GE-AdvGAN：基于梯度编辑的对抗生成模型改进对抗样本的可传递性
内容提要
本文综述了对抗攻击与生成对抗网络的多项研究：AdvGAN可高效生成对抗样本，黑盒攻击成功率达92.76%；梯度范数惩罚能提升对抗样本的可迁移性；MGAA利用元学习缩小梯度方向差距；梯度修正法在ImageNet上取得82.07%的平均迁移成功率；此外还涉及T-GD检测GAN生成图像、生成对抗训练增强泛化性与鲁棒性、跨任务特征构建对抗样本以及像素空间域适应等方法。
延伸解读
从AdvGAN到梯度修正：对抗样本迁移性的演进脉络
文章梳理了提升对抗样本迁移性的多条技术路线：AdvGAN用生成对抗网络高效生成扰动，在黑盒设置下达到92.76%攻击成功率；梯度范数惩罚通过约束梯度提升迁移性；MGAA用元学习缩小梯度方向差距；梯度修正法则在ImageNet上取得82.07%平均迁移成功率。这些方法从生成效率、梯度约束到元学习逐步演进，共同指向黑盒攻击中迁移性这一核心难题。
生成对抗网络的双重角色：攻击利器与防御检测
文章不仅讨论GAN用于生成对抗样本，还涉及T-GD框架利用教师-学生模型迭代互训来检测GAN生成图像，以及生成对抗训练提升模型对测试集和域外样本的泛化与鲁棒性。这表明GAN在安全领域具有双重用途：既可被攻击方用于高效构造扰动，也可被防御方用于检测合成图像和增强模型抵抗力，攻防双方都在借助同一技术框架。
迁移性提升的代价与评估局限
文章列出的方法多在特定数据集（如CIFAR10、ImageNet）和攻击设置下评估，梯度修正法虽在ImageNet上达到82.07%平均迁移成功率，并在CVPR 2021竞赛中排名第二，但其效果依赖多转换引入的梯度修正。MGAA和梯度范数惩罚也需与其它梯度方法整合才能实现更强攻击。读者需注意，这些迁移成功率是实验条件下的结果，实际黑盒场景中的模型未知性可能带来额外不确定性。
Q&A
AdvGAN 是什么？它在黑盒攻击下的成功率有多高？
AdvGAN 是一种使用生成对抗网络产生高感知质量对抗样本的方法，可以更高效地生成对抗性扰动用于敌对训练。在 MNIST 黑盒攻击竞赛中，AdvGAN 取得了 92.76% 的攻击成功率。
如何提高对抗样本的可迁移性以进行黑盒攻击？
可以通过梯度范数惩罚的新方法大大提高对抗样本的可传递性，使其能够在各种目标模型上进行黑盒攻击，同时对源模型的体系结构和特征表示的拟合度较低。该方法也能与其他基于梯度的方法整合以实现更强的基于传递的攻击。
MGAA 是什么？它如何改善黑盒攻击的迁移性？
MGAA（Meta Gradient Adversarial Attack）是一种采用元学习思想的新型结构，通过缩小白盒和黑盒攻击之间的梯度方向差距来改善黑盒设置下的对抗样本传递性。在 CIFAR10 和 ImageNet 数据集上的实验表明，它在黑盒和白盒攻击设置方面胜过了现有的最先进方法。
梯度修正方法在 ImageNet 上的迁移攻击成功率是多少？
采用梯度修正的方法，通过对多个转换引入的无用梯度进行修正，在 ImageNet 数据集上可以实现 82.07% 的平均转移成功率，在单模型设置下胜过其他最先进方法的平均 6.0%。该方法已应用于 CVPR 2021 ImageNet 无限制对抗攻击比赛，攻击成功率在 1558 支队伍中排名第二。
T-GD 框架是什么？它有什么特点？
T-GD 是一种转移性 GAN 图像检测框架，包括一个教师模型和一个学生模型，通过迭代地相互训练和评估来提高检测性能。它着重于提高 GAN 图像检测的可转移性和迁移学习能力，可以在没有元数据信息的情况下，通过很少的数据有效地检测最新的 GAN 图像。
生成对抗训练如何提升模型的泛化性和鲁棒性？
生成对抗训练是一种用于提高深度神经网络对测试集和域外样本的泛化能力，并增强其抵抗未知对抗攻击的能力的方法。
