无需担忧自动驾驶车辆目标检测中的对抗样本

已有研究表明，大多数机器学习算法易受对抗扰动影响。在图像空间中沿精心选择的方向轻微扰动图像，可能导致训练好的神经网络模型将其误分类。最近，研究表明物理对抗样本存在：打印扰动图像然后拍照仍会导致误分类。这引发了安全和安全担忧。然而，这些实验忽略了一个物理对象的关键属性：相机可以从不同距离和不同角度观察物体。本文中，我们展示的实验表明，当前物理对抗样本的构造不会破坏来自移动平台的物体检测。相反，训练好的神经网络正确地分类了从扰动图像的不同距离和角度拍摄的大部分图片。我们认为这是因为扰动的对抗属性对观察扰动图片的尺度敏感，因此（例如）自动驾驶汽车将仅在一小段距离范围内误分类停车标志。我们的工作提出了一个重要问题：能否构造对许多或大多数观察条件均对抗的样本？如果能，该构造应能提供关于深度网络内部模式表示的非常显著的见解。如果不能，则很有希望将对抗样本降格为几乎没有实际影响的奇闻趣事。