视觉攻击对特征的影响分析图像识别中的神经网络.docx

N.A. Andriyanov et al. / Procedia Computer Science 186 (2021) 495–502 PAGE 501 PAGE 502 N.A. Andriyanov et al. / Procedia Computer Science 186 (2021) 495–502 视觉攻击对特征的影响分析图像识别中的神经网络 摘要 讨论了对神经网络进行视觉攻击的各种方法，如引入加性高斯白噪声、像素最大化和亮度最小化、区域亮度最大化和最小化。对于已知的数据集(MNIST，卡格尔数据集称为Dogs _ vs _ Cats)，研究了测试样本中正确识别的比例与失真图像比例的相关性。分析了VGG-16、盗梦空间v3、无训练转移网络等网络。从图像中的噪声水平，从攻击区域的大小，获得这种网络的准确度的特征。分析了各种攻击中各种图像属于给定类别的概率。作为对抗视觉攻击的一种方法，建议在训练时挑出一个新的类:“图像差”。通过由神经网络转储“坏图像”来选择有效图像，即使在测试样本中存在大量失真图像的情况下，准确度也得以提高。比较了N类和(N + 1)类图像的网络精度。制定了进一步研究的方法和对抗对神经网络的视觉攻击的替代方法的想法。 关键词:卷积神经网络；模式识别；视觉攻击；VGG-16；initiation _ v3；图像处理 1。 介绍 目前，图像处理领域是人工智能最热门的应用领域之一。研究人员确定了这个领域的一些任务。研究和应用领域本身叫做计算机视觉。计算机视觉中的一个经典任务是模式识别任务。此外，使用神经网络和深度学习的图像识别领域的出版物数量每年都在增加[1-6]。同时，在图像处理领域，作者试图用亮度随机场的数学模型来描述图像的文章较少[7-10]。 因此，神经网络计算机视觉算法今天被广泛使用。应该预期，与随机模型相比，神经网络模型的使用增长趋势将在未来继续。然而，人们已经可以挑出使用神经网络的主要缺点之一。基于它们的识别器可能非常不稳定，它们很容易受到视觉攻击，并且在其输出端观察到的结果强烈依赖于训练数据集。如果后一个问题在某种程度上通过数据扩充得到成功解决[11，12]，如果大量失真图像被添加到训练集中，还可以处理视觉攻击，那么不稳定性问题的解决方案可以通过在训练集中再添加一个类并通过神经网络的推理丢弃这样的图像来获得。目前的工作致力于研究这种方法。 2。 对所调查的视觉攻击类型的描述 对神经网络的视觉攻击这里是以一种特殊的方式向神经网络的输入端提供扭曲的图像。在本文中，建议考虑以下类型的失真:加性高斯白噪声 让图像亮度由三维函数F(c x y，，)设置，其中c表示图像的颜色通道(RGB)，(x，y)是像素的坐标。由于亮度值在从0到255的范围内，在添加噪声之后，有必要保存这些亮度的边界值。那么记录失真图像的最终表达式将采用以下形式 A1(c x y，，)F c x y(，，) ?， (1) 其中N c x y(，，)是均值和方差为零的正态分布规律的随机变量?N2， 1分钟0，1毫秒 255 . ? 此外，有时在文本中，为了简洁起见，这种攻击将简称为攻击1。 点图像失真 对于图像的点失真，单个像素的值(可能跨越所有通道)被亮度值0或255以及一些相当接近边界值的值(例如分别为1-3或252-254)代替。应当注意，当使用卷积神经网络时，即使改变一个像素也会导致识别结果的改变。这种失真的一般形式的模型可以写成如下 ?F c x y(，，)，if(，x y) ? (x0，y0)， a2(c x y ,)?? (2) ?0(255) ? ?( ) j，if(，x y)；(x0，y0)， 其中j是在区间[0；3]. 此外，有时在文本中，为了简洁起见，这种攻击将简称为攻击2。单色图像区域失真 如果图像区域失真，图像会以与点失真相同的方式改变，但是，位于某个区域的原始图像的所有值都会被替换。同时，单色失真的特点是某个失真区域的所有像素将具有相同的亮度值。因此，考虑到区域D0中的失真，表达式(2)可以被重写 ?F c x y(，，，)，if(，x y)?D0， A c x y3(，，)?? (3) ?0(255) ? ?( ) j，if(，x y)?D0， 其中D0是扭曲区域。 此外，有时在文本中，为了简洁起见，这种攻击将简称为攻击№3。多色图像区域失真 具有多色失真的图像区域，属于区域D0的所有像素随机分成 “黑”和“白”。例如，这样的过程可以通过从区间(0；1)每次选择特定像素的亮度。那么表达式(3)可以重写为以下形式 ?F c x y(，，，)，if(，x y)?D0， ? ?0 a4(c x y，??) j，if(，)? x y rand0,? k 0.5, (4)