chapter-16-对抗样本和对抗训练

对抗样本

对抗样本即是被用心构造出来，利用算法的漏洞来被错误分类的样本。举个例子，前段时间有人发现，只要手持一类图片，监控设备就无法将你识别为人类。前面的课程也有例子，一幅大象的图片，只要加上微不足道的噪点，算法就会将它识别为别的东西。下面是另一个例子：

左右两个熊猫在人眼看来毫无区别，但在左图加上一个精心构造的缩小了很多倍的看上去毫无意义的图片后，计算机却会将右边的熊猫判别为长臂猿。更有趣的是，在进行处理后，计算机对右图的置信度甚至还提高了：左图被断定为熊猫的置信度只有60％，而右图被判定为长臂猿的置信度却达到了99.9％。

另一种对抗样本是，对原始样本做出一些改动，使其在人类看来已经变成了另一类，然后算法仍将其归类为原来的类别。

那么，导致深度模型对反抗样本力不从心的原因是什么？一个猜想是模型过拟合导致泛化能力不够。然而，通过加入更多噪声训练等方式来应对对抗样本的企图均告失败。

另外一个猜测是模型的高度非线性，但研究发现只要线性模型的输入拥有足够的维度（事实上大部分情况下，模型输入的维度都比较大，因为维度过小的输入会导致模型的准确率过低，即欠拟合），线性模型也对对抗样本表现出明显的脆弱性，这驳斥了关于对抗样本是因为模型的高度非线性的解释。

事实上，高维空间中的线性性就足以造成对抗样本，深度模型对对抗样本的无力最主要的还是由于其线性部分的存在。

为了利用对抗样本来提高模型的抗干扰能力，对抗训练诞生了，随后变提出了对抗样本生成网络，即GANs。

summary：