一種利用類別顯著性映射生成對抗樣本的方法
信息技術與網絡安全
葉啟松，戴旭初
(中國科學技術大學 網絡空間安全學院，安徽 合肥230026)
摘要： 如果對抗樣本的遷移性越強，則其攻擊結構未知的深度神經網絡模型的效果越好，所以設計對抗樣本生成方法的一個關鍵在于提升對抗樣本的遷移性。然而現有方法所生成的對抗樣本，與模型的結構和參數高度耦合，從而難以對結構未知的模型進行有效攻擊。類別顯著性映射能夠提取出樣本的關鍵特征信息，而且在不同網絡模型中有較高的相似度。基于顯著性映射的這一特點，在樣本生成過程中，引入類別顯著性映射進行約束，實驗結果表明，該方法生成的對抗樣本具有較好的遷移性。
中圖分類號： TP181
文獻標識碼： A
DOI： 10.19358/j.issn.2096-5133.2021.06.002
引用格式： 葉啟松，戴旭初. 一種利用類別顯著性映射生成對抗樣本的方法[J].信息技術與網絡安全，2021，40(6)：9-14.
文獻標識碼： A
DOI： 10.19358/j.issn.2096-5133.2021.06.002
引用格式： 葉啟松，戴旭初. 一種利用類別顯著性映射生成對抗樣本的方法[J].信息技術與網絡安全，2021，40(6)：9-14.
An adversarial example generation method based on class activation map
Ye Qisong，Dai Xuchu
(School of Cyberspace Security，University of Science and Technology of China，Hefei 230026，China)
Abstract： The adversarial examples, if their transferability is stronger, will be more effective to attack models with unknown structure. Therefore, a key to design adversarial examples generation method is to improve the transferability of adversarial examples. However, the existing method for generating adversarial examples are highly coupled with the structure and parameters of the local model, which make the generated adversarial examples difficult to attack other models. The class activation map can extract the key feature information of the example, and it has high similarity in different neural network models. Based on this observation, the class activation map is used to constrain the process of example generation. Experimental results show that the adversarial examples generated by this method have good transferability.
Key words : deep learning；security；adversarial example；transferability
0 引言
深度學習技術在計算機視覺、語音識別、自然語言處理等各個領域有著廣泛的應用，然而有研究表明，深度神經網絡具有一定的脆弱性[1]，該脆弱性使得深度神經網絡容易受到攻擊，這一問題引起了廣泛的重視。對抗樣本攻擊是攻擊深度神經網絡的主要方法，該方法通過對原樣本添加微小的、不可察覺的擾動生成對抗樣本，使得深度神經網絡對該樣本做出錯誤的預測。
對抗樣本的遷移性指針對結構已知的深度神經網絡模型生成的對抗樣本，能使得結構未知的深度神經網絡模型對該樣本做出錯誤預測。如果對抗樣本有更好的遷移性，其就能更好地攻擊結構和參數未知的模型，這也是利用對抗樣本進行攻擊的主要應用場景。攻擊者在擁有深度神經網絡模型的結構和參數信息的前提下進行的對抗樣本攻擊，稱為在白盒條件下的對抗樣本攻擊。現有的白盒條件下的對抗樣本攻擊方法雖然有較高的攻擊成功率，但是其生成的對抗樣本的遷移性較差，在主要的應用場景中并不適用。遷移性差的主要原因在于，這類方法所生成的對抗樣本與模型的結構和參數高度耦合，其擾動難以對結構和參數不同的其他模型進行有效的干擾。遷移性差的這一缺點在目標神經網絡引入了防御方法時表現得更為明顯。
本文詳細內容請下載：http://www.shi-ke.cn/resource/share/2000003593
作者信息：
葉啟松，戴旭初
(中國科學技術大學 網絡空間安全學院，安徽 合肥230026)
此內容為AET網站原創，未經授權禁止轉載。