康奈尔大学最新研究：对抗性样本是纸老虎，一出门就不好使！

本篇文章1086字，读完约3分钟

雷科技评论:众所周知，在图像识别领域，面对样本是一个非常困难的问题，研究如何克服它们有助于避免潜在的危险。然而，当图像识别算法应用于现实生活场景时，我们真的需要如此担心面对样本问题吗？最近，康奈尔大学的一篇论文“不要太担心自动驾驶中物体识别的样本问题”，给了我们一个答案。

首先，本文提出了以下观点:大多数机器学习算法对抗干扰很敏感，只要从图像空的精心选择的方向加入轻微的干扰，该图像就可能被训练好的神经网络模型误分类。此外，印刷图像干扰增加，然后拍摄它们，这些拍摄的图像仍然会被误分类，这也证实了真实世界中对抗样本的存在。这些错误使人们意识到将机器学习应用于真实场景时安全性是否有保证。

然而，先前的实验忽略了现实世界中物体的关键属性:在现实世界中，与在虚拟场景中对图片的单一识别相比，相机可以从不同的距离和角度拍摄图片来识别物体。从移动观察者的角度来看，目前现实世界中的对抗样本不会干扰目标检测。

他们进行的一系列实验表明，在实际环境中，在特定距离和角度拍摄的具有抗干扰能力的停车标志可能会导致深度神经网络目标识别器的误识别，但对于大量从不同距离和角度拍摄的停车标志照片，抗干扰能力并不总是能够欺骗目标检测器。

照片:为了模拟真实场景，在实验中打印出了图像。如图所示，可以正确识别现场的停车标志。

他们收集了一系列停车标志的图像，然后使用三种不同的反攻击方法生成干扰样本，同时攻击图像分类器和目标识别器。然后，被干扰的图像被打印出来，并且从不同的距离拍摄照片，并且检查不再对抗的照片中原始增加的干扰的损害程度。在大多数情况下，损坏率很高，并随着距离的增加而增加。最后，通过一个小实验表明，拍照角度也可以改变对抗干扰的影响。

为什么我们能正确识别大多数图片？他们认为原因是干涉特征对被干涉图像的大小很敏感。如果仅仅从非常近的距离来识别，自驾汽车不能得出正确的结论。此外，本文提出了一个关键问题:是否有可能构建这样一个对抗性样本，使机器在大多数不同的观察条件下产生误判？如果可能的话，这种对抗性特征可以极大地帮助人类理解深层学习网络的内部表征模式。如果不是，可以预期的是，对抗性样本的研究将止于好奇心，对现实世界没有什么伤害。

从实验结论来看，现有的抗干扰方法仅适用于特定场景下的停车标志识别(在其数据集和控制实验下)。这也表明，在大多数现实场景中，尤其是在自动驾驶领域，我们可能不需要担心对抗样本问题。

地址:arxiv/ABS/1707.03550

雷锋。技术评论汇编。更多相关信息，请关注雷锋的人工智能科技评论。

雷锋原创文章。严禁擅自转载。详情请参考转载说明。