基于纹理和颜色感知距离的对抗样本生成算法

徐 明，蒋奔驰

(杭州电子科技大学网络空间安全学院 杭州 310016)

近年来，深度学习在各个领域被广泛应用，其安全性备受关注，特别是对抗样本[1]带来了诸多潜在威胁。对抗样本是通过对原始图像添加刻意构造的微小扰动后，使特定的深度学习分类器以高置信度产生一个错误的分类输出。理想的对抗样本不仅能够欺骗机器学习分类器，且其差异应不易被人类视觉感知。

在目前的对抗样本生成算法中，为了保证添加扰动后图像篡改痕迹的不可见性，通常研究人员采用比较公认的标准，即在RGB颜色空间内满足一定的Lp范数约束，用Lp范数衡量对抗样本中扰动的大小。如C&W[2]、FGSM[3]及变种(I-FGSM[4]、RFGSM[5])、Deepfool[6]和JSMA[7]。但范数距离与人类感官差异存在较大的偏差[8]，采用范数约束优化生成的对抗样本不可避免地会在图像平滑区域出现肉眼可见的异常纹理。

此外在基于迭代优化的对抗样本生成算法中，如C&W[2]、DDN[9]等算法的损失函数是由多个损失函数累加，通常引入超参数来表示每个损失之间的加权系数。损失函数中的超参数在图像风格转移[10]、图像超分辨率[11]及GAN等网络模型中都会涉及，通常采用遍历或者随机搜索的方式反复尝试，最终才能确定合适的超参数。

为了解决对抗样本平滑区域易出现异常纹理和超参数确认困难的问题，本文提出了一种超参数自适应调节算法(Aho-λ)。该算法基于图像纹理和颜色感知距离，有效降低了对抗样本的视觉差异。训练过程中结合损失函数中超参数与攻击成功率和扰动距离之间的线性关系[2,9]，进行动态调节超参数，有效避免了超参数的反复尝试，降低对抗样本扰动的同时也减少了算法的迭代次数。……