◆赵永泉

基于拟合决策边界表达式的对抗攻击方法

◆赵永泉

（云南电网有限责任公司西双版纳供电局 云南 666100）

基于深度学习的图像分类器已经被广泛使用，由于模型鲁棒性问题导致其不能正确分类，进而增加微小扰动的样本，称之为对抗攻击。现有黑盒攻击算法难以在较低的访问次数下获得准确决策边界信息，本文提出基于拟合决策边界表达式的对抗攻击方法。该方法定义根据目标函数以及决策边界的定义，推导出决策边界表达式，并利用投影操作寻找决策边界附近的对抗样本。试验结果标明，该方法相比现有的黑盒攻击方法具有更高的攻击成功率。

对抗攻击；计算机视觉；深度学习

对抗攻击指的是在原始样本中加入扰动，以获得一个可以欺骗目标深度学习分类器的样本。文献[1]首次发现深度学习模型易受攻击的特点，进而提出框约束L-BFGS算法进行迭代对抗攻击。L-BFGS算法针对特定的原始图像随机添加扰动生成对抗样本。文献[2]提出的生成方法基于隐空间聚类。文献[3]提出了一种基于快速边界攻击的有目标攻击样本生成方法，将搜索拆分为面上和线上两部分，并通过二分法减少搜索规模。文献[4]提出了基于AE-WGAN的定向对抗样本生成方法，通过高质量映射转换和隐层编码迁移算法生成指定标签的对抗样本。文献[5]提出的ZOO方法通过目标模型的输出来拟合模型梯度，其在攻击成功率和扰动大小两个指标上都很优秀。本文通过转换模型拟合目标函数构建决策边界近似表达式，根据决策边界近似的表达式，利用投影操作进行对抗样本生成，提升攻击成功率。……