引言：
對于基于神經(jīng)網(wǎng)絡(luò)的分類器，對抗樣本是一種加入了微小擾動(dòng)的樣本，能夠讓分類器產(chǎn)生錯(cuò)誤的判斷從而識(shí)別失敗。傳統(tǒng)的二維對抗樣本通過打印等方式轉(zhuǎn)移導(dǎo)現(xiàn)實(shí)世界中時(shí)，在有限的視角下能夠保持對抗性。但在復(fù)雜多變的實(shí)際應(yīng)用場景中，受光照、視角偏移和相機(jī)噪聲等因素限制，這些對抗樣本被相機(jī)捕捉到的形態(tài)已經(jīng)發(fā)生了變化，在輸入到分類器之前就已經(jīng)失去了對抗性。因此傳統(tǒng)方法生成的對抗樣本在現(xiàn)實(shí)世界中多數(shù)無法保持對抗性，難以起到穩(wěn)定的干擾效果。而此前的研究主要關(guān)注的是二維對抗樣本的生成，目前缺少一種魯棒的、能保持多視角對抗性的對抗樣本。學(xué)術(shù)界在三維對抗樣本方面的研究也有所欠缺。作者解決了傳統(tǒng)對抗樣本魯棒性不強(qiáng)的問題，證明了現(xiàn)實(shí)世界中3D對抗樣本的存在，首次提出了3D對抗樣本的合成算法，并用3D打印合成了第一個(gè)物理對抗對象。
方法：
首先，作者提出了EOT算法：
EOT算法的核心思想對每一個(gè)微小的對抗擾動(dòng)（即對抗輸入和原始輸入之間的距離）進(jìn)行建模，從而縮小對抗輸入與原始輸入之間的視覺差距來優(yōu)化對抗樣本。
在有目標(biāo)的白盒攻擊場景中，傳統(tǒng)的方法通過最大化目標(biāo)類yt在原圖像(一般將其表示為[ 0,1 ]中每個(gè)像素為d的向量)周圍的一個(gè)半徑為a的球上，目標(biāo)類的對數(shù)似然來優(yōu)化生成對抗樣本。
可表示為：
而作者則選擇在這個(gè)優(yōu)化的過程中對每個(gè)微小的對抗擾動(dòng)進(jìn)行建模：
其中T表示轉(zhuǎn)換函數(shù)t的變換分布：分類器的輸入在經(jīng)過變換函數(shù)t處理后由x變?yōu)閠(x)；而T則是對于可能影響對抗性的一些因素的建模：
對于2D對抗樣本，T包括通過加性因子重新縮放、旋轉(zhuǎn)、變亮或變暗、添加高斯噪聲和圖像的平移等；
對于3D對抗樣本，T包括對抗樣本的紋理，并將紋理映射到3D渲染中，以模擬光照、旋轉(zhuǎn)、平移和透視投影等功能。
由此，對抗樣本的生成可表示為：
作者在其中采用隨機(jī)梯度下降的方法進(jìn)行優(yōu)化。其中，在梯度下降的每一步都對變換T進(jìn)行獨(dú)立的采樣，并通過變換T進(jìn)行微分。而為了更好地起到優(yōu)化的效果，作者的的在優(yōu)化目標(biāo)函數(shù)的過程中使用了 Lagrangian-relaxed（拉格朗日松弛）方法，同時(shí)使用LGB空間距離作為原始與輸出距離：
?
實(shí)驗(yàn)：
作者在實(shí)驗(yàn)中使用了TensorFlow的標(biāo)準(zhǔn)預(yù)訓(xùn)練InceptionV3分類器作為測試模型，并隨機(jī)指定target類別，攻擊成功率為96.4%。
作者首先定量評估了使用EOT方法生成2D、3D和現(xiàn)實(shí)世界對抗樣本的有效性：將有效性量化定義為：
即樣本被分類成目標(biāo)類的概率。
其中函數(shù)C(x,y)表示輸入x是否被分類為y類，即：
有了量化的評估標(biāo)準(zhǔn)之后，作者通過實(shí)驗(yàn)來評估對抗樣本的有效性。
對于2D對抗樣本，作者使用的變換分布包括縮放、旋轉(zhuǎn)、改變亮度、添加高斯噪聲和平移，對1000張圖像隨機(jī)選擇目標(biāo)類進(jìn)行攻擊，平均對抗性為96.4%：
對于3D對抗樣本，作者通過對3D渲染的過程使用EOT算法來模擬變換，考慮了相機(jī)距離、橫向平移、物體旋轉(zhuǎn)、純色背景等變換分布，為10個(gè)3D模型各選擇了20個(gè)目標(biāo)類進(jìn)行攻擊，平均對抗性為83.4%：
對于現(xiàn)實(shí)世界的3D對抗樣本，作者在代表性的幾個(gè)變換分布上使用EOT算法，以盡量地近似所有變換分布的情況。除3D渲染的過程外，還考慮了照明效果、相機(jī)噪聲以及3D打印過程等變換。平均對抗性為94%：
作者通過實(shí)驗(yàn)證實(shí)了現(xiàn)實(shí)世界中3D對抗樣本的存在,展示了EOT算法的有效性。
文獻(xiàn)來源：文章來源：http://www.zghlxwxcb.cn/news/detail-807961.html
[1]Athalye A, Engstrom L, Ilyas A, et al. Synthesizing robust adversarial examples[C]//International conference on machine learning. PMLR, 2018: 284-293.文章來源地址http://www.zghlxwxcb.cn/news/detail-807961.html
到了這里，關(guān)于【論文筆記 】EOT算法：Synthesizing robust adversarial example的文章就介紹完了。如果您還想了解更多內(nèi)容，請?jiān)谟疑辖撬阉鱐OY模板網(wǎng)以前的文章或繼續(xù)瀏覽下面的相關(guān)文章，希望大家以后多多支持TOY模板網(wǎng)！
![[論文閱讀筆記20]MotionTrack: Learning Robust Short-term and Long-term Motions for Multi-Object Tracking](https://imgs.yssmx.com/Uploads/2024/02/597527-1.png)
