李哲銘，王晉東，侯建中，李 偉，張世華，張恒巍

（1.信息工程大學(xué) 密碼工程學(xué)院，鄭州 450001；2.中國(guó)人民解放軍陸軍參謀部，北京 100000）

0 概述

在圖像分類任務(wù)中，基于卷積神經(jīng)網(wǎng)絡(luò)的圖像分類模型已經(jīng)達(dá)到甚至超過(guò)人眼的能力水平［1］。但目前研究表明，當(dāng)在原始圖像上添加特定擾動(dòng)后，卷積神經(jīng)網(wǎng)絡(luò)會(huì)以高概率分類出錯(cuò)［2-3］。更重要的是，這些擾動(dòng)對(duì)人眼和機(jī)器來(lái)說(shuō)都是不易察覺(jué)的［4］。對(duì)抗樣本的存在給深度神經(jīng)網(wǎng)絡(luò)安全帶來(lái)了巨大的挑戰(zhàn)，嚴(yán)重阻礙了模型的實(shí)際部署和應(yīng)用［5-6］。與此同時(shí)，對(duì)抗樣本作為一種技術(shù)檢測(cè)手段，也為測(cè)試和提升圖像分類模型的安全性和魯棒性提供了良好的工具［7］。

對(duì)抗樣本的攻擊性能主要體現(xiàn)在兩個(gè)方面：一是能夠欺騙模型，可以使性能良好的圖像分類模型分類出錯(cuò)；二是能夠欺騙人眼，即人眼無(wú)法有效區(qū)分對(duì)抗樣本和原始圖像。根據(jù)攻擊者對(duì)模型的了解程度，可以將對(duì)抗樣本攻擊分為白盒攻擊和黑盒攻擊。白盒攻擊需要攻擊者掌握模型的結(jié)構(gòu)和參數(shù)，但由于實(shí)際模型部署中通常設(shè)有防護(hù)機(jī)制，攻擊者往往難以獲得模型的內(nèi)部信息。因此，黑盒攻擊得到研究者的更多關(guān)注。文獻(xiàn)［8］提出了FGSM（Fast Gradient Sign Method）方法，該方法可以利用對(duì)抗樣本的遷移性進(jìn)行黑盒攻擊。文獻(xiàn)［9］將動(dòng)量項(xiàng)引入到對(duì)抗樣本的生成過(guò)程中，提出MI-FGSM（Momentum Iterative Fast Gradient Sign Method）方法，穩(wěn)定了反向傳播過(guò)程損失函數(shù)的更新方向，進(jìn)一步提高了對(duì)抗樣本的黑盒攻擊成功率。但由于以上方法是以全局?jǐn)_動(dòng)的方式在原始圖像上添加對(duì)抗噪聲，生成的對(duì)抗樣本與原圖存在較大的視覺(jué)差異，使得對(duì)抗樣本因過(guò)多的對(duì)抗紋理特征而易被人眼察覺(jué)。

為有效降低對(duì)抗擾動(dòng)的可察覺(jué)性，提高對(duì)抗樣本的視覺(jué)質(zhì)量，提升其攻擊性能，本文將對(duì)抗擾動(dòng)限制在一個(gè)特定的局部區(qū)域內(nèi)，并采用優(yōu)化算法迭代更新?lián)p失函數(shù)，從而降低對(duì)抗擾動(dòng)的可察覺(jué)性，并將攻擊成功率保持在較高水平，即主要通過(guò)深度神經(jīng)網(wǎng)絡(luò)的顯著目標(biāo)檢測(cè)技術(shù)生成可視化顯著圖，利用該圖生成二值化掩模，將該掩模與對(duì)抗擾動(dòng)相結(jié)合從而確定顯著攻擊區(qū)域，實(shí)現(xiàn)對(duì)抗擾動(dòng)的局部重點(diǎn)區(qū)域添加。此外，為進(jìn)一步提高黑盒攻擊成功率，本文通過(guò)引入Nadam 算法，優(yōu)化損失函數(shù)更新方向并動(dòng)態(tài)調(diào)整學(xué)習(xí)率，提高損失函數(shù)收斂速度，有效避免函數(shù)更新過(guò)程中的過(guò)擬合現(xiàn)象，以生成攻擊性能更好的對(duì)抗樣本。

1 相關(guān)工作

隨著對(duì)抗樣本研究的逐步深入，單純提升對(duì)抗樣本的攻擊成功率已經(jīng)不能滿足對(duì)抗攻擊測(cè)試的要求，還需要考慮由于對(duì)抗擾動(dòng)過(guò)大帶來(lái)的對(duì)抗攻擊隱蔽性降低的問(wèn)題。因此，本文研究圍繞對(duì)抗攻擊的隱蔽性，提升其攻擊性能，在保持對(duì)抗樣本的黑盒攻擊成功率較高的同時(shí)，縮小對(duì)抗擾動(dòng)添加區(qū)域，降低對(duì)抗樣本被發(fā)現(xiàn)的可能。

1.1 對(duì)抗樣本攻擊方法

由于本文研究是在FGSM 類方法基礎(chǔ)上提出來(lái)的，因此首先介紹該類的相關(guān)方法。文獻(xiàn)［8］提出的FGSM 方法是該類方法的原始版本，該方法沿?fù)p失函數(shù)的梯度方向單次添加對(duì)抗擾動(dòng)，單步生成的方式使得白盒攻擊成功率較低；針對(duì)攻擊過(guò)程中欠擬合問(wèn)題，文獻(xiàn)［10］對(duì)FGSM 進(jìn)行了改進(jìn)，提出了I-FGSM（Iterative Fast Gradient Sign Method）方法，該方法采用多步迭代的方式添加對(duì)抗擾動(dòng)，使得對(duì)抗樣本的白盒攻擊成功率得到提高，但黑盒攻擊成功率有所下降；文獻(xiàn)［9］通過(guò)引入動(dòng)量項(xiàng)穩(wěn)定了損失函數(shù)的前進(jìn)方法，提高了對(duì)抗樣本的遷移攻擊能力；文獻(xiàn)［11］提出了DIM（Diverse Input Method）方法，在每輪次迭代循環(huán)前，首先對(duì)圖像進(jìn)行隨機(jī)尺度變換和隨機(jī)填充，提高了輸入多樣性，有效緩解了過(guò)擬合；文獻(xiàn)［12］利用圖像平移不變性提出了TIM（Translation-Invariant Method）方法，使用卷積的方法實(shí)現(xiàn)了圖像的批量輸入及變換，從而提升了攻擊成功率；文獻(xiàn)［13］利用圖像保損變換，通過(guò)尺度不變性實(shí)現(xiàn)了模型的拓增，使得生成對(duì)抗樣本的黑盒攻擊能力更強(qiáng)。以上方法均在整張圖像上采用全局?jǐn)_動(dòng)的方法添加對(duì)抗噪聲，因此存在對(duì)抗樣本與原圖像視覺(jué)差別較大的問(wèn)題。

1.2 顯著區(qū)域生成方法

顯著區(qū)域構(gòu)建的方法一般可分為模型解釋的方法和顯著目標(biāo)檢測(cè)的方法［14］。模型解釋的方法可以將分類結(jié)果通過(guò)反向傳播算法逐層傳遞到輸入層，從而確定圖像顯著特征。文獻(xiàn)［15］通過(guò)非線性分類器的逐像素分解，提出了一種理解分類決策問(wèn)題的通用解決方案；文獻(xiàn)［16］通過(guò)SmoothGrad 方法銳化了基于梯度的敏感度圖，并討論了敏感度圖的可視化參數(shù)設(shè)置方案；文獻(xiàn)［17］提出的CAM（Class Activation Mapping）方法將卷積神經(jīng)網(wǎng)絡(luò)的全連接層替代為全局平均池化層，從而保留了圖像特征的位置信息，但該方法需要修改網(wǎng)絡(luò)，并重新訓(xùn)練。在顯著目標(biāo)檢測(cè)的方法中，文獻(xiàn)［18］通過(guò)子集優(yōu)化的方法選擇顯著性對(duì)象標(biāo)注框，該方法在多對(duì)象圖像中效果較好，但存在邊界模糊的問(wèn)題；為提升邊界精度，文獻(xiàn)［19］對(duì)編碼器和解碼器設(shè)置雙向反饋機(jī)制，并使模型從顯著性預(yù)測(cè)中提取到更多的邊界信息；文獻(xiàn)［20］利用弱監(jiān)督信息建立分類網(wǎng)絡(luò)和描述網(wǎng)絡(luò)，并利用轉(zhuǎn)移損失函數(shù)協(xié)同訓(xùn)練優(yōu)化模型。基于目標(biāo)檢測(cè)的顯著圖生成方法只需要輸入原始圖像，而不再需要攻擊模型的梯度信息，更符合黑盒攻擊的情況設(shè)定，因此，該方法選用了顯著目標(biāo)檢測(cè)的方法生成顯著圖。

2 基于顯著區(qū)域優(yōu)化的攻擊方法

本節(jié)首先介紹本文的研究思路，由于同一圖像不同部位的語(yǔ)義信息含量不同，因此可對(duì)重點(diǎn)區(qū)域添加對(duì)抗噪聲，非重點(diǎn)區(qū)域少添加或不添加對(duì)抗噪聲。然后描述將顯著圖與對(duì)抗樣本生成過(guò)程相結(jié)合的方法，實(shí)現(xiàn)對(duì)抗擾動(dòng)的局部添加。在迭代生成對(duì)抗樣本的過(guò)程中，通過(guò)引入性能更好的優(yōu)化算法提高對(duì)抗樣本生成過(guò)程中損失函數(shù)的收斂速度，從而提升對(duì)抗樣本的遷移攻擊能力。

2.1 問(wèn)題分析與研究思路

在以往的對(duì)抗樣本生成方法［9，11］中，通常是對(duì)原始圖像上每個(gè)像素點(diǎn)都進(jìn)行修改，最終使圖像分類決策過(guò)程中的損失函數(shù)值變大，導(dǎo)致分類出錯(cuò)。這些方法將圖像上所有的點(diǎn)看成了等同價(jià)值的像素，但在實(shí)際上，這種全局?jǐn)_動(dòng)的添加方式將一些非必要對(duì)抗噪聲添加到原始圖像上，使得對(duì)抗紋理特征更明顯，違背了攻擊不可察覺(jué)的要求，從而降低了對(duì)抗樣本的攻擊性能。同時(shí)，將相同大小的對(duì)抗擾動(dòng)添加到不同的位置，其視覺(jué)效果也不一樣，如果添加到色彩豐富與細(xì)節(jié)較多的圖像語(yǔ)義區(qū)域，對(duì)抗擾動(dòng)則不是很明顯，而添加到圖像的背景區(qū)域，如圖1 所示，如在藍(lán)天、草地等部位，對(duì)抗擾動(dòng)會(huì)比較引人注目，更易被察覺(jué)檢測(cè)，從而造成了攻擊失效。因此，本文方法通過(guò)在圖像顯著區(qū)域添加對(duì)抗噪聲，降低了擾動(dòng)的可察覺(jué)性，從而提高了對(duì)抗樣本的攻擊隱蔽性。

圖1 對(duì)抗樣本生成示例Fig.1 Example of adversarial sample generation

此外，由于顯著區(qū)域的引入會(huì)縮小對(duì)抗擾動(dòng)的添加范圍，在一定程度上對(duì)抗攻擊隱蔽性的提高會(huì)以黑盒攻擊成功率的降低為代價(jià)，因此本文分析了對(duì)抗樣本的攻擊特點(diǎn)，引入性能更好的Nadam 優(yōu)化算法，通過(guò)梯度累積及自適應(yīng)學(xué)習(xí)率的方法，優(yōu)化損失函數(shù)的收斂過(guò)程，使得最終生成的對(duì)抗樣本具有更好的隱蔽性和攻擊性。

2.2 顯著區(qū)域優(yōu)化攻擊方法

根據(jù)圖像中語(yǔ)義信息量的不同，可以將圖像分為主體部分和背景部分。主體部分對(duì)圖像分類結(jié)果有更大的影響，當(dāng)對(duì)該部分進(jìn)行遮擋時(shí)，圖像分類模型的精度會(huì)有明顯的下降。因此，本文考慮在語(yǔ)義主體的顯著區(qū)域內(nèi)添加對(duì)抗擾動(dòng)。

顯著目標(biāo)檢測(cè)技術(shù)可以識(shí)別出圖像中視覺(jué)最明顯的物體或區(qū)域，并且該區(qū)域幾乎與圖像中的分類標(biāo)簽對(duì)應(yīng)的信息相同。因此，可以運(yùn)用該技術(shù)提取出圖像中的主體部分，對(duì)該區(qū)域添加對(duì)抗擾動(dòng)。在本文研究中，使用了DCFA（Deformable Convolution and Feature Attention）網(wǎng)絡(luò)模型［21］生成圖像的顯著圖。該模型在圖像的低層細(xì)節(jié)和高層語(yǔ)義信息中提取不均勻的上下文特征，并在空間域和通道域中分配特征的自適應(yīng)權(quán)重，使得生成顯著圖的邊界更清晰準(zhǔn)確。該方法將原始圖像轉(zhuǎn)化成了像素值在0～255 之間的灰度圖，該灰度圖稱為顯著圖S。在該顯著圖中，其語(yǔ)義特征明顯的主體部分更接近白色，而主體之外的背景部分更接近黑色，圖像的顯著特征區(qū)域即為白色的區(qū)域。

通過(guò)顯著圖可以將原圖像中的顯著區(qū)域圈定，將原圖像分割成了添加對(duì)抗擾動(dòng)區(qū)域和不添加對(duì)抗擾動(dòng)區(qū)域，進(jìn)一步將顯著圖S轉(zhuǎn)換為二值化的顯著掩模M，可表示如下：

其中：si,j是顯著圖S的第（i，j）位置像素值；?為對(duì)應(yīng)的像素閾值；mi,j是二值化后顯著掩模M對(duì)應(yīng)的第（i，j）位置的值。該步驟只是對(duì)顯著圖的像素值進(jìn)行二值化，便于與對(duì)抗擾動(dòng)結(jié)合，從而進(jìn)行添加擾動(dòng)的取舍，圖像大小不發(fā)生改變。此時(shí)，生成的顯著掩模圖是一個(gè)由0 和1 組成的多維數(shù)組，對(duì)應(yīng)顯著圖特征區(qū)域是1，非特征區(qū)域?yàn)?。

將顯著掩模與文獻(xiàn)［9］中的動(dòng)量法結(jié)合可以迭代生成對(duì)抗樣本，其迭代過(guò)程可表示為如式（2）～式（5）所示。

其中：g0=0、μ=1、為參數(shù)及圖像初始化的過(guò)程⊙M是將最后一輪迭代生成的對(duì)抗樣本與原始圖像作差，從而得到對(duì)抗噪聲，再與顯著掩模做Hadamard 乘積，從而將顯著區(qū)域內(nèi)的對(duì)抗擾動(dòng)保留下來(lái)，而非顯著區(qū)域內(nèi)的對(duì)抗擾動(dòng)置為零。該方法通過(guò)顯著掩模將對(duì)抗擾動(dòng)添加過(guò)程限制在顯著區(qū)域內(nèi)，減弱了背景區(qū)域的對(duì)抗擾動(dòng)紋理特征，使得攻擊具有更好的隱蔽性。

同時(shí)，在實(shí)驗(yàn)中發(fā)現(xiàn)，當(dāng)只對(duì)顯著區(qū)域添加對(duì)抗擾動(dòng)時(shí)，雖有效地提高了對(duì)抗攻擊的隱蔽性，但也在一定程度上降低了對(duì)抗樣本的黑盒攻擊成功率。因此，本文從優(yōu)化的角度對(duì)該攻擊方法進(jìn)行了完善提升，以保證在提高攻擊隱蔽性的基礎(chǔ)上，攻擊成功率仍在較高水平。

對(duì)抗樣本的生成過(guò)程是一個(gè)有限制條件的優(yōu)化過(guò)程。該過(guò)程基于反向傳播算法中損失函數(shù)的梯度計(jì)算，逐步增大圖像分類過(guò)程中的損失函數(shù)值，從而使得分類出錯(cuò)。而在上文提到的動(dòng)量法中，將損失函數(shù)的更新過(guò)程以動(dòng)量累積的形式加以集成，穩(wěn)定了損失函數(shù)的更新方向，從而能夠使得對(duì)抗樣本的生成過(guò)程具有更好的收斂特性。利用動(dòng)量法生成對(duì)抗樣本雖然攻擊性較強(qiáng)，但由于噪聲固化、學(xué)習(xí)率固定等原因，黑盒攻擊成功率并不是很高。因此，本文研究將性能更強(qiáng)的優(yōu)化器引入到對(duì)抗樣本的局部?jī)?yōu)化攻擊過(guò)程中，在圖像的顯著區(qū)域內(nèi)對(duì)生成過(guò)程進(jìn)行優(yōu)化。

尋找性能更好的優(yōu)化器主要有兩個(gè)思路：一方面是對(duì)學(xué)習(xí)路徑的優(yōu)化；另一方面是對(duì)學(xué)習(xí)率的優(yōu)化。因此，本文方法通過(guò)引入Nesterov 算法和RMSprop 算法，組合 形成Nadam 算法，如圖2 所示，加快損失函數(shù)更新的收斂速度，更快地到達(dá)損失函數(shù)極大值點(diǎn)，提高對(duì)抗樣本的遷移性。

圖2 優(yōu)化算法關(guān)系Fig.2 Optimization algorithm relationship

以上的過(guò)程可以看作是對(duì)動(dòng)量法的改進(jìn)，式（6）、式（7）首先引入了Nesterov 算法，實(shí)現(xiàn)了在現(xiàn)有對(duì)抗樣本生成過(guò)程中的梯度跳躍，幫助損失函數(shù)前進(jìn)過(guò)程中預(yù)估梯度變化，并將這種變化計(jì)入梯度累積過(guò)程，有助于算法更快地跳出局部極值點(diǎn)。

之后，通過(guò)RMSprop 算法引入第二動(dòng)量，實(shí)現(xiàn)學(xué)習(xí)率的動(dòng)態(tài)調(diào)整，如式（8）～式（11）所示。

其中：mi+1為第一動(dòng)量，實(shí)現(xiàn)對(duì)梯度的累積；β1為其對(duì)應(yīng)的衰減因子；vi+1為第二動(dòng)量，實(shí)現(xiàn)對(duì)梯度平方的累積，β2為衰減因子。第一動(dòng)量的主要作用是穩(wěn)定損失函數(shù)更新過(guò)程中的前進(jìn)方向，而第二動(dòng)量主要是用以動(dòng)態(tài)調(diào)整損失函數(shù)前進(jìn)過(guò)程中的學(xué)習(xí)率，使函數(shù)避免陷入局部極值點(diǎn)。

由以上方法可以看出，Nadam 優(yōu)化算法集成了第一動(dòng)量和第二動(dòng)量的優(yōu)點(diǎn)，可實(shí)現(xiàn)梯度歷史數(shù)據(jù)和預(yù)估數(shù)據(jù)的累積，實(shí)現(xiàn)損失函數(shù)更新路徑和學(xué)習(xí)的優(yōu)化，可有效提高對(duì)抗樣本的生成效率。

該優(yōu)化算法可以自然地與顯著區(qū)域擾動(dòng)生成方法相結(jié)合，形成基于掩模Nadam 迭代快速梯度法（Mask-based Nadam Iterative Fast Gradient Method，MA-NA-FGM），其過(guò)程如圖3 所示。在該過(guò)程中，首先將原始圖像輸入到DCFA 模型中，得到顯著圖并二值化后得到顯著掩模；然后將原始圖像輸入到圖像分類模型中，并利用Nadam 優(yōu)化算法與卷積神經(jīng)網(wǎng)絡(luò)反向傳輸過(guò)程中的梯度信息，迭代生成對(duì)抗樣本，將得到的全局?jǐn)_動(dòng)對(duì)抗樣本與原圖像作差，得到全局的對(duì)抗噪聲；最后再將全局噪聲與顯著掩模進(jìn)行Hadamard 乘積，便可得到顯著區(qū)域內(nèi)的對(duì)抗噪聲，將該噪聲與原圖像相結(jié)合，得到最終的顯著區(qū)域?qū)箻颖尽?/p>

圖3 基于掩模Nadam 迭代快速梯度法示意圖Fig.3 Schematic diagram of mask-based Nadam iterative fast gradient method

2.3 對(duì)抗樣本攻擊算法

基于以上分析，本文設(shè)計(jì)了單模型條件下的對(duì)抗樣本攻擊算法，如算法1 所示。在該算法中，第1 步確定了對(duì)抗樣本攻擊過(guò)程的初始條件，第4 步和第5 步是對(duì)損失函數(shù)學(xué)習(xí)路徑的優(yōu)化，可以有效地將梯度的歷史數(shù)據(jù)和預(yù)估數(shù)據(jù)考慮進(jìn)去，從而避免損失函數(shù)優(yōu)化過(guò)程中的局部震蕩。第6 步引入了第二動(dòng)量，根據(jù)梯度的大小動(dòng)態(tài)調(diào)整學(xué)習(xí)率的大小，從而實(shí)現(xiàn)了損失函數(shù)更新過(guò)程中的動(dòng)態(tài)步長(zhǎng)調(diào)整，避免了在最后極值點(diǎn)附近反復(fù)震蕩。在第11、12 步中，實(shí)現(xiàn)了對(duì)抗擾動(dòng)的顯著區(qū)域添加，從而形成了攻擊性更強(qiáng)的對(duì)抗樣本。

算法1單個(gè)分類模型攻擊算法

輸入原始圖像x，相應(yīng)的正確標(biāo)簽ytrue，原始圖像對(duì)應(yīng)的顯著掩模M，一個(gè)卷積神經(jīng)網(wǎng)絡(luò)f與相應(yīng)的交叉熵?fù)p失函數(shù)L(x，ytrue；θ)，總迭代輪數(shù)T，當(dāng)前迭代步數(shù)t，輸入圖像的維度D，對(duì)抗擾動(dòng)的尺寸ε，衰減因子β1與β2

3 實(shí)驗(yàn)結(jié)果與分析

本節(jié)首先介紹實(shí)驗(yàn)環(huán)境設(shè)置、所用的數(shù)據(jù)集及評(píng)價(jià)指標(biāo)等內(nèi)容，然后通過(guò)在數(shù)據(jù)集上進(jìn)行大量實(shí)驗(yàn)，驗(yàn)證了顯著區(qū)域?qū)Ψ诸惤Y(jié)果的影響，并從攻擊成功率和攻擊隱蔽性兩方面來(lái)衡量攻擊性能，通過(guò)與基準(zhǔn)方法相比體現(xiàn)本文方法的優(yōu)勢(shì)。

3.1 實(shí)驗(yàn)設(shè)置

實(shí)驗(yàn)環(huán)境：本文使用Python 3.8.5 和Tensorflow 1.14.0 深度學(xué)習(xí)框架進(jìn)行編程及實(shí)驗(yàn)測(cè)試，服務(wù)器內(nèi)核為Intel Core i9-10900K，內(nèi)存為64 GB，主頻為3.7 GHz。為實(shí)現(xiàn)對(duì)抗樣本的快速生成，在實(shí)驗(yàn)中使用NVIDIA GeForce RTX 2080 Ti GPU 加速完成計(jì)算過(guò)程。

數(shù)據(jù)集及網(wǎng)絡(luò)模型：為驗(yàn)證本文所提對(duì)抗樣本生成方法的有效性，從ImageNet dataset［22］的驗(yàn)證集中隨機(jī)挑選1 000 張圖像，每張圖像屬于不同的類別。這些圖像在所涉及到的圖像分類模型上經(jīng)過(guò)測(cè)試均能被正確分類，從而使得添加對(duì)抗擾動(dòng)后被誤分類的圖像均為對(duì)抗樣本。在攻擊測(cè)試過(guò)程中，使用了4 個(gè)正常訓(xùn)練模型［23-25］和3 個(gè)對(duì)抗訓(xùn)練模型［26］。

評(píng)價(jià)指標(biāo)：

1）攻擊成功率（Attack Success Rate，ASR）指標(biāo)。該指標(biāo)表征的是對(duì)抗樣本欺騙圖像分類模型使之分類出錯(cuò)的能力，也即分類錯(cuò)誤率。在實(shí)驗(yàn)過(guò)程中，用生成的對(duì)抗樣本在不同的圖像分類模型上進(jìn)行測(cè)試，分類出錯(cuò)的圖像即為對(duì)抗樣本，其在總圖像個(gè)數(shù)中所占的比例，也即攻擊成功率。攻擊成功率計(jì)算公式如式（12）所示：

2）圖像特征差異性指標(biāo)。通過(guò)引入圖像方差，將圖像的行間像素信息作為圖像的特征值。圖像的像素方差計(jì)算如式（13）所示：

通過(guò)計(jì)算原始圖像和對(duì)抗樣本的各像素點(diǎn)位置的方差值，運(yùn)用特征值相似指標(biāo)來(lái)評(píng)估原始圖像與對(duì)抗樣本之間的距離。通常，在計(jì)算方差特征值時(shí)需要對(duì)原始圖像進(jìn)行縮放，m為縮放后的圖像尺度，Xˉ為圖像每行像素值的平均值。在衡量原始圖像的方差特征值與對(duì)抗樣本的方差特征值的差異時(shí)，將其差值進(jìn)行相似性度量，設(shè)置置信度來(lái)衡量發(fā)生改變的像素點(diǎn)的數(shù)量，具體用方差特征相似度（Variance Feature Similarity，VFS）來(lái)量化表述，從而方便度量在不同對(duì)抗樣本生成方法下對(duì)抗噪聲添加效果的差異性和擾動(dòng)不可察覺(jué)性的強(qiáng)弱。該指標(biāo)為未改變像素點(diǎn)占所有像素?cái)?shù)量的比例，因此為尋找對(duì)抗擾動(dòng)更隱蔽的生成方法，該指標(biāo)越大越好。

3）圖像結(jié)構(gòu)相似性指標(biāo)。用結(jié)構(gòu)相似性指標(biāo)（Structural Similarity Index Measure，SSIM）［27］來(lái) 衡量原圖像與對(duì)抗樣本之間的差異性，該指標(biāo)相對(duì)于峰值信噪比（PSNR）等傳統(tǒng)指標(biāo)，更能符合人眼的判斷標(biāo)準(zhǔn)。該指標(biāo)主要比較亮度、對(duì)比度和結(jié)構(gòu)三方面的內(nèi)容，定義如式（14）～式（17）所示。

其中：l(x,xadv)比較的是原始圖像與對(duì)抗樣本之間的亮度信息；c(x,xadv)和s(x,xadv)分別對(duì)應(yīng)的是對(duì)比度信息和結(jié)構(gòu)信息；μx和μxadv為原始圖像和對(duì)抗樣本像素信息對(duì)應(yīng)的平均值；σx和σxadv為像素標(biāo)準(zhǔn)差；σxxadv為原始圖像與對(duì)抗樣本之間的協(xié)方差；C1、C2、C3是用以保持l(x,xadv)、c(x,xadv)和s(x,xadv)穩(wěn)定性的常數(shù)。該指標(biāo)通常歸一化為［-1，1］范圍內(nèi)，數(shù)值越大，說(shuō)明兩張圖像結(jié)構(gòu)相似度越高，本文的目標(biāo)是使該指標(biāo)越大越好。

3.2 顯著區(qū)域?qū)Ψ诸惤Y(jié)果的影響

在本文的對(duì)抗攻擊過(guò)程中，添加對(duì)抗擾動(dòng)主要是在顯著區(qū)域內(nèi)開(kāi)展。因此，首先驗(yàn)證圖像的顯著區(qū)域?qū)Ψ诸惤Y(jié)果的影響作用。在實(shí)驗(yàn)中設(shè)計(jì)了基于顯著掩模及反向顯著掩模兩組樣本來(lái)對(duì)比分析，與原圖像作Hadamard 乘積可得到只保留顯著區(qū)域圖像Adv-SR，及去掉顯著區(qū)域的圖像Adv-non-SR。利用DCFA 模型生成顯著圖，之后生成顯著性掩模，將對(duì)應(yīng)的像素閾值?設(shè)定為15，即大于15 像素值的部位掩模值取為1，在Adv-SR 中作保留處理，在Adv-non-SR 中作去除處理。對(duì)比示意圖如圖4所示。

圖4 原始圖像、Adv-SR 及Adv-non-SR 對(duì)比示意圖Fig.4 Schematic diagram of the comparison of original image，Adv-SR and Adv-non-SR

在6 個(gè)圖像分類模型上進(jìn)行分類測(cè)試，其結(jié)果如圖5 所示。

圖5 原始圖像、Adv-SR 及Adv-non-SR 分類正確率對(duì)比Fig.5 Comparison of classification accuracy of original image，Adv-SR and Adv-non-SR

從圖5 可以看出，Adv-SR 和Adv-non-SR 相對(duì)于原始圖像的分類正確率均有所下降，Adv-SR 的正確率平均下降了4.8 個(gè)百分點(diǎn)，而Adv-non-SR 平均下降了73.3 個(gè)百分點(diǎn)。因此，顯著區(qū)域在圖像分類過(guò)程中發(fā)揮著更大的作用，當(dāng)對(duì)該區(qū)域進(jìn)行攻擊時(shí)，產(chǎn)生的對(duì)抗樣本更能有效地使模型分類出錯(cuò)。

3.3 模型攻擊對(duì)比實(shí)驗(yàn)

能夠成功實(shí)現(xiàn)攻擊是對(duì)抗樣本的基礎(chǔ)，本文首先進(jìn)行圖像分類模型的攻擊成功率測(cè)試。在正常訓(xùn)練模型上生成對(duì)抗樣本，隨后在7 個(gè)圖像分類模型（包括4 個(gè)正常訓(xùn)練模型和3 個(gè)對(duì)抗訓(xùn)練模型）上進(jìn)行攻擊測(cè)試，以白盒和黑盒情況下的攻擊成功率為指標(biāo)衡量對(duì)抗樣本的攻擊表現(xiàn)。實(shí)驗(yàn)中選用MIFGSM 為基準(zhǔn)方法，驗(yàn)證本文所提出的MA-MIFGSM（Mask-based Momentum Iterative Fast Gradient Sign Method）、MA-NA-FGSM（Mask-based Nadam iterative Fast Gradient Sign Method）方法的有效性，所涉及到的超參數(shù)為：最大擾動(dòng)值為ε=16 像素，迭代輪數(shù)T=10，動(dòng)量衰減因子μ=1，Nadam 衰減因子β1=0.9，β2=0.999，穩(wěn)定系數(shù)δ=10-14。實(shí)驗(yàn)結(jié)果如表1所示。從表1 數(shù)據(jù)可以看出，未經(jīng)過(guò)優(yōu)化過(guò)程的顯著區(qū)域?qū)箻颖旧煞椒ㄏ鄬?duì)于全局?jǐn)_動(dòng)的對(duì)抗樣本生成方法，白盒攻擊和黑盒攻擊成功率均有所下降，如在Inc-v3 模型上生成的對(duì)抗樣本作白盒攻擊時(shí)，MA-MI-FGSM 比MI-FGSM 成功率下降0.3個(gè)百分點(diǎn)，而在Inc-v3ens3模型上進(jìn)行黑盒攻擊時(shí)，攻擊成功率下降了1.7 個(gè)百分點(diǎn)，這說(shuō)明背景區(qū)域在一定程度上也影響圖像分類的結(jié)果，并且重點(diǎn)區(qū)域添加的對(duì)抗擾動(dòng)強(qiáng)度也不夠。當(dāng)引入Nadam 優(yōu)化算法后，對(duì)應(yīng)的攻擊算法黑盒攻擊成功率得到較大幅度的提升，在Inc-v4 上生成的對(duì)抗樣本當(dāng)在其他6 個(gè)圖像分類模型上進(jìn)行遷移攻擊時(shí)，其平均的黑盒攻擊成功率提高了7.55 個(gè)百分點(diǎn)，體現(xiàn)了本文攻擊算法的優(yōu)勢(shì)。

表1 MA-NA-FGSM 等方法單模型攻擊成功率 Table 1 Single-model attack success rate of methods such as MA-NA-FGSM %

本文設(shè)計(jì)實(shí)驗(yàn)將MA-DIM（Mask-based Diverse Input Method）、MA-NA-DIM（Mask-based Nadam Diverse Input Method）和DIM 進(jìn)行對(duì) 比，如 表2 所示。其中，在尺度變化時(shí)變換范圍為［299，330）像素，其余超參數(shù)如前文所述。與基準(zhǔn)方法相比，顯著區(qū)域優(yōu)化的生成方法顯然更具有攻擊性，實(shí)現(xiàn)了攻擊成功率和攻擊隱蔽性的性能提升，如在IncRes-v2上生成的對(duì)抗樣本，MA-NA-DIM 方法相對(duì)于MAMI-DIM 方法提高了7.2 個(gè)百分點(diǎn)，比DIM 方法的平均黑盒攻擊成功率得到進(jìn)一步提升。需要注意的是，對(duì)抗噪聲僅僅添加到了圖像的顯著區(qū)域內(nèi)，此時(shí)噪聲可察覺(jué)性已實(shí)現(xiàn)了較大幅度的降低。

表2 MA-NA-DIM 等方法單模型攻擊成功率 Table 2 Success rate of single-model attack by methods such as MA-NA-DIM %

在表1 和表2 中，分別進(jìn)行白盒測(cè)試和黑盒攻擊測(cè)試，4 個(gè)模型為對(duì)抗樣本的生成模型，即分別利用Inc-v3、Inc-v4、IncRes-v2 和Res-101 生成對(duì)抗樣本，利用在這些已知模型上生成的對(duì)抗樣本在4 個(gè)已知模型和3 個(gè)未知模型（Inc-v3ens3、Inc-v3ens4和IncRes-v2ens）上進(jìn)行攻擊測(cè)試，在已知模型上進(jìn)行的是白盒測(cè)試，而在未知防御模型上進(jìn)行的是黑盒測(cè)試。表1 中各方法主要是在MI-FGSM 的基礎(chǔ)上進(jìn)行改進(jìn)對(duì)比，其中，MA-MI-FGSM 是在MI-FGSM 的基礎(chǔ)上進(jìn)行了顯著性掩模處理，MA-NA-FGSM 是在MI-FGSM 的基礎(chǔ)上進(jìn)行了Nadam 算法優(yōu)化及顯著性掩模處理。類似地，在表2 各方法中，主要是對(duì)DIM 方法對(duì) 比分析，MA-DIM是在DIM 的基礎(chǔ)上進(jìn)行了顯著性掩模處理，MA-NA-DIM 是在DIM 的基礎(chǔ)上進(jìn)行了Nadam 算法優(yōu)化及顯著性掩模處理。

3.4 圖像質(zhì)量對(duì)比實(shí)驗(yàn)

圖像質(zhì)量對(duì)比實(shí)驗(yàn)主要有以下3 種：

1）特征差異性指標(biāo)對(duì)比實(shí)驗(yàn)。首先對(duì)不同方法生成的對(duì)抗樣本圖像特征進(jìn)行對(duì)比分析，運(yùn)用MIFGSM 方法與本文所提出的MA-MI-FGSM 方法分別在1 000 張圖像上生成對(duì)抗樣本。然后為了方便計(jì)算，將對(duì)抗樣本圖像與原始圖像縮放至64×64 像素值大小，并將圖像分割成64 維的張量形式，以行向量為單位計(jì)算其對(duì)應(yīng)的平均值，并求取相應(yīng)的方差值。將該方差值作為圖像的特征值，計(jì)算其相似度指標(biāo)，如圖6 和圖7 所示。其中，星標(biāo)、三角標(biāo)和圓標(biāo)分別對(duì)應(yīng)原圖像素方差、對(duì)抗樣本像素方差和像素方差的差值，其中圓標(biāo)線越長(zhǎng)，表示原始圖像和對(duì)抗樣本的差值就越大，特征的區(qū)別度也就越大，表明在生成對(duì)抗樣本過(guò)程中對(duì)原始圖像的改動(dòng)（即添加的對(duì)抗擾動(dòng)）也就越大。因此，本文的目的在于縮小原始圖像與對(duì)抗樣本之間像素方差的差值。由于該差值為反向指標(biāo)，為更直觀地度量其差值，本文引入了特征相似度的概念，即改變的像素點(diǎn)個(gè)數(shù)在像素值總數(shù)所占的比例，而是否發(fā)生改變用方差置信度來(lái)表示，例如設(shè)置置信度為0.95 時(shí)，表示變化量在原圖方差值的5%浮動(dòng)范圍。在置信度設(shè)置為0.95 時(shí)，得到對(duì)抗樣本與原始圖像的特征相似度如圖6（b）、圖6（c）和圖7（b）、圖7（c）所示，特征相似度越高，說(shuō)明對(duì)抗樣本與原始圖像越接近，其對(duì)抗擾動(dòng)的不可察覺(jué)性越好。相對(duì)于全局?jǐn)_動(dòng)的對(duì)抗樣本生成方法，利用本文方法生成的對(duì)抗樣本與原始圖像相比特征相似度更高，這主要是由于在全圖像添加對(duì)抗擾動(dòng)的過(guò)程中，在圖像的背景部分引入了更多的對(duì)抗噪聲，從而使得對(duì)抗樣本圖像與原始圖像之間的特征差異性更大。而本文所提出的方法通過(guò)在圖像的主體語(yǔ)義區(qū)域添加對(duì)抗擾動(dòng)，在盡可能小的范圍內(nèi)對(duì)原始圖像進(jìn)行改動(dòng)，從而使得對(duì)抗樣本與原始圖像之間的特征相似度更大。

圖6 “降落傘”對(duì)抗樣本特征相似度對(duì)比示意圖Fig.6 Schematic diagram of the "parachute" adversarial examples feature similarity comparison

圖7 “熊貓”對(duì)抗樣本特征相似度對(duì)比示意圖Fig.7 Schematic diagram of the "panda" adversarial examples feature similarity comparison

對(duì)整個(gè)實(shí)驗(yàn)數(shù)據(jù)集進(jìn)行各方法之間的對(duì)比分析，實(shí)驗(yàn)結(jié)果如表3 所示。通過(guò)表3 數(shù)據(jù)可以看出，MI-FGSM 和DIM 的特征相似性指標(biāo)相差不大，平均值分別為0.534 和0.546，而其對(duì)應(yīng)的顯著區(qū)域優(yōu)化方法MA-NA-FGSM 和MA-NA-DIM 的平均特征相似性指標(biāo)分別為0.697 和0.693，數(shù)據(jù)指標(biāo)分別實(shí)現(xiàn)了30.5%和26.9%的性能提升。

表3 特征相似性指標(biāo)對(duì)比 Table 3 Comparison of feature similarity indicators

2）結(jié)構(gòu)相似性指標(biāo)對(duì)比實(shí)驗(yàn)。為進(jìn)一步對(duì)比原始圖像與對(duì)抗樣本之間在亮度、對(duì)比度和結(jié)構(gòu)相似性之間的關(guān)系，本文對(duì)不同方法生成的對(duì)抗樣本分別與原始圖像進(jìn)行了結(jié)構(gòu)相似性對(duì)比。實(shí)驗(yàn)利用ImageNet 數(shù)據(jù)集中的1 000 張圖像，在4 個(gè)圖像分類模型上分別進(jìn)行了攻擊實(shí)驗(yàn)，不同方法的結(jié)構(gòu)相似性指標(biāo)如表4 所示。通過(guò)表4 可以看出，相對(duì)于基準(zhǔn)方法MI-FGSM 和DIM，本文所提出的對(duì)抗樣本生成方 法MA-MI-FGSM、MA-NA-FGSM 和MA-DIM、MA-NA-DIM 其結(jié)構(gòu)相似性指標(biāo)均實(shí)現(xiàn)了較大的提高，如在Inc-v3 上利用MI-FGSM 生成對(duì)抗樣本，其平均SSIM 值為0.574，而利用本文所提出攻擊方法MA-MI-FGSM 生成對(duì)抗樣本的平均SSIM 值為0.785，其提高幅度為32.0%，這說(shuō)明了本文所提方法可以有效地提高對(duì)抗樣本與原始圖像之間的相似性。同時(shí)，當(dāng)引入Nadam 優(yōu)化器時(shí)，對(duì)抗樣本與原始圖像的結(jié)構(gòu)相似性指標(biāo)的提高幅度不大，這也驗(yàn)證了優(yōu)化器的主要作用為提高對(duì)抗樣本的黑盒攻擊成功率。在提高結(jié)構(gòu)相似性的過(guò)程中，主要是顯著區(qū)域添加對(duì)抗擾動(dòng)的方法在發(fā)揮作用。

表4 MA-NA-DIM 等方法結(jié)構(gòu)相似性指標(biāo)對(duì)比 Table 4 Comparison of structural similarity indexes of methods such as MA-NA-DIM

此外，為驗(yàn)證本文方法在集成模型上的攻擊表現(xiàn)，還通過(guò)邏輯值集成的方法進(jìn)行了集成模型的攻擊實(shí)驗(yàn)，實(shí)驗(yàn)結(jié)果如表5 所示。實(shí)驗(yàn)在4 個(gè)普通訓(xùn)練模型上生成對(duì)抗樣本，并在3 個(gè)對(duì)抗訓(xùn)練模型上進(jìn)行攻擊測(cè)試，用SSIM 指標(biāo)衡量對(duì)抗攻擊的隱蔽性，用ASR 指標(biāo)衡量對(duì)抗樣本的攻擊性?？梢钥闯?，MA-NA-SI-TI-DIM 相對(duì)于基準(zhǔn)的SI-NI-TI-DIM 方法實(shí)現(xiàn)了攻擊隱蔽性和攻擊成功率的雙重提升，其中，顯著性指標(biāo)SSIM 提高了27.2%，黑盒攻擊成功率也保持在了92.7%的水平，進(jìn)一步證明了本文方法的優(yōu)勢(shì)。

表5 MA-NA-SI-TI-DIM 等方法攻擊性能對(duì)比 Table 5 Comparison of attack performance of methods such as MA-NA-SI-TI-DIM

3）人工評(píng)估測(cè)試實(shí)驗(yàn)。為更清晰直觀地展現(xiàn)對(duì)抗樣本像素級(jí)的擾動(dòng)細(xì)節(jié)，并有效評(píng)估本文方法在實(shí)際應(yīng)用中的有效性，在ImageNet 數(shù)據(jù)集上生成對(duì)抗樣本并進(jìn)行人眼評(píng)估測(cè)試。與顯著區(qū)域優(yōu)化的生成方法類似，MI-FGSM 方法同屬于利用反向傳播過(guò)程中的梯度信息生成對(duì)抗樣本的方法，因此，利用這兩種方法生成對(duì)抗樣本，并在調(diào)查人群中比較圖像對(duì)抗擾動(dòng)的不可感知性。該實(shí)驗(yàn)隨機(jī)選取了10 組圖像，每組評(píng)測(cè)圖像由原始圖像、MIFGSM 生成的對(duì)抗樣本及MA-MI-FGSM 生成的對(duì)抗樣本組成，在每次的評(píng)測(cè)中，原始圖像是固定的，而用于評(píng)測(cè)的圖像是隨機(jī)的，其中評(píng)測(cè)圖像既包含原始圖像又包含利用不同方法生成的對(duì)抗樣本。圖8 展示了原始圖像及對(duì)抗樣本圖像的示例，其中，圖8（a）為原始圖像，圖8（b）為利用MI-FGSM生成的對(duì)抗樣本，圖8（c）為利用MA-MI-FGSM 生成的對(duì)抗樣本。

圖8 不同方法生成的對(duì)抗樣本與原始圖像對(duì)比圖Fig.8 Comparison diagram between the antagonistic sample generated by different methods and the original image

對(duì)抗擾動(dòng)的不可察覺(jué)是人的眼睛對(duì)物理刺激所產(chǎn)生的感知反饋，由于人眼系統(tǒng)因人而異，并且對(duì)圖像的判斷也受其已有知識(shí)的影響。因此，為更為有效地評(píng)估對(duì)抗擾動(dòng)的不可察覺(jué)性，該研究對(duì)不同人群進(jìn)行了分類的調(diào)查研究。設(shè)置了甲、乙兩個(gè)調(diào)查組，甲組為普及過(guò)對(duì)抗樣本的人群，乙組為未普及過(guò)對(duì)抗樣本的人群，每個(gè)調(diào)查組為50 人。在實(shí)驗(yàn)時(shí)，將10 組圖像進(jìn)行隨機(jī)顯示，讓參與評(píng)測(cè)人員對(duì)原始圖像和相應(yīng)的隨機(jī)圖像的相似度進(jìn)行打分，并要求參與者在3 s 內(nèi)給出從0 分到10 分的具體分?jǐn)?shù)，分?jǐn)?shù)越高，表示相似度越高，而10 分意味著對(duì)抗樣本與原始圖像完全相同。

圖9 所示為對(duì)圖像對(duì)抗樣本具備一定了解的人群打分結(jié)果，通過(guò)對(duì)比各條折線可知，讓評(píng)測(cè)人員對(duì)隨機(jī)顯示的圖像與原始圖像的相似度進(jìn)行打分，當(dāng)隨機(jī)顯示的為原始圖像時(shí)，平均得分最高，而當(dāng)顯示對(duì)象為對(duì)抗樣本時(shí)，運(yùn)用MA-MI-FGSM 生成的對(duì)抗樣本得分更高，說(shuō)明其與原始圖像更為相似，原因主要是該方法將對(duì)抗擾動(dòng)限制在了圖像的主體顯著區(qū)域內(nèi)，而該顯著區(qū)域內(nèi)因固有的更為復(fù)雜的紋理特征，使得對(duì)抗噪聲會(huì)被評(píng)測(cè)人員所忽視。而MIFGSM 方法生成的對(duì)抗樣本會(huì)因背景區(qū)域過(guò)多的紋理特征而被人眼察覺(jué)。

圖9 甲組人眼評(píng)測(cè)結(jié)果示意圖Fig.9 Schematic diagram of group A eye assessment results

圖10 所示為未接觸過(guò)圖像對(duì)抗樣本人群的調(diào)查結(jié)果。從圖10 可以看出，運(yùn)用MA-MI-FGSM 生成的對(duì)抗樣本比運(yùn)用MI-FGSM 生成的對(duì)抗樣本具有更高的得分，前者的平均得分為8.88 分，后者為8.16 分。同時(shí)也注意到，在第9 組的實(shí)驗(yàn)中存在兩種方法生成的對(duì)抗樣本得分相同的情況，這主要是圖像的主體區(qū)域顏色單一，而背景區(qū)域反而復(fù)雜導(dǎo)致，如深色背景的白色卡車，此時(shí)只在主體區(qū)域添加對(duì)抗擾動(dòng)，會(huì)影響人們對(duì)圖像質(zhì)量的判斷。但從評(píng)測(cè)的整體結(jié)果來(lái)看，基于顯著區(qū)域優(yōu)化的方法在絕大多數(shù)情況下具有更強(qiáng)的隱蔽性。

圖10 乙組人眼評(píng)測(cè)結(jié)果示意圖Fig.10 Schematic diagram of group B eye assessment results

綜合圖9 和圖10 的測(cè)評(píng)結(jié)果，基于顯著區(qū)域優(yōu)化方法生成的對(duì)抗樣本達(dá)到了與原圖像更高的相似度，從實(shí)際應(yīng)用的角度證明了本文方法的有效性。同時(shí)也可以看出，對(duì)圖像對(duì)抗樣本知識(shí)有一定了解的人群往往對(duì)普通方法生成的對(duì)抗樣本具有更高的辨識(shí)能力，這也說(shuō)明了對(duì)抗樣本知識(shí)普及的重要意義。

4 結(jié)束語(yǔ)

本文通過(guò)分析現(xiàn)有對(duì)抗樣本攻擊方法存在的對(duì)抗噪聲明顯、全局添加擾動(dòng)易被察覺(jué)的問(wèn)題，將顯著目標(biāo)檢測(cè)的方法引入到對(duì)抗樣本生成過(guò)程中，通過(guò)在原始圖像上劃分出顯著區(qū)域，實(shí)現(xiàn)對(duì)抗擾動(dòng)的局部添加。實(shí)驗(yàn)結(jié)果表明，通過(guò)與Nadam 優(yōu)化算法的結(jié)合，保持并提高了對(duì)抗樣本的攻擊成功率，實(shí)現(xiàn)了對(duì)抗樣本黑盒攻擊成功率和擾動(dòng)不可察覺(jué)性的雙重提升。下一步可將顯著區(qū)域進(jìn)一步細(xì)化，實(shí)現(xiàn)顯著區(qū)域的分級(jí)劃分和對(duì)抗噪聲的更精準(zhǔn)添加，從而進(jìn)一步提升對(duì)抗樣本的攻擊性能，為深度神經(jīng)網(wǎng)絡(luò)模型的實(shí)際部署和應(yīng)用提供更好的攻擊檢測(cè)與安全測(cè)試手段。