《Cyber Security and Applications》：GAN-based single-stage defense for traffic sign classification under adversarial patch
编辑推荐：
基于生成对抗网络（GAN）的交通标志分类对抗性补丁攻击单阶段防御
• 研究人员提出一种基于生成对抗网络（GAN）的单阶段防御策略，用于自动驾驶车辆（AVs）中交通标志分类面对对抗性补丁攻击（APA）时的防护。
• 研究人员构建一种损失函数，将多种损失进
基于生成对抗网络（GAN）的交通标志分类对抗性补丁攻击单阶段防御
• 研究人员提出一种基于生成对抗网络（GAN）的单阶段防御策略，用于自动驾驶车辆（AVs）中交通标志分类面对对抗性补丁攻击（APA）时的防护。
• 研究人员构建一种损失函数，将多种损失进行加权组合，包括对抗损失（adversarial loss）、重建损失（reconstruction loss）、感知损失（perceptual loss）和分类损失（classification loss），以训练生成对抗网络（GAN）进行无补丁图像重建，同时保持结构完整性和语义特征。
• 研究人员开发一种防御策略，能够跨多类交通标志重建不含对抗性补丁的图像。
作者Abyad Enan和Mashrur Chowdhury针对对抗性补丁攻击（APA，指在目标物体上放置精心设计的小补丁以诱导分类器误判的攻击）下交通标志分类安全问题开展研究，论文发表于《Cyber Security and Applications》。随着人工智能发展，计算机视觉成为智能交通系统（ITS，指利用信息与通信技术提升交通系统安全与效率的系统）的关键组成，并支撑联网与自动驾驶车辆（CAV，指具备车联网与自动驾驶能力的车辆）及自动驾驶车辆（AVs，指依靠感知与决策系统自主行驶的车辆）技术。AVs的感知模块主要依赖机器学习（ML，指从数据中学习模式的算法）和深度学习（DL，指多层神经网络学习方法）识别交通标志、道路标线、交通灯和其他道路使用者。然而，对抗机器学习可通过分析模型行为并操纵输入数据改变模型预测，使依赖ML/DL的感知模块易受网络攻击。APA通常使用只占目标物体很小区域、视觉上不显眼的物理补丁，但可使交通标志分类器高成功率误分类；例如将“pedestrian crossing”标志误判为“speed limit-45”标志，若将“stop sign”误判为“speed limit-45”标志，可能造成致命事件。现有APA防御通常采用多阶段流程，即先检测或定位补丁，再消除或掩码补丁，计算开销大，难以满足自动驾驶实时性；掩码方法还可能隐藏未被补丁覆盖但包含重要特征的非补丁区域，或检测失败时降低视觉分类器准确率。已有显著性图方法存在较高假阳性且实时计算昂贵；限制感受野方法可能降低干净数据准确率且与特定卷积神经网络架构相关；扩散模型方法计算昂贵；补丁无关防御（PAD，指无需先验补丁知识、通过定位与掩码去除补丁的防御方法）涉及多步骤并引入延迟；对抗训练或预定义补丁方法泛化不足；AR-GAN针对全局扰动且类别较少；LD-GAN并非专门针对APA。为弥补这些问题，研究人员提出基于生成对抗网络（GAN，指由生成器与判别器对抗训练生成逼真数据的模型）的单阶段防御策略，直接由生成器前向重建无补丁图像，无需单独补丁检测或定位，且单一生成器可跨多类交通标志重建，分类器引导的多损失训练可兼顾结构完整性与类别判别特征，从而提升实时性与鲁棒性。
关键技术方法（不超过250字）：样本来源为LISA交通标志数据集的自定义子集，含Ped-Xing、School Zone、Signal Ahead、Speed Limit-45和Stop Sign五类，每类125张32×32×3图像，按每类75/25/25划分训练、验证和测试；另用MNIST基准70,000张评估泛化。研究人员采用基于梯度的白盒补丁生成，以Adam优化交叉熵生成3×3、4×4、5×5补丁并随机放置；以ResNet-50为交通标志分类器，Inception-V3检验转移性；构建条件GAN，生成器为注意力增强编码器-解码器，判别器为二分类网络，用随机补丁图像训练，并以对抗、重建、感知和分类损失的加权组合优化；按结构相似性指数（SSIM，衡量重建图像与干净图像结构相似度的指标）>0.5且验证准确率最高选择生成器；与对抗训练和PAD比较，并在NVIDIA A100上测时。
研究结果如下。6.1 基线性能（Baseline performance of the traffic sign classifier）：ResNet-50在五类真实交通标志数据集无攻击时总体基线准确率为97.76%。6.2 对抗性补丁攻击下的性能（Performance of the traffic sign classifier under APAs）：研究人员生成3×3、4×4、5×5补丁并随机放置于测试图像，各类准确率显著下降，Ped-Xing近0%，Stop Sign低于20%，表明APA有效。6.3 APA转移性检验（APA transferability check）：研究人员用ResNet-50生成补丁攻击Inception-V3，在无目标模型先验知识下准确率下降，说明补丁具有转移性；类间模式不同与两种模型架构、感受野和决策边界不同有关。6.4 基于GAN单阶段防御评估（Evaluation of GAN-based single-stage defense strategy）：将对抗补丁测试图像输入生成器重建后由ResNet-50分类，Ped-Xing从1.87%升至92%，Stop Sign从12.27%升至91.11%，Signal Ahead从54.13%升至94.22%，Speed Limit-45从56.8%升至95.56%，School Zone从64.53%升至94.22%；总体准确率达到93.33%，较无防御攻击条件提高55.41%；对未见补丁设计和尺寸有效；与对抗训练和PAD相比，精确率（precision）、召回率（recall）、F1-score（F1分数）和准确率更高且标准差更低；PAD在32×32低分辨率下定位困难并可能过掩码，本方法能恢复补丁区域内容。6.5 计算时间（Computation time）：在NVIDIA A100上，重建平均0.9 ms，无防御分类4.61 ms，有防御分类5.04 ms，最大6.54 ms；PAD平均防御1453.32 ms，总延迟1458.04 ms；本方法总延迟5.04 ms，低于100 ms实时阈值，NVIDIA DRIVE AGX Thor算力支持其部署可行性。7 基准数据集评估（Evaluation on benchmark dataset）：MNIST 70,000张，ResNet-50基线99.04%；APA后平均12.24%；GAN重建后3×3、4×4、5×5下准确率分别从12.01%升至96.85%、从12.61%升至94.11%、从12.00%升至87.58%，说明泛化性、鲁棒性和可重复性。
讨论与结论部分：研究人员分析PAD在本研究中性能受限主要由于图像分辨率、补丁尺度和任务目标差异；32×32图像中补丁仅3×3、4×4、5×5像素，类别判别信息高度紧凑，PAD依赖语义独立性和空间异质性难以可靠分离补丁，可能过掩码重要标志特征；本方法不依赖显式补丁定位，生成器单阶段重建，因此对补丁位置、尺寸和测试划分变化较不敏感，标准差较低。计算时间表明本方法满足实时性，MNIST实验支持跨数据集泛化。研究结论（Conclusions）翻译：本研究开发一种基于GAN的单阶段防御策略，以保护交通标志分类免受APA影响。该单阶段方法可一步有效中和APA影响，不同于依赖先检测后缓解且计算开销较高的现有方法。该策略提高交通标志检测在不同尺寸对抗补丁下的准确率；单个生成器可跨多类重建无补丁交通标志图像，使方法高效且可扩展。该策略无需先验知识即可去除交通标志图像中的对抗补丁。该策略可适应使用不同DL模型的交通标志分类器；在GAN训练中，分类损失和感知损失基于目标分类器的DL模型计算，使防御策略适用于其他分类模型。该方法为自动驾驶车辆和其他相关智能交通应用中的APA韧性实时交通标志分类系统提供路径。最后，研究人员使用MNIST基准进一步评估GAN防御；分析表明该策略提高APA条件下MNIST分类准确率，证明方法对真实世界应用具有鲁棒性和可重复性。
