纹理可缩放通用对抗扰动

通用对抗扰动（Universal adversarial perturbation，UAP），也称为图像无关扰动，是一种可对任意图像以高概率误导分类器的固定扰动图，因而在现实世界中攻击深度模型时更为实用。以往的UAP方法为所有图像生成尺寸固定、纹理固定的扰动图，忽略了图像中多尺度物体的存在，通常导致低误导率。由于广泛使用的卷积神经网络倾向于根据保存在局部纹理中的语义信息对物体进行分类，从利用局部内容有效性的角度改进UAP显得合理且直观。本文发现，当对UAP图添加约束以鼓励小尺寸UAP图并垂直、水平重复填充整个图像域时，误导率显著提高。为此，我们提出了纹理尺度受限UAP（texture scale-constrained UAP，TSC-UAP），这是一种简单而有效的UAP增强方法，可自动生成针对特定类别的局部纹理UAP，以更轻松地误导深度模型。通过限制纹理尺度的低成本操作，TSC-UAP在数据依赖型和数据自由型UAP方法中显著提升了误导率和攻击迁移性。在两个最先进的UAP方法、八个流行CNN模型和四个经典数据集上的实验表明，TSC-UAP具有卓越的性能。