Alexey Kurakin, Ian J. Goodfellow, Samy Bengio, ADVERSARIAL EXAMPLES IN THE PHYSICAL WORLD
概
有很多种方法能够生成对抗样本(adversarial samples), 但是真实世界中是否存在这样的对抗样本呢?
主要内容
least likely class adv.
假设为图像(各元素取值为
),
为其标签,
为一模型, 其输出是一个概率向量, 定义
故本文的生成adversarial samples的方法是最小化
则
其中
即使得落入
内且,
.
实验1 l.l.c. adv.的效用
对l.l.c. adv. 和 fgsm, ifgsm进行了比较
在这里插入图片描述
实验二
为了探究真实世界是否也存在这样的对抗样本, 作者将图片进行如下操作:
- 打印 ( a )
- 用手机将打印的照片拍照 ( b )
- 对照片进行裁剪找出所需的部分 ( c )
在这里插入图片描述
可以把这种操作看成一个变换, 如果真实世界中也存在对抗样本, 那么原本的adversarial samples 在经过这个变换之后很有可能也具有对抗的性质, 事实上, 实验显示的确, 虽然其对抗的程度有些许下降.
作者构建了一个指标(重构率)来衡量:
在这里插入图片描述
其中
在这里插入图片描述
.
表示经过变换
后, adversarial samples 变成普通样本(即不被误判)的比例, 实验显示, 在实验一中表现出色的l.l.c. adv.,
反而比较高, 作者猜测这是因为这个方法产生的扰动比较精细, 经过
变换后, 这部分扰动就容易被抵消.
网友评论