基于平移随机变换的对抗样本生成方法

作者：李哲铭; 张恒巍^*; 马军强; 王晋东; 杨博

来源：计算机工程, 2022, 48(11): 152-183.

DOI：10.19678/j.issn.1000-3428.0063075

• 深度神经网络
• 对抗样本
• 黑盒攻击
• 平移随机变换
• 迁移性

基于深度神经网络的图像分类模型能够以达到甚至高于人眼的识别度识别图像，但是因模型自身结构的脆弱性,导致其容易受对抗样本的攻击。现有的对抗样本生成方法具有较高的白盒攻击率，而在黑盒条件下对抗样本的攻击成功率较低。将数据增强技术引入到对抗样本生成过程中，提出基于平移随机变换的对抗样本生成方法。通过构建概率模型对原始图像进行随机平移变换，并将变换后的图像用于生成对抗样本，有效缓解对抗样本生成过程中的过拟合现象。在此基础上，采用集成模型攻击的方式生成可迁移性更强的对抗样本，从而提高黑盒攻击成功率。在ImageNet数据集上进行单模型和集成模型攻击的实验结果表明，该方法的黑盒攻击成功率高达80.1%，与迭代快速梯度符号方法和动量迭代快速梯度符号方法相比，该方法的白盒攻击成功率虽然略有降低，但仍保持在97.8%以上。

• 单位
  中国人民解放军战略支援部队信息工程大学