《Pattern Recognition Letters》：Sensitive area-guided adversarial attack via Transformer-based generative network
编辑推荐：
•提出了一种针对图像识别深度神经网络（DNNs）的新型对抗性攻击方法。•基于Transformer的生成器结合Multi-Dconv Self-Attention技术，提升了攻击能力。•引入了一种基于注意力引导的敏感区域扰动策略。•特征损失和结构相似性损失提高了生成样本的视觉真实
- •
提出了一种针对图像识别深度神经网络（DNNs）的新型对抗性攻击方法。
- •
基于Transformer的生成器结合Multi-Dconv Self-Attention技术，提升了攻击能力。
- •
引入了一种基于注意力引导的敏感区域扰动策略。
- •
特征损失和结构相似性损失提高了生成样本的视觉真实性。
- •
该方法对许多图像识别模型都能实现高攻击成功率。
引言
随着深度神经网络（DNNs）、大数据和计算能力的快速发展，图像识别模型越来越依赖于DNNs [1]。然而，这些模型可能会产生错误的预测，并且容易受到恶意攻击，从而带来严重的安全风险 [2]。由于DNNs的黑色箱特性和复杂性，即使输入的扰动非常微小，也可能导致错误的输出 [3]。尽管如此，对抗性示例对于揭示模型缺陷和提高模型的鲁棒性仍然具有价值，这对于安全关键应用至关重要 [4]。
自从Szegedy等人 [5] 首次公开对抗性示例以来，关于对抗性攻击的研究主要集中在揭示图像识别模型的漏洞和安全风险上 [6]。现有的对抗性示例生成方法可分为三类：基于梯度的、基于优化的和基于生成的 [7]。第一类方法通过计算损失梯度来构造扰动；第二类将扰动生成问题视为一个优化问题 [8]；第三类通过定制的损失来训练神经网络以生成对抗性输出 [9]。由于生成对抗网络（GANs）能够有效地逼近数据分布 [10]，因此本工作采用了基于GAN的技术来生成对抗性示例。
Goodfellow等人 [11] 证明了GANs可以生成高质量和逼真的图像。Isola等人 [12] 通过图像到图像的条件GANs进一步提高了合成质量。Xiao等人 [13] 提出了AdvGAN，以生成视觉上无法区分的对抗性示例，而Jandial等人 [14] 通过AdvGAN++引入高斯噪声来增加多样性。Zhou等人 [15] 开发了一个多分支标签控制的生成器，提高了模型的迁移能力，但需要多个生成器并且分类信息有限。Bai等人 [16] 提出了AI-GAN，可以利用目标背景知识进行精确攻击，尽管其对辅助数据集的依赖性降低了效率。Zhu等人 [17] 将空间和频率特征整合到带有编码器-解码器跳跃连接的GAN中以保留细节，但对于对通道域特征敏感的模型效果不佳。
在图像识别中，在对抗性攻击下检测模型缺陷至关重要 [18]。现有的对抗性生成方法往往会产生视觉上可检测的示例，这限制了攻击的隐蔽性和鲁棒性。为了解决这个问题，我们提出了SA-GAN，这是一种利用Transformer [19] 和GAN [20] 架构的基于敏感区域的GAN攻击方法。该生成器采用了改进的多头自注意力（Multi-Head Self-Attention）和Multi-Dconv动态自注意力（MDSA）模块，通过跨通道协方差和动态卷积来提高注意力图的准确性 [21]，从而识别敏感区域并生成有效的对抗性示例。
总结来说，本文的具体贡献如下：
•我们提出了一种基于敏感区域的GAN框架，用于生成对抗性示例。
•我们设计了一种Multi-Dconv动态自注意力模块，该模块将注意力从空间维度转移到通道维度，并通过动态卷积自适应地增强局部细节。
•我们引入了一种基于注意力的扰动策略，该策略针对敏感区域进行攻击，同时通过特征和结构相似性损失保持结构完整性。
•广泛的实验表明，SA-GAN在白盒和黑盒环境中的一致性能优于基线方法。
章节摘要
背景与相关工作
对抗性样本生成方法通常可以分为三类：（1）基于梯度的方法；（2）基于优化的方法；（3）基于生成的方法。根据攻击者可获得的模型信息，攻击可以分为白盒攻击和黑盒攻击。此外，根据攻击者选择的目标，攻击还可以分为有针对性的攻击、无针对性的攻击和通用攻击 [22]。
随着...
整体方法框架
本文提出了一种针对图像识别DNN模型的对抗性攻击方法SA-GAN，该方法基于Transformer和GANs。SA-GAN通过使用基于敏感区域的GAN框架实现无目标攻击。SA-GAN的工作流程如图1所示。
图1展示了SA-GAN的整体架构，它采用图像到图像的网络结构来学习原始图像与扰动图像之间的映射，确保生成的扰动图像无法与原始图像区分开来
实验设置
实验在GTSRB和Tiny-ImageNet数据集上进行，针对预训练的InceptionV3、VGG16和ResNet50目标模型。ViT-B/16 [31] 也被用作基于Transformer的目标分类器，其分类头经过调整以适应相应的数据集，并使用相同的数据分割进行训练。鉴别器被设计为一个四层CNN：第1层使用Conv(64, 16, 16)后接LeakyReLU；第2层和第3层分别使用Conv(128, 8, 8)和Conv(256, 4, 4)
结论
我们提出了SA-GAN，这是一种针对图像识别DNNs的高效对抗性攻击方法，该方法利用敏感区域建模来生成隐蔽且有效的对抗性示例。Multi-Dconv动态自注意力模块与动态卷积相结合，平衡了全局上下文建模和局部特征提取，而基于敏感区域的扰动策略能够准确识别高级输入表示，从而确定有效的扰动。在GTSRB和Tiny-ImageNet上的实验表明...
CRediT作者贡献声明
Yunlong Bie：负责撰写——原始草案、软件、方法论、调查、概念化。Jiaze Sun：负责撰写——审阅和编辑、方法论、调查、概念化。
致谢
本工作得到了中国国家自然科学基金（项目编号62272387）和陕西省重点科技项目（项目编号25JS118）的支持。
Yunlong Bie|Jiaze Sun
