韦健杰，吕东辉，陆小锋，孙广玲

上海大学通信与信息工程学院，上海200444

近年来，深度神经网络已经被广泛应用于图像分类[1]、目标检测[2]和自然语言处理[3]等领域.然而网络的输出非常容易受到输入端微小扰动的影响，如果把特定算法生成的微小扰动添加到图像上，容易使网络输出错误的结果[4].这种以攻击性为目的的扰动称为对抗扰动[5].对抗扰动已经对人工智能系统的安全性和可靠性构成严重威胁，例如在交通指示牌上添加了刻意设计的贴纸，容易使自动驾驶的汽车错误地识别交通标志信号，因而导致重大的交通事故.除此之外，对抗扰动具有跨模型攻击能力，可以通过已知模型进行训练优化以实现对未知模型的攻击[6].因此，深入研究对抗扰动的存在根源和生成方法，对构建安全可靠的人工智能系统至关重要.

面向深度神经网络生成对抗扰动的研究成果较多，包括快速梯度符号法[7]、基本迭代法[8]、CW攻击法[9]和深度欺骗法[10]等，这些方法只针对单幅图像和单个网络模型生成对抗扰动，效率不高.文献[11]基于深度欺骗法针对特定的样本集和特定的网络模型，生成了一幅可作用于所有输入图像并且可以将攻击成功迁移到其他网络模型上的通用扰动图像.文献[12]提出了快速特征欺骗（fast feature fool, FFF）方法，该方法不必学习图像数据，在仅知网络模型内部结构和参数的情况下即可生成通用扰动.文献[13]在FFF 方法的基础上引入了数据集的信息，提出了通用扰动生成方法的一个系列.该系列共包含3 种方法：数据无关的特征欺骗方法；……