FGSM 从论文到代码 pytorch 白盒非目标攻击

读论文——FGSM 从论文到代码

第一次记录自己读论文的心得，以此留念！！！每周一更（请监督我好吧）

论文部分

简介

文章链接

文章大意：最早提出对抗样本的概念，并提出基于梯度的白盒攻击方法——快速梯度符号方法即FGSM，方法比较简单，容易实现，重点在于提出了对抗攻击的概念。

文章背景

摘要：大意是作者发现微小的扰动能够使得模型分类错误，作者猜测是因为个别神经网络的线性特征所以容易被轻易攻击，基于此提出了FGSM在MINIST上进行测试。

示意图： x加上梯度符号乘相关系数得到对抗样本，可以理解为梯度上升吧（逃离本应该收敛的最优区域）

数学原理

扰动生成

作者贡献

创新

第一个吃螃蟹：提出对抗样本的概念，提出了基于梯度的方法

不足

只能针对线性特征明显的模型，在其余模型上表现一般，因为只朝着一个方向在迭代，而非线性直朝一个方向迭代显然不行，因此可以改进一下吧

个人思考

总结
黑盒攻击：未知模型，只能和模型做交互操作。一般应该是优化算法（暂时没有了解过，个人猜想）
白盒攻击：针对训练好的模型，但是不太现实 有梯度方法和优化方法：FGSM PGD DeepFool C&W

目标攻击:一个样本识别为一个指定类别
无目标攻击：识别错误就行

在线攻击：数据投毒，增量学习之类的，有相关案例
离线攻击：针对模型的攻击，即对抗样本

改进

为什么epsion是一个定值（是否可以每一步都是做成自适应的），能不能朝着其他方向做梯度上升

类比

代码部分

需要的输入：训练好的模型，待输入的x,y,超参数epsion
直接loss求导计算参数梯度，并按照公式更新（没有loss.step）手动更新

def fgsm(x, y, model, eps=.25):
    """Fast gradient sign method for adversarial attack."""
    x.requires_grad = True
    logits = model(x)
    loss = F.cross_entropy(logits, y)
    loss.backward()
    return x + eps * torch.sign(x.grad)

完整代码