基于二阶对抗样本的对抗训练防御

钱亚冠 张锡敏 王 滨 顾钊铨 李 蔚 云本胜

①(浙江科技学院理学院/大数据学院 杭州 310023)

②(杭州海康威视网络与信息安全实验室 杭州 310052)

③(广州大学网络空间先进技术研究院 广州 510006)

1 引言

深度神经网络(DNN)在生物信息学[1,2]、语音识别[3,4]和计算机视觉[5,6]等领域获得成功应用的同时，研究者们发现DNN容易受到对抗样本的攻击[7]，即在自然图像中添加微小的扰动，可以欺骗DNN做出错误预测。由于对抗样本具有较好的隐蔽性，不易被人眼发现，给安全敏感的应用带来很大的破坏性。例如，在自动驾驶领域，研究者们通过在道路交通标志图片上添加微小扰动得到对抗样本，导致采用DNN进行道路交通标志识别的自动驾驶汽车做出错误判断，引起交通事故的发生[8]。自动驾驶系统可能会遇到的道路交通标志图片及其对应的对抗样本，对于人眼来说，两张图片是相同的，同为注意危险标志。而自动驾驶系统中的DNN则把对抗样本判断为让行标志。这意味着难以察觉的扰动有可能使一辆毫无故障的自动驾驶汽车做出危险的行为。因此，对于对抗样本的防御研究具有现实意义。

自Szegedy等人[7]发现DNN中存在对抗样本以来，研究者们提出了一系列对抗样本的生成与防御方法。生成对抗样本的过程通常被建模为一个有约束优化的问题，其目标是在约束条件下最大化损失函数。现有的典型对抗样本包括C&W[9], Deepfool[10],FGSM[11], PGD[12], M-DI2-FGSM[13]等。同时，研究者们提出了多种防御对抗样本的方法，如防御蒸馏[14]、对抗训练[15]、强化网络[16]及对抗样本检测[17]等。……