针对语义分割的真实世界的对抗样本攻击
来自于论文"Evaluating the Robustness of Semantic Segmentation for Autonomous Driving against Real-World Adversarial Patch Attacks"
代码在 github 有开源，各位感兴趣的可以自己去跑跑看。
文章的主要贡献：
- 提出了一种像素级别的交叉熵误差，用于生成强大的对抗补丁（adversarial patch）
- 使用3D世界的几何信息来构造对抗补丁
- 充分的实验，在Cityscape，CRALA和真实世界上进行测试
攻击概述
如上图所示的流程：
- 首先输入图片
- 图片会经过投影变换和空域变换，
- 然后传入到一个场景特定的EOT生成对应的补丁, EOT是指 Expectation Of Transformation
- EOT一般用来生成真实世界可用的对抗样本，使得对抗样本对真实世界的一些变换鲁棒
- 将打补丁之后的图片输入到SS模型之中，SS指Semantic Segmentation，也就是语义分割
- 得到语义分割的结果并优化对应的补丁
基于EOT的攻击
这里首先给出EOT攻击的形式化描述：
其中 代表最优的补丁，
是空域变换的空间（包括平移、缩放等），
代表对实体的变换（包括明亮度、对比度、噪声等）
其中 代表加上了最优补丁的输入
总的来说，EOT和普通对抗样本的区别其实在于，多了一些可能的变换，使得对抗样本具备更强的鲁棒性。
误差函数设计
有了EOT攻击的概述，我们只需要定义好误差函数，就可以对补丁进行梯度下降，进而搜索到好的对抗补丁了
这篇文章采用的是，较为简单的交叉熵误差，定义如下：
其中 代表是否是正确类别，
是指模型在
类别上的输出
对于语义分割而言，我可以把输出的每一个像素点位置当成是分类任务。
我们可以定义一个集合 , 该集合包括除了补丁位置之外所有的像素位置，且这些像素位置被正确分类
其中 代表所有像素的位置，
代表补丁覆盖的像素位置，
代表加了补丁的图像，
代表对应输出的第
个像素的位置的输出。
那么逐个像素的交叉熵误差可以被分成两个部分：
这两个部分分别代表，补丁区域的输出误差以及补丁区域之外的输出误差
我们可以定义出一个融合误差，表示成他们的线性组合，进而计算出梯度：
实验结果
这里我们简单看一下在Cityscapes数据集上的实验结果，如上表所示。
Cityscapes是一个驾驶图像的数据集，其图片分辨率为1024x2048，其中2975张用于训练，500张用于测试。
表中的150x300，200x400，300x600是指补丁的大小。
rand/with EOT/without EOT 分别代表随机噪声，用EOT的对抗补丁，不用EOT的对抗补丁。
有几个容易得到的结论：
- 随着补丁范围的增加，正确率下降越明显
- EOT的效果要优于不加EOT的效果
- DDRNet的鲁棒性看上去是最佳的
