季一木，田鹏浩，刘尚东，吴梦雪，丁建宇，张 驰，孙一铭

(1.南京邮电大学计算机学院，江苏南京 210023 2.南京邮电大学江苏省无线传感网高技术研究重点实验室，江苏南京 210023 3.南京邮电大学高性能计算与大数据处理研究所，江苏南京 210023 4.南京邮电大学高性能计算与智能处理工程研究中心，江苏南京 210023)

近年来，随着计算机硬件性能的提升和深度学习［1］相关技术不断突破与成熟，深度神经网络（Deep Neural Network，DNN）已成功地应用于多个人工智能领域，如 3D目标检测［2］、图像目标分类［3］、语音识别［4］、自然语言处理［5］和图像重构［6］。然而，经研究表明，基于DNN的目标检测模型易受对抗扰动图像干扰。因此，如无人驾驶［7］、精密设备制造、智能化医疗等对精准度要求严格的应用，训练模型的安全性和鲁棒性更需要关注。

在上述背景下，目标检测模型的对抗算法［8］研究进入了研究者的视野。对抗算法通过在DNN中输入对抗扰动图像，从而达到目标检测模型误分类或检测失效的目的。对抗算法生成的对抗扰动根据应用环境可分为两类：（1）数字化对抗扰动图像，攻击者可直接将该图像输入至目标检测模型；（2）物理世界对抗扰动图像，攻击者需要将该图像通过摄像头输入至目标检测模型。描述对抗算法的性能主要有如下3种属性：（1）目标模型的mAP值，代表该算法生成的对抗扰动攻击目标模型的成功率；（2）鲁棒性，代表该算法生成的对抗扰动在复杂环境下的对抗效果；（3）对抗方式灵活性，代表攻击者能否在算法中自由选择对抗方式，例如有目标指向对抗和无目标指向对抗。……