ディープラーニングベースの画像分類モデルは、意図的に作成されたノイズをきれいな画像に注入することにより、敵対的な攻撃に対して脆弱であることが示されています。トレーニングなしで攻撃にとらわれない方法で敵対的な攻撃から防御するために、この作業は、ディープイメージプライア(DIP)を掘り下げることにより、斬新で効果的な再構築ベースの防御フレームワークを提案します。既存の再構築ベースの防御とは根本的に異なり、提案された方法は、モデル決定プロセスを分析し、明示的に防御に組み込みます。敵対的な画像が与えられた場合、最初に、DIP最適化中に再構成された画像をモデル決定空間にマッピングします。モデル決定空間では、境界を越えた画像を検出し、境界上の画像をさらにローカライズできます。次に、敵対的ノイズは、敵対的画像とは逆方向に沿って境界上の画像を摂動させることによって浄化されます。最後に、犠牲者分類器によって正しく予測できる画像を構築するために、マニホールド上の画像がステッチされます。広範な実験は、提案された方法が、ホワイトボックス攻撃と防御認識攻撃の両方の防御において、既存の最先端の再構築ベースの方法よりも優れていることを示しています。さらに、提案された方法は、敵対的な画像再構成中に高い視覚品質を維持することができる。
Deep learning based image classification models are shown vulnerable to adversarial attacks by injecting deliberately crafted noises to clean images. To defend against adversarial attacks in a training-free and attack-agnostic manner, this work proposes a novel and effective reconstruction-based defense framework by delving into deep image prior (DIP). Fundamentally different from existing reconstruction-based defenses, the proposed method analyzes and explicitly incorporates the model decision process into our defense. Given an adversarial image, firstly we map its reconstructed images during DIP optimization to the model decision space, where cross-boundary images can be detected and on-boundary images can be further localized. Then, adversarial noise is purified by perturbing on-boundary images along the reverse direction to the adversarial image. Finally, on-manifold images are stitched to construct an image that can be correctly predicted by the victim classifier. Extensive experiments demonstrate that the proposed method outperforms existing state-of-the-art reconstruction-based methods both in defending white-box attacks and defense-aware attacks. Moreover, the proposed method can maintain a high visual quality during adversarial image reconstruction.