面向图像分类的对抗鲁棒性评估综述

摘 要 近年来，以深度学习为代表的人工智能技术在金融安防、自动驾驶、医疗诊断等领域取得了较为成功的应用.然而，图像分类作为上述应用中的一项基础视觉任务，正遭受着对抗攻击等技术手段带来的巨大安全隐患.提高深度学习模型抵御对抗攻击的能力(即对抗鲁棒性)成为有效缓解该问题的可行技术途径.为了科学、全面地提升深度学习模型的对抗鲁棒性，众多学者从基准评估和指标评估2个角度围绕对抗鲁棒性评估开展了大量研究.该研究着重对上述指标评估相关研究进行综述：首先，介绍对抗样本相关概念以及存在的原因，总结提出进行对抗鲁棒性评估时需要遵循的评估准则；其次，从被攻击模型和测试数据2个维度，重点梳理和对比分析现有的主要对抗鲁棒性评估指标；而后，分析总结现阶段主流的图像分类数据集和对抗攻防集成工具，为后续开展对抗鲁棒性评估奠定基础；最后，探讨当前研究的优势和不足，以及未来潜在的研究方向.旨在为相关领域从业人员或学习者提供一个较为全面的、系统的和客观的面向图像分类的对抗鲁棒性评估指标综述.

关键词 对抗鲁棒性；评估指标；对抗攻防；图像分类；深度学习

2019年瑞莱智慧RealAI团队对人脸照片进行算法处理，将照片打印并粘贴到镜框上，通过佩戴眼镜成功攻破19款商用手机的人脸解锁[1]；2020年美国东北大学团队[2]设计了一款印有特殊图案的T恤，可使穿戴者躲避智能摄像头的监测；2021年腾讯科恩实验室[3]通过在路面部署干扰信息，导致特斯拉Model S车辆经过时对车道线做出错判，致使车辆驶入反向车道……

由此可见，尽管深度学习在执行各种复杂任务时取得了出乎意料的优异表现，但在安全应用领域仍有很大的局限性.Szegedy等人[4]发现，深度学习对