背景

对抗样本通过向原始图像添加噪声来构造，使得输入模型后分类错误。如果在对抗样本输入模型之前，进行去噪处理，将攻击者千方百计添加到原始图像上的轻微干扰去除，则可以得到与原始图像近似的去噪后图像，从而分类依旧正确。

之前提出像素导向去噪器PGD（pixel guided denoiser），令 x x x表示原始的干净图像， x ∗ x^* x∗表示对抗样本， x ′ x' x′表示去噪后的图像。将损失函数定义为 L = ∣ ∣ x − x ′ ∣ ∣ L=||x-x'|| L=∣∣x−x′∣∣，表示去噪后的图像与原始图像之间的差异。其中， ∣ ∣ . ∣ ∣ ||.|| ∣∣.∣∣表示 L 1 L_1 L1范数。由于该损失函数是定义在图像像素级别上的，因此命名为像素导向去噪器。

然而PGD有一个致命缺陷。去噪是相对性的，并不是绝对的，无论去噪过程多完善，总会存在残余的噪声在图像上。而在DNN中，存在误差放大效应。即残余的对抗噪声在一层层中会被放大，使得最后的输出存在的噪声仍足以使DNN分类错误。

因此，作者提出了HGD高级表示指导去噪器（High-Level Representation Guided Denoiser）。

HGD

原理

由于DNN存在误差放大效应，故将损失函数定义在输出层上。
令 y y y表示原始的干净图像通过DNN后的输出， y ∗ y^* y∗表示对抗样本的输出， y ′ y' y′表示去噪后的图像的输出。将损失函数定义为 L = ∣ ∣ y − y ′ ∣ ∣ L=||y-y'|| L=∣∣y−y′∣∣，表示去噪后的图像与原始图像的对应输出之间的差异。HGD的目标是，追求损失函数的最小化。损失函数越小，说明去噪后图像与原图像的输出差异越小，越接近初始图像，去噪效果越好。

防御效果

针对 L 0 L_0 L0以及 L 2 L_2 L2攻击的防御效果不佳。原因在于这两类攻击限制了修改像素的数量，在修改程度上限制比较少，个别像素的被扰动程度可能过大，去噪效果不明显。该防御方法适用于 L ∞ L_\infty L∞攻击。

HGD处理对抗样本以防御对抗攻击相关推荐

对抗样本与生成式对抗网络
1.前言对抗样本和对抗性网络,从最开始YannLeCun在Quora上直播时表示生成对抗性网络是近期人工智能最值得期待的算法之一,到生成对抗性网络的发明者IanGoodfellow在Quora上直播 ...
OpenAI详细解析：攻击者是如何使用「对抗样本」攻击机器学习的
原文来源:OpenAI 作者: Ian Goodfellow.Nicolas Papernot.Sandy Huang.Yan Duan.Pieter Abbeel.Jack Clark. 「雷克世界 ...
面向深度学习系统的对抗样本攻击与防御
研究生涯即将开始,现在做的是对抗样本攻击与防御,开始每天写博客,记录一下自己的学习历程~ 1.对抗样本尽管深度学习解决某些复杂问题的能力超出了人类水平,但也面临多种安全性威胁.2013年,塞格德等人 ...
对抗攻击与防御 (1)：图像领域的对抗样本生成
文章目录 1 引入 2 白盒攻击 2.1 Biggio 2.2 Szegedy's limited-memory BFGS (L-BFGS) 2.3 Fast gradient sign method ...
对抗样本攻击及防御实战
原创稿件征集邮箱:edu@antvsion.com QQ:3200599554 黑客与极客相关,互联网安全领域里的热点话题漏洞.技术相关的调查或分析稿件通过并发布还能收获 200-800元不等 ...
后门攻击与对抗样本攻击的比较研究
目录一.Introduction 1.什么是后门攻击? 2.什么是对抗样本攻击? 3.后门攻击与对抗样本攻击的区别 4.补充数据投毒攻击二.思维导图三.应用场景 1.对抗样本攻击应用场景 2.后 ...
清华朱军团队包揽三项冠军 | NIPS 2017对抗样本攻防竞赛总结（附学习资料）
来源:AI科技评论作者:高云河本文共8989字,建议阅读10分钟. 本次比赛总结由谷歌大脑.清华大学以及其它参与研究人员们联合撰写,为你介绍NIPS 2017 对抗样本攻防比赛的情况. 自 Ian ...
建议收藏！近期值得读的 9 篇「对抗样本」最新论文
在碎片化阅读充斥眼球的时代,越来越少的人会去关注每篇论文背后的探索和思考.在这个栏目里,你会快速 get 每篇精选论文的亮点和痛点,时刻紧跟 AI 前沿成果. 本期我们筛选了 9 篇「对抗样本」领域的 ...

HGD处理对抗样本以防御对抗攻击

目录

背景

HGD

原理

分类

防御效果

HGD处理对抗样本以防御对抗攻击相关推荐

最新文章

热门文章