One Pixel Attack for Fooling Deep Neural Networks

摘要：

• 最近的研究表明，通过向输入向量添加相对较小的扰动，可以很容易地改变深度神经网络（DNN）的输出。在本文中，我们分析了一个极其有限的场景中的攻击，其中只能修改一个像素。

• 为此，我们提出了一种基于差分进化（DE）生成单像素对抗性扰动的新方法。它需要较少的对抗性信息（黑盒攻击），并且由于DE的固有特性，可以欺骗更多类型的网络。结果表明，CIFAR-10测试数据集中68.36％的自然图像和41.22％的ImageNet（ILSVRC 2012）验证图像可以通过仅修改一个像素，73.22％和5.52％的置信度来扰乱至少一个目标类别。

• 因此，提出的攻击探讨了在极端有限的情况下对对抗机器学习的不同看法，表明当前的DNN也容易受到这种低维攻击。此外，我们还说明了DE（或广泛地说，进化计算）在对抗性机器学习领域的一个重要应用：创建可以有效地生成针对神经网络的低成本对抗性攻击的工具，用于评估鲁棒性。

• 我们使用少像素攻击有两个主要原因：

• 1）少像素攻击可以在实践中隐藏修改的效果。据我们所知，之前的论文都不能保证所做的扰动是完全看不见的。减轻这个问题的一个最直接的方法就是使扰动尽可能的小。具体来说，我们提出一个经验解，而不是理论上提出额外的约束或考虑更复杂的扰动成本函数，而是通过严格控制32×32图像中特定的1、3或5个像素中可修改的像素数量，即我们使用像素数作为单位，而不是扰动矢量的长度，以测量扰动强度&