对抗攻击样本范数：L0，L2，L∞

  作者 | THOMAS TANAY、LEWIS D GRIFFIN 译者 | 张建军 编辑 | 姗姗 出品 | 人工智能头条（公众号ID：AI_Thinker）   【导读】许多研究已经证明深度神经网络容易受到对抗性样本现象（adversarial example phenomenon）的影响：到目前为止测试的所有模型都可以通过图像的微小扰动使其分类显著改变。为了解决这个问题研...

攻击成功率只能从一定程度表明对抗样本的质量，工程和科研中还需要使用更多的指标来量化对抗样本的质量，其中最常用的是扰动的l0和l2范数 l0范数 l0范数是指向量中非0的元素的个数，因此扰动的lo范数指的是扰动的非0的元素的个数。以图像数据为例，针对图像数据的扰动的l0范数指的就是修改的像素数据个数。 扰动量可以表示为： #计算改变量 deta=img[0]-img_adv[0] 扰动的l0范数大小为： #计算绝对量 _l0=len(np.where(np.abs(deta)>0.0)[0]) l2

对抗样本中L0、L2、Linf范数的理解与实现

之前自己搭建了博客去写，感觉有点麻烦，于是转战CDSN。主要看中了，它可以在手机APP上写文章以及修改文章，不受时间地点限制。这一点，能够帮助我及时更新内容。 从年初开始，对深度学习的对抗样本内容进行了学习。因为疫情不能返校，从二月到五月初返校，在该领域的学习也足足有三个月。有时觉得这三个月好像学得不够多，还不够深入，但也还是了解了很多东西。接下去将对学到的这些内容进行更新，也算是对过去三个月的一个总结，也鼓励自己要更加努力。

目录联邦学习本身 联邦学习本身 这给人工智能应用给机器学习带来的挑战是：如果机构之间的数据无法互通，一家企业一家机构数据量有限，或者是少数巨头公司垄断大量数据，而小公司很难获得数据，形成大大小小的“数据孤岛”。在这种没有权限获得足够多的用户数据的情况下，各个公司尤其是小公司，如何建模？ 在这种情况下，“联邦学习”的概念应运而生。所谓 “联邦学习”，首先是一个“联邦”。不同于企业之前的“各自为政”...

x′lossF,t​(x′)为交叉熵。上面给出的fxf(x)f(x)，maxi≠tFx′imaxi=t​(F(x′)i​)表示除了目标类别ttt外，模型当前输入认为最有可能属于类别iii，输入类别iii的概率依旧小于类别ttt的概率，认为此时攻击成功。换言之，就是当识别为类别ttt的概率最大时，认为攻击成功。所以可以对公式进行重新改写。

论文原文：One pixel attack for fooling deep neural networks 论文链接：https://arxiv.org/abs/1710.08864 代码：https://github.com/Hyperparticle/one-pixel-attack-keras Adversarial Attack 对抗攻击不过多阐述，如上图所示，在原图像x0上加上一些perturbations得到x`，可以误导识别网络的识别结果。 AdvGAN 论文链接：https://.

这次阅读的俩篇文章是基于L∞约束的《Parsimonious Black-Box Adversarial Attacks via Efficient Combinatorial Optimization》和《Yet Another but More Efficient Black-Box Adversarial Attack: Tiling and Evolution Strategies》,放在一...

向量范数 L0L_0L0​范数 ∥x∥0\parallel x \parallel _0∥x∥0​ 向量x中非零元素的个数，L0L_0L0​范数用于表达向量的稀疏性 由于L0L_0L0​优化问题属于NP难问题，因此在实际的使用中通常用L1L_1L1​范数代替 L1L_1L1​范数 ∥x∥1=∑i=1n∣xi∣\parallel x \parallel _1 = \sum_{i=1}^{n...

通过快速梯度符号法(FGSM)、投影梯度下降法(PGD)和其他攻击算法，深度神经网络暴露在对抗攻击的风险下。对抗性训练是用来防御对抗性攻击威胁的方法之一。它是一种训练模式，利用替代目标函数为对抗数据和干净数据提供模型泛化。在这篇系统综述中，我们特别关注对抗性训练作为提高机器学习模型的防御能力和鲁棒性的方法。具体来说，我们专注于通过对抗样本生成方法来获取对抗样本的可访问性。本系统综述的目的是调查最先进的对抗训练和稳健的优化方法，以确定该应用领域的研究差距。本综述的结果表明，对抗性训练方法和鲁棒优化存在局限性。

对抗攻击

Python微信订餐小程序课程视频 https://edu.csdn.net/course/detail/36074 Python实战量化交易理财系统 https://edu.csdn.net/course/detail/35475 背景 神经网络在过去的几年和几十年已经获得了长足的进步，神经网络的应用已经遍布我们生活的各个角落。但是与此同时，也有人发现神经网络并不像我们预期的那么具有鲁棒性，仅仅在图片中添加一个微笑的扰动就可以改变神经网络最后的预测结果，这些技术被称为对抗攻击。对抗攻击是指在干净的图片中添

对抗样本攻击：在深度学习神经网络（DNN）输入较小的干扰因素会使DNN出现误判，这种攻击被称为是对抗样本攻击 对抗样本：是指在正常样本中有目的性地添加的一些干扰因素，使得DNN出现误判 举例说明对抗样本分析带来的影响： 1、通过更改路标信息，使得车辆的DNN系统将左转识别为右转 2、在激烈的商业竞争环境下，对抗样本攻击导致恶性竞争 对抗样本分析分类： 1、白盒：白盒情景下攻击者对模型完全掌握,包...

一、训练阶段攻击（后门攻击）二、部署阶段攻击三、推理阶段攻击（对抗攻击）（1）白盒攻击基于优化实现L~∞~范数L~2~范数基于梯度实现基于GAN实现物理攻击通用对抗攻击非加性攻击几何转换（2）黑盒攻击（3）迁移攻击研究深度：对抗攻击>部署阶段攻>后门攻击。

正常training是要使得f（x）的值与真实值y—true越接近越好 Non-targeted Attack是要使得f（x）的值与y—true越远越好 Targeted Attack目标是要让f（x）与某一错误分类y—false越近越好 在添加攻击噪声的同时要使得图像与原图越接近越好（肉眼不被发现） 定义两张图片之间的差异使用l0范数，l2范数和l∞范数 来表示图像扰动的大小 L0范数：表示非0元素的个数，对抗样本中表示扰动的非0元素的个数 L2范数：表示各元素的平方和再开方，对抗样本中表示扰动..