43、机器学习模型的弹性与可解释性：应对对抗样本挑战

机器学习模型的弹性与可解释性：应对对抗样本挑战

1. 对抗样本生成与防御概述

在机器学习领域，对抗样本的生成与防御一直是备受关注的研究方向。目前，文献中已经提出了多种生成对抗样本以及防御对抗攻击的方法。

1.1 对抗样本生成方法

• 白盒与黑盒攻击 ：涵盖了对神经网络的白盒和黑盒攻击，目标包括前馈分类网络、生成网络和循环神经网络等。这些方法利用基于梯度的优化来为正常样本寻找导致误预测的扰动。不同方法在定义允许扰动的邻域和用于引导搜索的损失函数方面存在差异。
• 具体攻击方法
  • 快速符号梯度法（FGSM） ：寻找在输入样本 $x$ 的 “小” $L_{\infty}$ 邻域内的相似图像 $x’$。给定损失函数 $Loss(x, l)$，对抗样本 $x’$ 计算如下：
    [x’ = x + \epsilon \cdot sign(\nabla_x Loss(x, l_x))]
  • 迭代梯度符号法（IGSM） ：是对 FGSM 的改进，采用更精细的迭代优化策略。在第 $i$ 次迭代中计算：
    [x’ {i + 1} = clip {\epsilon, x}(x’_i + \alpha \cdot sign(\nabla_x Loss(x, l_x)))]
  • DeepFool ：通过找到最近的决策边界并跨越它，从正常图像 $x$ 中找到扰动图像 $x’