15、自动驾驶车辆系统的对抗攻击与防御

自动驾驶车辆系统的对抗攻击与防御

1 对抗训练策略

对抗训练是一种流行的防御对抗攻击的方法，在白盒环境中表现出一定的有效性。以下介绍几种不同的对抗训练策略：
- 课程对抗训练（CAT） ：初始训练使用低迭代次数生成的对抗图像，随着训练的进行逐渐增加迭代次数，更高的迭代次数可创建更强的对抗样本。
- 友好对抗训练（FAT） ：一旦实现错误分类就停止迭代，以此创建较弱的攻击。这种策略比PGD - AT方法更快，因为生成对抗样本所需时间更少。
- 集成对抗训练（EAT） ：从一组模型而不是正在训练的模型生成对抗样本，已被证明是有效的。

此外，为了提高训练时间，还提出了Free - AT技术。在PGD - AT方法中，训练阶段后会有一个攻击阶段来获取对抗数据。而Free - AT将这两个阶段合并，在训练阶段重用梯度，既用于更新模型参数，又用于获取对抗数据，在保持与PGD - AT相同的对抗和自然准确性的同时，显著加快了训练速度。

然而，对抗训练也存在一些缺点，不适合用于安全关键系统：
- 缺乏安全保证 ：自动驾驶车辆系统需要可证明的安全性和预期行为，而对抗训练无法提供这些保证。
- 泛化差距大 ：对抗训练样本的准确率高，但对抗测试样本的准确率低，这限制了在对抗测试样本上可达到的准确率。
- 对新攻击的弹性不足 ：对抗训练的模型对训练期间使用的攻击类型更具鲁棒性，但对新攻击的抵抗力可能不足，不过在训练期间使