对抗样本（四）BIM&ILLC

一、论文相关信息

  1.论文题目

     Adversarial examples in the physical world

  2.论文时间

    2016年

  3.论文文献

    https://arxiv.org/abs/1607.02533

二、论文背景及简介

    目前大多数的攻击对象都是threat model，攻击者可以直接将数据送到分类器中。但在现实世界，可不都是这种情况，比如在很多情况下，人们只能依靠一些设备例如照相机、传感器来传送数据（生成对抗样本后，再由照相机拍照或传感器感知）。这篇文章展示了，在这些现实世界的传感器面前，机器学习系统也是易受对抗样本攻击的。

三、论文内容总结

• 探讨了为在物理世界中运行的机器学习系统创建对抗样本的可能性
• 使用了迭代的方法来生成对抗样本，有BIM以及ILLC：

X 0 a d v = X ,      X N + 1 a d v = C l i p X , ϵ { X N a d v + α s i g n ( ∇ X J ( X N a d v , y t r u e ) } X_0^{adv} = X,\ \ \ \ X_{N+1}^{adv} = Clip_{X,\epsilon}\{X_{N}^{adv}+\alpha sign(\nabla_{X}J(X_{N}^{adv},y_{true})\} X0adv​=X,    XN+1adv​=ClipX,ϵ​{ XNadv​+αsign(∇X​J(XNadv​,ytrue​)}

X 0 a d v = X ,      X N + 1 a d v = C l i p X , ϵ { X N a d v − α s i g n ( ∇ X J ( X N a d v , y L L ) ) } X_0^{adv} = X,\ \ \ \ X_{N+1}^{adv} = Clip_{X,\epsilon}\{X_{N}^{adv}-\alpha sign(\nabla_{X}J(X_{N}^{adv},y_{LL}))\} X0adv​=X,    XN+1adv​=ClipX,ϵ​{ XNadv​−αsign(∇X​J(