企业网站建设方案如何,嘉兴网站制作方案,网站建设实践考试试题,网站上点击图片局部放大如何做原文#xff1a;[2207.05382] Frequency Domain Model Augmentation for Adversarial Attack (arxiv.org)代码#xff1a;https://github.com/yuyang-long/SSA.黑盒攻击替代模型与受攻击模型之间的差距通常较大#xff0c;表现为攻击性能脆弱。基于同时攻击不同模型可以提高…原文[2207.05382] Frequency Domain Model Augmentation for Adversarial Attack (arxiv.org)代码https://github.com/yuyang-long/SSA.黑盒攻击替代模型与受攻击模型之间的差距通常较大表现为攻击性能脆弱。基于同时攻击不同模型可以提高对抗样本的迁移性观察提出了利用变换后的图像模拟不同模型的模型增强方法。然而现有的空间域转换并不能转化为显著多样化的增强模型。为了解决这个问题我们提出了一种新的频谱模拟攻击以针对正常训练和防御模型制作更多的可转移的对抗样本具体地说我们对输入应用频谱变换从而在频域执行模型增强。我们从理论上证明了从频域导出的变换会导致一个多样化的频谱显著图这是我们提出的一个反映替代模型多样性的指标。值得注意的是我们的方法通常可以与现有的攻击相结合。文章主要贡献1)我们发现从空间域变换得到的增强模型没有显著的多样性这可能限制了对抗性示例的可移植性。2)为了克服这一局限性我们引入了频谱显著图(基于频域视角)来研究模型之间的差异。受到我们发现的启发我们提出了一种新的频谱模拟攻击以有效地缩小替代模型和受害者模型之间的差距。3)在ImageNet数据集上的大量实验突出了我们提出的方法的有效性。值得注意的是与最先进的基于转移的攻击相比我们的方法将正常训练模型的攻击成功率提高了6.3% ~ 12.2%将防御模型的攻击成功率提高了5.6% ~ 23.1%。Preliminaries对抗样本的生成可以表示为以下优化问题由于参数不达故直接优化等式1是不现实的为了克服这一限制一种常见的做法是通过可访问的替代模型制作对抗样本并依赖可转移性来欺骗受攻击的模型如I-FGSM迭代t1次时的对抗样本可以表示为Spectrum Saliency Map从频域角度引入频谱显著性图因为图像在频域的表示有一个固定的模式 。而且不同迭饿模型在做决策时通常依赖于每个输入图像的不同频率成分。文章从频域角度探讨了模型之间的相关性采用DCT将输入图像x从空间域变换到频域。DCT的数学定义可以简化为A是一个正交矩阵。从形式来看振幅较高的低频分量往往集中在频谱的左上角高频分量位于剩余的区域本文提出了一个频谱显著图来挖掘不同模型的敏感点,其定义为表示IDCT它可以将输入图像从频域恢复到空域。DCT和IDCT都是无损的无损报损变换就是图像进行变换了之后损失函数没有太大变换根据之前的可视化作者观察到感兴趣的频率成分通常因模型而异。因此频谱显著性图可以作为一个指标来反映一个特定的模型。Spectrum Transformation上述分析激励我们如果我们可以用与被攻击模型相似的频谱显著图来模拟增强模型则替代模型和被攻击者模型之间的差距可以显著缩小对抗样本可以更好地转移。 引理1定理1表明有可能以矩阵变换的形式使两个矩阵注意频谱显著性图的本质也是一个矩阵相等。然而被攻击模型的频谱显著性图在黑箱设置下通常无法获得。此外替代模型的频谱显著性图是高维的不保证是可逆的。为了解决这一问题我们提出了一种随机谱变换T(·)将矩阵乘法分解为矩阵加法和阿达玛乘积得到不同的谱。具体来说结合DCT/IDCT我们的T(·)可以表示为:从形式上看 T(⋅) 能够产生多样化的频谱显著性图能够反映替代模型的多样性同时缩小与受害者模型的差距。如上图所示以前提出的空域的变换即b和c对产生多样化的频谱显著性地图不太有效这可能导致较弱的模型增强。相比之下通过本文提出的频谱变换产生的频谱显著性图即a几乎可以覆盖其他模型的所有图。Spectrum Simulation Attack本文提出的攻击方法称为频谱模拟迭代快速梯度符号方法算法大概分为三个步骤step13-6将频谱变换 T(⋅) 应用于输入图像使从替代模型得到的梯度 与从新模型得到的结果大致相等即模型增强step27:对N 个增强的模型的梯度进行平均以获得一个更稳定的更新方向 g′step38更新
