基于注意力细化的面向基于补丁攻击的鲁棒语义分割
内容提要
该文综述注意力机制与对抗鲁棒性研究：受人类感知启发的注意力模型可显著提升对抗鲁棒性，达到ImageNet先进水平，且对抗样本具有全局显著结构。后续研究涵盖RAMS-Trans多尺度注意力、ViT对自然污染更鲁棒但易受对抗攻击、对抗补丁利用全局推理漏洞、语义分割补丁攻击影响局部、Patch-Fool攻击自注意力、变形Transformer注意力劫持以及补丁攻击的局限性。
延伸解读
注意力机制的双刃剑：提升鲁棒性与引入新漏洞
文章指出，受人类感知启发的注意力模型能显著提升对抗鲁棒性，在ImageNet上达到先进水平，且对抗样本呈现全局显著结构。然而，后续研究发现，基于注意力的视觉Transformer（ViT）虽对自然污染更鲁棒，却易受对抗攻击；对抗补丁正是利用全局推理漏洞。这表明注意力机制在增强防御的同时，也可能成为攻击的新切入点，设计时需权衡利弊。
对抗补丁在语义分割中的局部影响与实时性挑战
针对语义分割的补丁攻击研究表明，尽管对抗效果在数字和真实攻击中可见，但其影响通常局限于图像周围的补丁区域。这揭示了补丁攻击的空间局限性，同时也提出了实时语义分割模型空间鲁棒性的问题。读者需注意，补丁攻击的实际威胁可能受限于其作用范围，但实时系统仍需考虑此类局部干扰。
补丁攻击的通用性局限：输出图数量与空间范围
研究通过案例和网络复杂性分析证明，给定大小的补丁攻击能生成的可能输出图数量通常小于其影响区域或实际应攻击的区域。因此，大多数基于补丁的攻击在实践中难以通用，即无法生成任意输出图，或即使能，其空间范围也明显小于补丁的感受野。这一发现提示，评估补丁攻击威胁时需考虑其固有局限性。
变形Transformer的稀疏注意力：攻击不传递的启示
针对变形Transformer的注意力劫持攻击研究表明，这些攻击不会传递到变形Transformer，归因于其稀疏的注意力结构。实验显示，仅对输入领域1%施加修复区域就能导致0%的AP，且攻击能重定向注意力。这提示稀疏注意力可能提供一定的攻击隔离性，但攻击仍能有效支持不同攻击者场景，需关注其潜在风险。
Q&A
注意力机制为什么能提升模型的对抗鲁棒性？
受人类感知启发的注意力模型可以显著提高对抗鲁棒性，在各种随机攻击强度下达到最先进的ImageNet准确度；通过控制注意力步骤的数量，还能使防御能力更强，对抗更强的攻击。
对抗补丁攻击对语义分割模型有什么影响？
对抗补丁攻击可以改变分割网络的输出，但影响通常局限于图像周围的补丁区域，在数字和真实攻击中均可见；这引发了实时语义分割模型空间鲁棒性的进一步探讨。
ViT和CNN在对抗攻击下的鲁棒性有何差异？
ViTs对自然污染更具鲁棒性，但易受对抗性攻击；在Patch-Fool攻击下，ViTs不一定比CNNs更鲁棒。
Patch-Fool攻击是如何愚弄ViT的？
Patch-Fool攻击框架通过对单个patch进行一系列attention-aware优化技术的攻击，来愚弄ViT的self-attention机制。
变形Transformer的注意力劫持攻击效果如何？
针对变形Transformer的注意力劫持攻击不会传递到变形Transformer，这是由于其稀疏的注意力结构；实验表明，仅对输入领域的1%施加修复区域就能导致0%的AP，且攻击能有效支持不同攻击者场景。
基于补丁的攻击在实践中是通用的吗？
大多数基于补丁的攻击在实践中不可能是通用的，即它们不能生成任意输出图；如果可以，它们的空间范围也明显小于补丁的感受野。
