[论文解读] Harmonic Adversarial Attack Method

Wen Heng, Shuchang Zhou+1 more|arXiv (Cornell University)|Jul 18, 2018

Adversarial Robustness in Machine Learning参考文献 27被引用 4

一句话总结

本文提出了一种新型对抗性攻击方法——谐波对抗攻击方法（HAAM），该方法利用调和函数生成无边缘的扰动，在保持高迁移性的同时提升视觉质量。通过强制扰动的拉普拉斯算子为零，HAAM生成的对抗样本具有自然的视觉外观，模拟了光照和阴影等真实世界现象，相比基线方法在视觉质量与迁移性方面表现更优。

ABSTRACT

Adversarial attacks find perturbations that can fool models into misclassifying images. Previous works had successes in generating noisy/edge-rich adversarial perturbations, at the cost of degradation of image quality. Such perturbations, even when they are small in scale, are usually easily spottable by human vision. In contrast, we propose Harmonic Adversar- ial Attack Methods (HAAM), that generates edge-free perturbations by using harmonic functions. The property of edge-free guarantees that the generated adversarial images can still preserve visual quality, even when perturbations are of large magnitudes. Experiments also show that adversaries generated by HAAM often have higher rates of success when transferring between models. In addition, we find harmonic perturbations can simulate natural phenomena like natural lighting and shadows. It would then be possible to help find corner cases for given models, as a first step to improving them.

研究动机与目标

• 解决对抗性攻击中视觉质量与迁移性之间的权衡问题。
• 开发一种生成方法，使对抗样本与自然图像难以区分，避免产生富含边缘和噪声的扰动。
• 通过模拟自然光照与阴影，发现真实世界场景中的边界情况。
• 通过利用调和函数生成真实感对抗样本，提升模型鲁棒性评估的可靠性。

提出的方法

• HAAM通过求解拉普拉斯方程（∇²φ = 0）生成扰动，确保扰动无边缘、平滑。
• 调和函数由解析复函数构造，支持参数的端到端学习。
• 该方法采用可微分优化框架，生成的扰动在最大化误分类的同时保持低空间频率。
• 采用拉普拉斯图与边缘-SSIM指标衡量边缘保留程度与视觉质量。
• 提出两种变体：HAAM-g（灰度）与HAAM-c（彩色），以探索不同视觉真实感。
• 该方法可模拟光照梯度与阴影等自然现象，有助于对模型进行压力测试。

实验结果

研究问题

• RQ1 能否在不引入可检测边缘的情况下生成对抗扰动，从而提升视觉真实感？
• RQ2 生成无边缘扰动是否能增强对抗样本在未知模型间的迁移性？
• RQ3 调和函数能否在对抗样本中模拟真实世界的视觉现象，如自然光照与阴影？
• RQ4 在受控的人工评估下，HAAM生成的对抗样本的视觉质量与现有方法相比如何？
• RQ5 HAAM生成的样本能否揭示深度神经网络行为中此前未被发现的边界情况？

主要发现

• 在主观视觉质量对比中，HAAM-g在与FGSM的对比中取得了96%的胜率，表明其感知质量更优。
• 在与FGSM的主观对比中，HAAM-c在97%的比较中表现更优；在与BIM的对比中，胜率达到98%。
• 在Edge-SSIM指标上，HAAM在所有目标模型和Edge-SSIM分数区间内均持续优于其他所有方法。
• 超过99%的HAAM生成的对抗样本在Edge-SSIM分数区间[0.8, 1.0)内，表明其具有优异的边缘保留与视觉自然性。
• 在高视觉质量子集（SSIM > 0.933）中，HAAM的迁移性优于FGSM与BIM，尤其在Edge-SSIM约束条件下表现更优。
• 使用较大ε值生成的对抗样本在平坦背景（如天空、海面）中显示出不自然的图案，表明在该类场景下存在局限性。