关键词:
深度神经网络
对抗样本
高频
扰动
鲁棒性
摘要:
深度神经网络在图像识别领域取得广泛应用,但其结构复杂,容易受到对抗样本的攻击。构造人眼不可察觉的对抗样本对测试网络的安全性有着重要的意义。现有针对图像的对抗样本生成方法通常是对原始样本进行微小扰动,而扰动通常用lp范数距离进行约束,这种简单方案把所有像素点平等对待,每个点允许扰动的范围满足同样的约束,这限制了对抗样本的构造方式,使得扰动易被人眼察觉。而现实应用中,人眼对不同颜色和区域的像素点扰动的敏感性亦不相同,针对这一特点,设计一种基于观测敏感性的自适应扰动方案,为不同的像素点设计不同的扰动约束,从而提升对抗样本鲁棒性。具体而言,该方法通过频谱分析将图像划分为高频和低频区域,并通过新的空间约束规范扰动,并对高频不敏感区域增加更大的扰动以提升对抗能力。一系列基于ImageNet-1K和CIFAR-10数据集上进行的实验表明,新的对抗样本构造策略能与多种攻击方法相耦合,并在保障隐蔽性的前提下提升对抗性能。