[paper]One Pixel Attack for Fooling Deep Neural Networks

之前对抗攻击算法都是在整个图像的所有像素点上做微小的扰动，以达到欺骗模型的目的。而本文的思想是只改变少量的像素点，甚至在只改变一个像素点的极端情况下就能获得较好的攻击效果。提出了一种基于差分进化（DE）生成单像素对抗样本的黑盒攻击（仅需要概率标签）算法。由于DE的固有属性，仅需要较少的对抗信息就可以欺骗更多类型的网络。

算法优点 ：

• 高效性
• 半黑盒攻击：只需要返回黑盒的类标概率而不用网络的内部参数。
• 灵活性：可以攻击那些不可微或梯度难以计算的模型。

主要出发点：

• 自然图像邻域的分析
• 感知度量

单像素攻击是只改变一个像素点的极端情况下进行攻击。与之相反，通用对抗扰动则修改了每个像素来实现攻击。增强对抗扰动的隐藏效果有两个方法：1. 降低扰动幅度 2. 减少扰动数量。单像素攻击就是基于减少扰动数量这一目的而提出的算法。

单像素攻击算法：
输入$n$维图像$x=(x1,\cdots ,xn)$，图像每个像素看成是向量的一个分量；
$f$，分类器；
$t$，类别；
f