基于KNN最小范化系数攻击在CNN上的利用

杨 雨澄, 李 丹
四川大学锦城学院

摘要

若要分析算法的鲁棒性，必须采用生成对抗样本的方式来评价算法鲁棒性。然而目前对于算法鲁棒性没有统一的评判标准，也就是说对于不同的算法，人们会针对性地采取不同的方法来生成对抗样本。在这些攻击算法中，Sitawarin等人对于KNN及其衍生模型提出了基于KNN和及其衍生模型的攻击方法，其方法和其类似的KNN方法比较而言，能快速地找到优秀的对抗样本，在该攻击下对抗样本表现的也十分出色。那么该方法的迁移性能又如何呢，又是否能对其他的算法模型生成优秀的对抗样本呢？本文将利用Sitawarin等人的攻击模型对CNN算法模型进行攻击，并且进行对比分析造成该结果的原因。

关键词

KNN；对抗样本；鲁棒性；对抗训练

参考

[1]C. Sitawarin and D. Wagner, “On the robustness of deep k- nearest neighbors,” vol. abs/1903.08333, 2019. [Online]. Available: http://arxiv.org/abs/1903.08333.

[2]Y. Yang, C. Rashtchian, Y. Wang, and K. Chaudhuri, “Adversarial examples for non-parametric methods: Attacks, defenses and large sample limits,” CoRR, vol. abs/1906.03310, 2019. [Online]. Available: http://arxiv.org/abs/1906.03310.

[3] W. Gao, X. Niu, and Z. Zhou, “On the consistency of exact and approximate nearest neighbor with noisy data,” CoRR, vol. abs/1607.07526, 2016. [Online]. Available: http://arxiv.org/ abs/1607.07526. [4] H. W. J. Reeve and A. Kab´an, “Fast rates for a knn classi-

fier robust to unknown asymmetric label noise,” CoRR, vol. abs/1906.04542, 2019. [Online]. Available: http://arxiv.org/ abs/1906.04542.

[5] Christian Szegedy. Wojciech Zaremba. Ilya Sutskever. Joan Bru-na. Dumitru Erhan. Ian J. Goodfellow. and Rob Fergus. Intriguing properties of neural networks. In ICLR, 2014.

[6] C. Sitawarin and D. Wagner, “Minimum-Norm Adversarial Ex- amples on KNN and KNN-Based Models,” vol. abs/2003.06559, 2019. [Online]. Available: http://arxiv.org/abs/2003.06559.