感知引导能否产生语义可解释的对抗扰动？

众所周知，精心构造的不可感知扰动可使最先进的深度学习分类模型误分类。理解并分析这些对抗扰动在设计鲁棒卷积神经网络中起着关键作用。然而，其机理尚不被充分理解。本工作中，我们尝试通过系统性回答以下问题来理解其机理：不可感知的对抗扰动是否专注于改变图像中对分类重要的区域？换言之，不可感知的对抗扰动在语义上是否可解释？当前大多数方法使用$l_p$距离来生成和刻画对抗扰动的不可感知性。然而，由于$l_p$距离仅度量像素间距离且未考虑图像中的结构，这些方法未能对上述问题的满意解答。为解决此问题，我们提出一种新颖框架，通过在我们公式中显式引入“感知质量球”约束来生成对抗扰动。具体地，我们将对抗样本生成问题表述为一个易处理的凸优化问题，其约束取自流行的SSIM指数的一种数学上易处理的变体。我们使用在ImageNet数据集上训练的MobileNetV2网络进行实验。通过将我们的方法生成的SSIM图与类激活图进行比较，我们表明感知引导的扰动专门在有助于分类决策的区域引入改变，即这些扰动在语义上是可解释的。