本文来自CVPR 2022,作者提出了一种新型光学对抗样本,ShadowAttack。它通过一种普遍且自然的现象——阴影,生成对抗扰动,达到自然而隐密的攻击效果。并且利用了EOP方法和二次优化稳固错误预测 y ~ w \tilde{y}_w y~w的方法,来提升对抗样本的鲁棒性。作者在自然环境和测试环境都测试了该方法的效果,交通标志牌的识别实验表明,ShadowAttack方法在LISA和GTSRB两个数据集的攻击成功率达到98.23%和90.47%。
1.Shadow噪声模型
为了利用Shadow生成对抗样本,有两个问题是我们需要考虑的,一是Shadow的位置;二是Shadow的像素值
1.1 Shadow 位置
对与shadow的位置,作者提出找到一个合适的多边形 P V \mathcal{P}_{\mathcal{V}} PV来模拟阴影区域。我们用一些顶点的坐标 V = { ( m 1 , n 1 ) , ( m 2 , n 2 ) , . . . , ( m s , n s ) } \mathcal{V}=\{(m_1, n1), (m_2, n_2), ..., (m_s, n_s)\} V={(m1,n1),(m2,n2),...,(ms,ns)}来表示这个多边形多边形 P V \mathcal{P}_{\mathcal{V}} P