Imperceptible Adversarial Attack via Invertible Neural Networks

作者：Zihan Chen, Ziyue Wang, Junjie Huang*, Wentao Zhao, Xiao Liu, Dejian Guan

解決的問題：雖然視覺不可感知性是對抗性示例的理想特性，但傳統的對抗性攻擊仍然會產生可追蹤的對抗擾動。
代碼：https://github.com/jjhuangcs/AdvINN
類型：黑盒 目標攻擊，

摘要：

作者利用可逆神經網絡(AdvINN)方法進行對抗性攻擊，生成魯棒且難以察覺的對抗性示例。AdvINN利用INN的信息保留屬性，添加目標類的指定信息、刪除與原始類別不同的信息來生成對抗樣本。

引言部分引出對抗攻擊示例

雖然對抗樣本的存在可能會阻礙深度學習在風險敏感領域的應用，但它進一步促進了對深度學習魯棒性的研究。

現有對抗樣本的類別：

• 在原始圖像上添加擾動來生成對抗樣本：FGSM系列的對抗攻擊方法+混合其他類別的信息來生成對抗樣本，這種方法可能會導致噪聲被感知和圖像存儲容量的增加；
• 在原始圖像上丟棄部分信息來生成對抗樣本，這種方法可能會影響目標攻擊的性能。

方法整體概述

給定一張良性圖像$x_{cln}$，其標簽為$c$，作者的目標是通過丟棄類$c$的discriminant information和添加target image $x_{tgt}$的對抗細節，同時能夠通過殘差圖像$x_r$解析添加和丟棄的特征信息。方案整體包含Invertible Information Exchange Module (IIEM)和目標圖像選擇和學習（Target image selection and learning）兩個模塊，整體概述如下圖所示：

• IIEM模塊：$\theta$是$f_{\theta }(?)$的參數，由Invertible Information Exchange Module (IIEM), Target Image Learning Module (TILM) 和loss functions三個模塊組成用于優化；IIEM由損失函數驅動，通過執行$x_{cln}$和$x_{tgt}$的信息交換來生成對抗圖像。由于IIEM的保留屬性，輸入圖像$(x_{cln},x_{tgt})$和輸出圖像$(x_{adv},x_r)$是相同的且$(x_{adv},x_r)={f_{\theta }}^{?1}(x_{cln},x_{tgt})$。AdvINN生成對抗樣本的目標函數定義如下：
  
  ${\mathcal{L}}_{adv}(?)$表示對抗損失，${\mathcal{L}}_{rec}(?)$表示重構損失，${\lambda }_{adv}$ 表示正則參數，$\epsilon$表示對抗擾動預算。

-target image選擇： target image是對抗信息的來源，可以從highest confidence target image (HCT)、universal adversarial perturbation (UAP)或online learned classifier guided target image( CGT)中選擇；

方法詳細闡述：

Invertible Information Exchange Module (IIEM)

該模塊主要包括離散小波變換和仿射偶爾兩個模塊，示意圖如下：

1. 離散小波變換：作者使用離散小波變換（正文使用的是哈兒小波變換）用以區分輸入干凈和目標圖像分解為低頻和高頻成分。分解低頻和高頻特征有助于修改輸入圖像的高頻成分，因而可以產生更不易察覺的對抗樣本（注意：修改高頻成分生成的對抗樣本更不易被察覺。）離散小波變換$\mathcal{T}(?)$中，輸入圖像$x$可被轉換成小波域$\mathcal{T}(x)$，該域上包含一個低頻子帶特征和3個高頻子帶特征。在IIEM的輸出端，逆離散小波變換${\mathcal{T}}^{?1}(?)$用于重構特征到圖像域。
2. 仿射耦合模塊：可逆信息交換模塊由$M$個Affine Coupling Blocks（仿射耦合模塊）組成。$w_{cln}^i$和$w_{tgt}^i$表示第$i$個Affine Coupling Blocks的輸入特征，$w_{cln}^i=T(x_{cln})$, $w_{tgt}^i=T(x_{tgt})$。第$i$個Affine Coupling Blocks的前向過程可表示為：
   
   $\Theta$表示兩個矩陣對應相乘，$\alpha$表示一個sigmod 函數乘以一個常數因子，$\psi (?),\rho (?),\eta (?)$表示dense network architecture。給定第M個仿射耦合模塊的輸出，利用逆小波變換可獲得對抗圖像和殘差圖像：$x_{adv}=T^{?1}(w_{cln}^M),x_r=T^{?1}(w_{tgt}^M)$
3. 信息保留屬性：由于DWI和IDWT的可逆性，$(w_{cln}^M,w_{tgt}^M)$可以被保存在$(x_{adv},x_r)$，$(w_{cln}^{i?1},w_{tgt}^{i?1})$可以被保存在$(w_{c\ln }^i,w_{tgt}^i)$
   
   IIEM是完全可逆，輸出圖像$(x_{adv},x_r)$和輸入圖像$(x_{cln},x_{t}gt)$包含相同的信息。他們之間的聯系可表示如下：
   
   $\sigma$表示干凈圖像上丟棄的信息，$\delta$表示添加到干凈圖像上目標圖像的判別信息。

目標圖像選擇和學習（Target image selection and learning）

1. 選取最高置信類的圖像：選取最高置信的圖像作為目標圖像可能包含大量目標類的無關信息，例如背景紋理和其他的類的信息。這將會影響攻擊成功率和尋優過程；
2. 通用對抗擾動：作者沿用該方法，利用優化后的通用對抗攝動作為目標圖像，加快收斂速度；
3. 目標圖像學習模塊：該模塊學習分類器引導的目標圖像，而不是使用固定的圖像作為目標圖像。目標圖像被設置為一個可學習的變量，該變量用一個恒定的圖像初始化(即所有像素設置為0.5)，然后根據攻擊分類器的梯度進行更新。這樣，自適應生成的目標圖像可以嵌入目標類的更多判別信息，從而輔助生成對抗樣例。

學習細節

整個網絡的總體損失定義如下：

${\mathcal{L}}_{adv}$表示對抗損失用于定位正確的優化方向和加速收斂速度，
![在這里插入圖片描述](https://img-blog.csdnimg.cn/b62ee37afad6493dbf9467356ba72276.pn

${\mathcal{L}}_{rec}$表示重構損失，用于約束對抗圖像和良性圖像相似，同時將修改主要應用于高頻和不易察覺的內容，從而生成不易被察覺的對抗樣本:

實驗：

• 數據集： ImageNet-1K
• 基準：PGD，CW, Drop, PerC-AL,SSAH
• 指標：感知性、攻擊能力
• 受害者模型：ResNet50
• 感知性評估+目標攻擊性能評估+魯棒性評估（JPEG、bit-depth reduction、NRP and NRP_resG）+消融實驗