论文阅读-可迁移对抗样本攻击

版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。

本文链接： https://blog.csdn.net/oukohou/article/details/100098748

---

我的博客已全部迁往个人博客站点：oukohou.wang，敬请前往～～

---

• paper:Transferable Adversarial Attacks for Image and Video Object Detection

Hello 大家好，本次带来的是针对目标检测的可迁移对抗样本攻击。

听起来好高大上的样子，其实就是对抗样本攻击，不过这次用在了目标检测上，然后加了个小trick， 使得攻击方法可以在两种目标检测方法上都奏效，所以就说是可迁移的。

具体如何呢？我们一一道来～～

1. 前情提要

众所周知，当前的目标检测模型有两类：proposal based models and regression based mod-els。其实就是一个是基于锚框，一个是直接回归。
然后作者分析了一波目前已存的针对目标检测的对抗样本攻击方法，大部分都是针对proposal-based models的：

于是乎作者眼睛一转，计上心来:
　　不管你哪种方法，你总要有 feature map 的吧？那我把 feature map 也给攻击了，岂不就是一个大一统的攻击方法了？
好的，上面这句话就是全文的 文眼 了，下面我们看作者究竟使些什么手段。

2. UEA（Unified and Efficient Adversary）

怎么样，光看这个 UEA 的名字是不是也觉得很像大一统的意思？野心很大啊～～
模型框架结构如下：

具体来说，就是用 条件GAN（conditional GAN）来生成对抗样本，不过在其上多加了几个损失函数来监督生成器的生成效果。
第一个当然就是 $L_{cGAN}$：

$L_{cGAN}(G,D) = E_I[logD(I)]+E_I[log(1-D(G(I)))]$

然后加了个 $L_2$ loss：

$L_{L_2}(G) = E_I[||I-G(I)||_2]$

当然，只有这两个的话，就只是个单纯的复制网络了，肯定不行，还加了个 Adversarial examples for semantic segmentation and object detection
里用的 misclassify loss：

$L_{DAG}(G) = E_I[\sum_{n=1}^N[f_{l_n}(X,t_n) - f_{\hat{l}_n}(X,t_n)]$

式中， $X$ 就是 feature map， $\tau = {t_1, t_2, ..., t_N}$ 是 $X$ 上的 proposal regions，阈值为 0.7， $l_n$ 是 $t_n$ 的
ground-truth label， $\hat{l}_n$ 是从其他错误 labels 里随机取样的错误 label， $f_{l_n}(X,t_n)\in\mathbb{R}^{C}$
则指 $t_n$ 的 classification score vector (before softmax normalization)。
说到这里，如果你还没被绕晕的话，就会发现这个 misclassify loss 仅仅是针对 proposal based models 的，那前面说的针对 feature map 的攻击怎么实现的呢？
这就是下面这个 multi-scale attention feature loss 了：

$L_{Fea}(G) = E_[\sum_{m=1}^M||A_m*(X_m-R_m)||_2]$

式中， $X_m$ 是 m 层的 feature map， $R_m$ 是随机定义的一个 feature map, $A_m$ 是所谓的 attention weight。
于是乎，这最后一个 multi-scale attention feature loss 就实现了作者所说的 Unified and Efficient Adversary 了。

于是乎，最终的损失函数为：

$L= L_{cGAN} + \alpha L_{L_2} + \beta L_{DAG} + \epsilon L_{Fea}$

不消说， $\alpha, \beta, \epsilon$是权重系数， $\alpha =0.05$, $\beta =1$, $\epsilon = \left \{ 1*10^{-4}, 2*10^{-4} \right \}$.

3. 大功告成

最后就是些对比图了，可想而知，作者用的生成模型，那么对抗样本的生成时间自然大大缩短；
同时又把 feature map 给改了，自然对两种检测模型都能奏效。
放两张图：

好啦，想看更多的图，敬请前往原 paper 观看～～

微信公众号：璇珠杂俎(也可搜索 oukohou)，提供本站优质非技术博文～～

regards.

oukohou.