FFGSM：一种基于模糊逻辑的新型FGSM攻击方法，用于深度神经网络漏洞评估

《IEEE Transactions on Fuzzy Systems》：FFGSM: A Novel Fuzzy Logic-Based FGSM Attack for Deep Neural Networks Vulnerability Assessment

对抗样本仍是深度神经网络可靠部署的主要障碍，传统FGSM方法采用固定扰动预算。本文提出FFGSM，通过结合FGSM符号方向与轻量级Mamdani模糊推理系统，动态分配?∞扰动预算。该系统根据输入梯度范数（捕捉局部敏感度）和模型置信度（捕捉预测确定性）两个可解释指标，生成样本特定的扰动幅度[0,?_max]。实验表明，FFGSM在CIFAR-10/ResNet18、STL-10/ResNet50、Tiny-ImageNet/DenseNet-121等数据集和模型上，攻击成功率分别达到85.53%、66.8%、81.7%，接近多步攻击AutoAttack的80.2%-81.7%水平，且模糊控制器仅增加约5.4%-7.7%的运行开销。

　　

摘要：

对抗样本仍然是深度神经网络可靠部署的主要障碍，然而广泛使用的一步攻击方法（如FGSM）依赖于固定的扰动预算，这种预算忽略了漏洞在不同输入和架构范式下的变化。在本文中，我们提出了FFGSM（Fuzzy-FGSM），这是一种一步式的、可解释的对抗攻击方法，它能够根据每个样本的自适应地分配扰动预算。FFGSM将FGSM的符号方向与一个轻量级的Mamdani模糊推理系统相结合，该系统将两个易于人类理解的指标——输入梯度范数（GN，用于捕捉局部敏感性）和模型置信度（CN，用于捕捉预测的确定性）——映射到一个有界的、特定于样本的扰动幅度? ∈ [0, ?_max] 中。我们在三个数据集（CIFAR-10、STL-10和Tiny-ImageNet）和四种架构（ResNet-18、ResNet-50、VGG-16和DenseNet-121）上评估了FFGSM的性能，其中?_max = 8/255。我们的结果表明，FFGSM始终优于基于迁移和黑盒的基线方法，在DenseNet-121/Tiny-ImageNet上实现了高达85.53%的攻击成功率（ASR）；而在CIFAR-10/ResNet18上的ASR接近于强大的多步AutoAttack集成方法的80.2%；在STL-10/ResNet50上的ASR为64.5%。值得注意的是，尽管FFGSM是一种一步式方法，但其性能与强大的多步Auto-Attack集成方法仍然非常接近，通常仅落后1–4%的差距。此外，跨模型迁移性分析表明，FFGSM有效地利用了“迁移性差距”，即基于残差的模型生成的对抗方向比VGG-16等顺序模型更具通用性。运行时测量证实，模糊控制器仅增加了微不足道的开销（约5.4%–7.7%），同时保持了一步式生成的简单性和实时效率。