我们提出i)一个新的基于梯度的方案，Auto-PGD，它不需要选择步长,由迭代过程中自动调整步长，一个替代损失函数。这些新工具导致PGD的两个变体，其唯一的自由参数是迭代次数，而其他一切都是自动调整的:这是提议的评估协议的第一部分

Auto Attack:我们将两个新版本的PGD与FAB白盒攻击和Square Attack黑盒攻击结合起来，形成一个无参数，计算负担得起且与用户无关的互补攻击集合，以估计对抗性鲁棒性，称为AutoAttack

2 前置知识

2.1 Square Attack

Square Attack:一种基于随机搜索和得分的黑盒攻击方法的原理以及代码实现-CSDN博客

2.2 FAB

3 Auto-PGD

3.1 基本思想

3.2 步长减半条件

4 Auto-Attack