“Just a Patch”：用于对抗性推理的难以察觉的图像块生成技术

《IEEE Access》：“Just a Patch”: Imperceptible Image Patch Generation for Adversarial Inference

　　

摘要：

基于深度神经网络的图像分类模型容易受到对抗性输入攻击的影响，这种攻击通过恶意构造的输入导致模型产生错误的预测结果。在自动驾驶车辆中的交通标志识别等实际应用中，迫切需要研究这类攻击的可行性和影响。在这项工作中，我们描述了一种称为SPARK（Sensitivity-guided Patch-based Adversarial Attack，基于敏感性的补丁对抗攻击）的攻击方法，该方法通过在输入图像中嵌入一个微小且难以察觉的补丁来操纵分类模型的预测结果。我们的攻击针对白盒模型，并利用敏感性分析来生成所需的补丁，使模型预测攻击者选择的目标类别。该方法从目标类别的图像中提取必要的特征，并利用这些特征生成补丁。生成的对抗性补丁对人类观察者来说是不可察觉的，但能有效迫使模型将输入错误分类为预定的目标标签。与现有的攻击方法不同，现有方法要么需要对模型进行重新训练以适应恶意图像，要么需要直接修改模型参数，而我们的方法仅关注输入样本的操纵。这一方面突显了识别现有分类模型中的此类漏洞并设计鲁棒防御机制的重要性。我们在四种不同的公共数据集上评估了我们的攻击效果：MNIST、CIFAR-10、CIFAR-100和GTSRB，这些数据集使用卷积神经网络（CNN）和VGG-19等深度神经网络（DNN）模型进行分类。我们的攻击在恶意图像上的目标分类准确率达到了50-56%，同时在干净图像上的分类准确率仍保持在93-97%。