科学家在视频对抗攻击方面取得新进展

深度神经网络容易受到对抗攻击，通过给图像或视频叠加极小扰动就可以造成分类系统的误分类，研究视频分类系统的对抗攻击将有助于发现分类模型的脆弱性，并成为提高模型鲁棒性的重要基础。

学术界当前的对抗攻击方法均考虑范数限制的扰动，而这种方式需要消耗大量的查询次数，造成攻击过程中巨大的计算成本，所生成的对抗样本还会被去噪或对抗训练等方法有效防御，对于提高查询效率和抵抗防御能力的方法研究鲜少涉及。

为此，清华大学深圳国际研究生院肖喜副教授团队提出了一种基于风格迁移的黑盒视频对抗攻击方法（StyleFool）来攻击视频分类系统。该方法采用语义不变的无限制扰动，旨在不改变视频语义信息的前提下，对抗扰动不做范数限制。

图｜StyleFool 攻击示意图

与同类方法相比，StyleFool 能够显著提高攻击的成功率并降低查询次数。同时，在抵御视频对抗防御方法的性能方面，由于 StyleFool 考虑了前后帧间一致性约束和语义不变的无限制扰动，它所生成的对抗样本可以轻松绕过先进的视频防御方法。

StyleFool 在不改变语义信息的情况下产生无限制的扰动，跳出了传统的范数限制攻击的束缚，并在攻击性能、抵御防御性能等方面优于现有对抗攻击方法，大大降低了攻击成本，是对抗攻击迈向非语义化的一大突破。

内容来源：清华大学深圳国际研究生院

论文链接：

https://arxiv.org/abs/2203.16000

转自：“学术头条”微信公众号

如有侵权，请联系本站删除！