源图像的选择严重影响对抗攻击的有效性

尽管深度神经网络（DNNs）的采用率近年来大幅增长，但针对其对对抗样本的脆弱性尚未找到解决方案。因此，大量研究工作致力于修复这一弱点，其中许多研究通常使用源图像子集来生成对抗样本，并将该子集中的每幅图像视为同等重要。我们证明，事实上并非每个源图像都同样适合此类评估。为此，我们设计了一个大规模的模型间可迁移性场景，利用三种最常用的攻击方法，从 ImageNet 中每个合适的源图像生成的对抗样本属性进行了细致分析。在该涉及七种不同 DNN 模型（包括近期提出的视觉 transformer）的可迁移性场景中，我们发现当在全部合适候选图像中随机采样 $1,000$ 个源图像时，模型间可迁移性成功率差异可达 $12.5\%$，平均 $L_2$ 扰动为 $1.01$，平均 $L_{\infty}$ 扰动为 $0.03$（$8/225$）。随后，我们在评估用于创建对抗样本的图像的鲁棒性方面迈出首批步骤之一，提出若干简单而有效的方法以识别不合适的源图像，从而能够缓解实验中的极端情况并支持高质量基准测试。