通过插值平滑提高对人脸识别的抗 JPEG 攻击性能
内容提要
本文综述了利用JPEG压缩防御深度神经网络对抗攻击的研究。JPEG压缩可去除高频对抗噪声，保持图像质量，且无需改动分类器。JPEG2000比JPEG更有效减少对抗噪声，支持更高压缩率且无块状伪影。基于Laplacian平滑的新方法在白盒攻击下成功率较高。集合技术可快速构建集成模型以防御多种攻击。但干扰强度增大时，仅靠JPEG重压缩不足以消除影响。
延伸解读
JPEG与JPEG2000防御效果对比
文章指出，JPEG2000在减少对抗噪声方面比JPEG更有效，允许更高压缩率且失真更少，并且不会引入块状伪影。这意味着在防御对抗攻击时，JPEG2000可能提供更好的图像质量和更强的鲁棒性，但需注意其计算复杂度可能更高。
Laplacian平滑方法的优势与局限
基于Laplacian平滑的新方法在白盒攻击下成功率较高，且在可感知噪声畸变情况下表现良好。然而，该方法主要针对白盒场景，对于黑盒攻击的泛化能力尚不明确，实际部署时需考虑攻击类型的多样性。
集合技术快速构建防御集成
文章提出一种基于集合的技术，利用JPEG压缩快速构建性能良好的DNN集成，无需了解模型即可防御多种对抗攻击。这为实际应用提供了便利，但集成模型的维护和更新可能带来额外开销。
干扰强度增大时JPEG重压缩的不足
研究发现，对于Fast-Gradient-Sign干扰强度较小的对抗图片，JPEG压缩可以较大程度逆转分类准确度下降，但随着干扰强度增加，仅靠JPEG重压缩不足以消除影响。这表明JPEG压缩防御存在局限性，需结合其他方法。
Q&A
JPEG压缩为什么能防御深度神经网络的对抗攻击？
JPEG压缩通过移除高频信号成分来消除对抗性攻击中添加的扰动，从而在分类管道中起到防御作用。
JPEG和JPEG2000在防御对抗攻击方面哪个更有效？
JPEG2000更有效地减少了对抗性噪声，允许更高的压缩率和更少的失真，并且不会引入阻塞伪影。
基于Laplacian平滑的新方法在对抗攻击下的表现如何？
基于Laplacian平滑的新方法在白盒攻击场景下，在可感知噪音畸变情况下，成功率相对较高。
集合技术如何帮助防御多种对抗攻击？
集合技术可以快速构建一个性能良好的DNN集成，通过利用JPEG压缩来保护模型免受多种类型的对抗性攻击，而不需要了解模型。
仅靠JPEG重压缩能完全消除对抗攻击的影响吗？
不能。对于Fast-Gradient-Sign干扰强度较小的对抗图片，JPEG压缩可以较大程度地逆转分类准确度下降效果，但随着干扰强度的增加，仅进行JPEG重新压缩就不足以消除其效果。
特征蒸馏方法如何利用JPEG压缩防御对抗攻击？
该方法通过JPEG压缩技术的特征蒸馏来防御深度神经网络的对抗攻击，能够有效修正对抗样本，同时不影响正常图像分类准确性，并在准确性、可用性和处理速度方面均有所提升。
