Page 196 - 《软件学报》2021年第11期
P. 196

3522                                Journal of Software  软件学报 Vol.32, No.11, November 2021

                 Res-50 和 Res-101 的攻击结果.
                                             Table 3    Results of step size α (QN/L 2 )
                                                表 3   不同步长α的结果(QN/L 2 )
                             Target model   α=0.01    α=0.1      α=1.0      α=10      α=100
                               Vgg-16    25 575/6.56   9 710/8.77   2 815/13.37   2 803/14.88  2 945/14.94
                               Inc-v3    43 694/7.95   18 829/9.39   6 941/14.73   6 732/19.41  7 074/19.66
                               Res-50    25 781/6.66  10 844/7.95  3 433/12.52   3 978/14.76   3 661/14.79
                               Res-101   28 581/7.06  12 041/8.22  3 979/12.60   4 134/14.69   4 146/14.79
                    根据表 3 可以发现,步长参数对攻击结果的影响如下.
                    (1)  步长的量级与攻击的效率呈现出正相关的趋势:当α选择较小值(即α=0.01/0.1)的情况下,ES-Attack 的
                        平均交互查询的次数较多,攻击效率较低;而当α大于 1 后,交互查询的次数收敛.
                    (2)  步长的量级会影响扰动的幅度:随着步长大小的增加,最终生成扰动的幅度也逐渐增大.当设置α=0.01
                        时,攻击预训练模型生成扰动的平均幅度最小,分别为 L 2 =6.56/7.95/6.66/7.06.
                    本文综合考虑攻击效率与扰动幅度,选择α=1.0 作为后续实验的参数.
                 3.3   AM-Com方法相关参数实验
                    本节主要对 AM-Com 方法的有效性进行验证.AM-Com 首先基于替代网络模型生成的热力图对扰动进行
                 分组,然后依次压缩各组的冗余扰动.其中,热力图的选择策略和分组数量 N 对压缩效果有较大的影响.
                    •   分组策略选择实验
                    本文选择了 4 种不同的热力图作为分组策略进行对比,分别为:
                                                         ()y
                    (1)  黑盒攻击的目标标签对应的热力图 CAM   .
                    (2)  图像真实标签对应的热力图 CAM(y).
                    (3)  目标标签与真实标签对应热力图的求和平均 | CAM               ( )y + CAM  ( ) | / 2y    ,记为 CAM(+).
                    (4)  | CAM  ( )y − CAM  ( ) |y   ,即真实标签与目标标签热力图之差的绝对值,记为 CAM(−).
                    此外,本文还考虑加入两种基线分组策略进行对比.
                    (5)  随机分组方法     [26] ,即将扰动的每一维数据随机划分到任意一组,平均每组的数据数量为 n/N,记为
                        Random.
                    (6)  Shi 等人 [40] 提出的 Whey 分组方法,即按照扰动向量的绝对值从小到大平均分为 N 组,记为 Whey.
                    图 4 展示了 Inc-v3 模型对应分组(1)~分组(4)策略下生成的热力图可视化示例,通过观察可以看出,CAM(y)
                 主要关注的区域为图像内容的主体(如萨摩耶犬与金鱼的头部), CAM   则主要关注图像主体之外的区域(如
                                                                        ( )y
                 背景部分),而 CAM(+)与 CAM(−)的关注区域则介于二者之间.










                                  Fig.4    Visualized examples of different heatmaps generated by Inc-v3
                                         图 4   Inc-v3 模型生成不同热力图的可视化示例

                    与第 3.2 节相同,用于生成热力图的替代网络模型包括 Vgg-16、Inc-v3、Res-50 和 Res-101,分组数量 N=100,
   191   192   193   194   195   196   197   198   199   200   201