稀疏且难以察觉的对抗攻击

神经网络已被证明易受多种对抗攻击的影响。从安全性角度看，高度稀疏的对抗攻击尤其危险。另一方面，稀疏攻击的逐像素扰动通常较大，因此可能被检测到。我们提出一种新的黑盒技术来构造对抗样本，旨在最小化与原图像的 $l_0$ 距离。大量实验表明，我们的攻击优于或与最先进水平相当。此外，我们可以集成对分量扰动的额外约束。仅允许像素在高变化区域改变并避免沿轴对齐边缘的改变，使我们的对抗样本几乎不可察觉。此外，我们将投影梯度下降攻击适配到 $l_0$ 范数并集成分量约束。这使我们能够进行对抗训练，以增强分类器对稀疏且难以察觉的对抗操作的鲁棒性。