康奈尔大学说对抗样本出门会失效，被OpenAI怂回来了！

本篇文章1013字，读完约3分钟

雷锋。科技评论:看来我们还是不能掉以轻心。

上周，康奈尔大学的一篇论文称，当图像识别算法应用于现实生活场景(如自动驾驶)时，可能没必要太担心样本问题。他们做了一系列实验，从不同的角度和方向拍摄被干扰的停车标志，并识别图像。结果表明，现有的对抗性干扰只适用于特定的场景。

关于那篇论文，雷锋。康乃尔大学的最新研究:对抗性样本是一只纸老虎，外出时很难辨认！

最近，根据康奈尔大学的论文，openai说他们已经生成了一些图像，当从不同的尺寸和视角观察时，这些图像可以可靠地欺骗神经网络识别器。雷锋。(公开号码:雷锋。《人工智能技术评论》编辑如下:

上图是由标准彩色打印机打印的猫照片。不管它是如何缩放或旋转的，它都可以欺骗识别器，使其认为图片是显示屏或台式计算机。这幅画对人的眼睛来说有点扭曲。openai希望进一步调整参数，生成一个对比色样本，在人眼看来很自然，但却能愚弄机器。这样的样本会非常危险。

当图像不断变化时，现有的对策示例会失败。上图显示的是一只被抗干扰的猫的同一张照片，在imagenet训练的盗梦空间v3上，它会被误认为是一台台式电脑。但是将图片放大1.002倍会导致识别率的变化:正确的标签“小花猫”覆盖了计数器标签“台式电脑”。

然而，他们怀疑经过一些努力后可能会产生一个健壮的对抗样本，因为已经证明对抗样本可以转移到现实世界中。这里是他们生成的两个对抗样本。

大小无关的对抗样本

一种称为投影梯度下降的优化方法可以用来找到图像的微小扰动，并随机欺骗识别器来创建对抗样本。

这种优化不是为了从单一角度找到对立的输入图像。在图像识别之前，输入图像的大小由许多随机识别器随机调整，并通过对抗如此多的输入来优化，从而产生与大小无关的鲁棒对抗样本。

在上图中，图片的大小是不断调整的，识别器仍然可以被稳定地愚弄。即使只有与猫相对应的像素被修改，仍然有可能创建各种大小的对立的干扰图片。

与变化无关的对抗样本

通过向训练干扰添加随机旋转、变化、缩放、噪声和均值漂移，上述方法还可以产生在任何变化下都保持对抗的输入。

上图是一个独立于变化的对抗的例子。值得注意的是，图像显然比前面的例子更加混乱。这个结果是一个很好的解释:在许多不同的转化之后，弱的对抗性干扰很难保持对抗性。

在实验中，这些变化是随机抽样的，这证明它们产生的样本干扰了所有的变化。

雷锋。技术评论汇编。

雷锋原创文章。严禁擅自转载。详情请参考转载说明。