【论文笔记】【2020TMM】Towards Imperceptible Adversarial Image Patches Based on Network Explanations

个人总结： 本文与PS-GAN有些相似，但是前者是通约束与原图像距离生成对抗样本，后者基于GAN，约束与patch种子的距离生成，但是两篇文章中都引用了CAM的方法——Grad_CAM通过权重汇集，再通过relu清除负值影响找到影响分类最主要的点(这点和PS_GAN中使用的注意力机制一样)，对于mask也不再使用来了的（0,1）来确定干扰点（这也是PS-GAN中使用的），采用一种soft mask，使得每个像素点提供的分类贡献是根据汇集权重的比重来提供的，这样也消除了不必要的干扰冗余。干扰也通过交叉熵损失（add inverse temperture 保证除数不为零，更好收敛）同时通过L2控制干扰强度，保证不被人眼识别出。

Abstract

The vulnerability of deep neural networks (DNNs) for adversarial examples has attracted more attention. Many algorithms are proposed to craft powerful adversarial examples. However, these algorithms modifying the global or local region of pixels without taking into account network explanations. Hence, the perturbations are redundancy and easily detected by human eyes. In this paper, we propose a novel method to generate local region perturbations. The main idea is to find the contributing feature regions (CFRs) of images based on network explanations for perturbations. Due to the network explanations, the perturbations added to the CFRs are more effective than other regions. In our method, a soft mask matrix is designed to represent the CFRs for finely characterizing the contributions of each pixel. Based on this soft mask, we develop a new objective function with inverse temperature to search for optimal perturbations in CFRs. Extensive experiments are conducted on CIFAR-10 and ILSVRC2012, which demonstrate the effectiveness, including attack success rate, imperceptibility, and transferability.

深度神经网络(DNNs)在对抗例子中的脆弱性引起了越来越多的关注。许多算法被提出来制造强大的对抗例子。然而，这些算法修改像素的全局或局部区域，而不考虑网络解释。因此，这些扰动是冗余的，很容易被人眼发现。本文提出了一种产生局域扰动的新方法。其主要思想是根据网络对扰动的解释来寻找图像的贡献特征区域(CFRs)。由于网络的解释，添加到CFRs的扰动比其他区域更有效。在我们的方法中，设计了一个软掩模矩阵来表示CFRs，以精细地表征每个像素的贡献。在此基础上，我们提出了一个新的温度逆目标函数来寻找CFRs中的最优扰动。在CIFAR-10和ILSVRC2012上进行了大量的实验，从攻击成功率、不可感知性和可转移性等方面验证了该算法的有效性。

总结

本篇文章的核心是通过contributing feature regions (CFRs)（我感觉和注意力机制一样），soft mask，Distilled temperture提出了一种局部对抗样本样本生成算法，在不可被识别出的同时，提高攻击能力并减少了不必要的对抗攻击冗余。
这里在Network Explanations是参考CAM的Grad_Cam，这也在PS-GaN中被使用。

在原有方法中对于权重较大的点设置Mask为1,，其余为0，以便于添加干扰。但是本文提出了一个Soft mask在保证干扰分类的同时减少不必要的冗余。

在对抗样本生成过程中，对于损失函数的选择上也参考了distillation的idea，避免loss~0，采用了一种inverse temperature的方法，提高收敛能力。并在T的选择上做了分析。
、

最终损失函数为：
生成对抗样本的过程为，通过损失函数中干扰的导数来更新干扰，达到攻击效果。