程旭，王莹莹，张年杰，付章杰，陈北京，赵国英

（1.南京信息工程大学计算机学院、软件学院、网络空间安全学院，江苏 南京 210044；2.南京信息工程大学数字取证教育部工程研究中心，江苏 南京 210044；3.奥卢大学机器视觉与信号分析研究中心，奥卢 FI-90014）

1 引言

视觉目标跟踪是计算机视觉的关键任务之一，在公共安全领域扮演着十分重要的角色，如视频监控、自动驾驶、无人机追踪、图像目标分割、目标行为识别等。近年来，得益于深度学习（DL,deep learning）技术的蓬勃发展，目标跟踪算法取得了重大突破，特别是孪生网络这一类目标跟踪算法在精度和速度上均取得了优异表现，并在OTB 视频跟踪数据集上达到了91%的精确度，速度也达到了实时。然而，从安全的角度考虑，深度学习跟踪器存在严重的安全隐患，极易受到对抗样本的干扰。

对抗攻击是通过对原始图像添加人眼不可见的微小扰动，以欺骗深度网络模型，导致分类预测错误。近年来，对抗攻击已经由图像分类延伸到目标跟踪、语义分割等领域，成功地破坏了深度学习任务的有效性。此外，深度学习算法无法有效地处理对抗样本。伪造的样本会使深度学习模型输出意想不到的结果。因此，研究基于深度学习的目标跟踪对抗攻击方法对确保算法的安全性和稳健性是至关重要的，可为设计更加稳健的算法提供思路。

基于以上动机，本文以孪生网络跟踪器SiamRPN++为主要攻击对象，研究了视觉目标跟踪的对抗攻击方法，主要贡献包括以下3 个方面。……