人間が知覚できない摂動を画像に追加することで、DNNを簡単にだますことができます。主流の方法の1つとして、特徴空間を標的とした攻撃は、中間のソースとターゲットの特徴間の不一致を最小限に抑えるために、中間の特徴マップを変調することによって画像を混乱させます。ただし、不一致を測定するためのピクセル単位のユークリッド距離の現在の選択は、ソースとターゲットの特徴に空間的一貫性の制約を不当に課すため、疑わしいものです。直感的には、猫が画像の左側または右側にいるかどうかに関係なく、画像は「猫」として分類できます。この問題に対処するために、統計的調整を使用してこの不一致を測定することを提案します。具体的には、ペアワイズアラインメントアタックとグローバルワイズアラインメントアタックと呼ばれる2つの新しいアプローチを設計します。これらは、並進不変の高次統計量によってフィーチャマップ間の類似性を測定しようとします。さらに、さまざまな難易度のレイヤーごとの転送可能性を体系的に分析し、信頼性の高い攻撃を取得します。広範な実験により、提案された方法の有効性が検証され、最先端のアルゴリズムを大幅に上回っています。私たちのコードはhttps://github.com/yaya-cheng/PAA-GAAで公開されています。
By adding human-imperceptible perturbations to images, DNNs can be easily fooled. As one of the mainstream methods, feature space targeted attacks perturb images by modulating their intermediate feature maps, for the discrepancy between the intermediate source and target features is minimized. However, the current choice of pixel-wise Euclidean Distance to measure the discrepancy is questionable because it unreasonably imposes a spatial-consistency constraint on the source and target features. Intuitively, an image can be categorized as "cat" no matter the cat is on the left or right of the image. To address this issue, we propose to measure this discrepancy using statistic alignment. Specifically, we design two novel approaches called Pair-wise Alignment Attack and Global-wise Alignment Attack, which attempt to measure similarities between feature maps by high-order statistics with translation invariance. Furthermore, we systematically analyze the layer-wise transferability with varied difficulties to obtain highly reliable attacks. Extensive experiments verify the effectiveness of our proposed method, and it outperforms the state-of-the-art algorithms by a large margin. Our code is publicly available at https://github.com/yaya-cheng/PAA-GAA.