Imágenes adversarias mínimamente distorsionadas con un método de signo de gradiente rápido iterativo adaptativo paso a paso
Autores: Ding, Ning; Möller, Knut
Idioma: Inglés
Editor: MDPI
Año: 2024
Acceso abierto
Artículo científico
2024
Imágenes adversarias mínimamente distorsionadas con un método de signo de gradiente rápido iterativo adaptativo paso a paso
Categoría
Ingeniería y Tecnología
Subcategoría
Inteligencia Artificial
Palabras clave
Seguridad
Robustez
Redes neuronales convolucionales
Imágenes adversarias
FGSM
Clasificación
Licencia
CC BY-SA – Atribución – Compartir Igual
Consultas: 17
Citaciones: Sin citaciones
La seguridad y robustez de las redes neuronales convolucionales (CNN) han suscitado crecientes preocupaciones, especialmente en áreas críticas de seguridad, como aplicaciones médicas. Aunque las CNN son eficientes en la clasificación de imágenes, sus predicciones a menudo son sensibles a modificaciones menores, invisibles para los observadores humanos, de la imagen. Por lo tanto, una imagen modificada, corrupta, puede ser visualmente igual a la imagen legítima para los humanos pero engañar a la CNN y provocar una predicción incorrecta. Estas imágenes modificadas se llaman imágenes adversarias a lo largo de este documento. Un método popular para generar imágenes adversarias es retropropagar el gradiente de pérdida para modificar la imagen de entrada. Normalmente, solo se utilizaba la dirección del gradiente y un tamaño de paso dado para determinar las perturbaciones (FGSM, método de signo de gradiente rápido), o se aplicaba el FGSM varias veces para crear perturbaciones más fuertes que cambian la clasificación del modelo (i-FGSM). Por el contrario, si el tamaño de paso es demasiado grande, la perturbación mínima de la imagen puede perderse durante la búsqueda del gradiente. Para buscar imágenes de entrada exactas y mínimas para un cambio de clasificación, en este documento sugerimos comenzar el FGSM con un tamaño de paso pequeño y adaptar el tamaño de paso con las iteraciones. Se tomaron algunos algoritmos de decaimiento de la literatura para comparar con un enfoque novedoso basado en un índice que sigue el estado de pérdida. En total, se aplicaron tres funciones de seguimiento para la comparación. Los experimentos muestran que nuestros algoritmos de decaimiento adaptativo de pérdida podrían encontrar adversarios con más del 90% de éxito mientras generan menos perturbaciones para engañar a las CNN.
Descripción
La seguridad y robustez de las redes neuronales convolucionales (CNN) han suscitado crecientes preocupaciones, especialmente en áreas críticas de seguridad, como aplicaciones médicas. Aunque las CNN son eficientes en la clasificación de imágenes, sus predicciones a menudo son sensibles a modificaciones menores, invisibles para los observadores humanos, de la imagen. Por lo tanto, una imagen modificada, corrupta, puede ser visualmente igual a la imagen legítima para los humanos pero engañar a la CNN y provocar una predicción incorrecta. Estas imágenes modificadas se llaman imágenes adversarias a lo largo de este documento. Un método popular para generar imágenes adversarias es retropropagar el gradiente de pérdida para modificar la imagen de entrada. Normalmente, solo se utilizaba la dirección del gradiente y un tamaño de paso dado para determinar las perturbaciones (FGSM, método de signo de gradiente rápido), o se aplicaba el FGSM varias veces para crear perturbaciones más fuertes que cambian la clasificación del modelo (i-FGSM). Por el contrario, si el tamaño de paso es demasiado grande, la perturbación mínima de la imagen puede perderse durante la búsqueda del gradiente. Para buscar imágenes de entrada exactas y mínimas para un cambio de clasificación, en este documento sugerimos comenzar el FGSM con un tamaño de paso pequeño y adaptar el tamaño de paso con las iteraciones. Se tomaron algunos algoritmos de decaimiento de la literatura para comparar con un enfoque novedoso basado en un índice que sigue el estado de pérdida. En total, se aplicaron tres funciones de seguimiento para la comparación. Los experimentos muestran que nuestros algoritmos de decaimiento adaptativo de pérdida podrían encontrar adversarios con más del 90% de éxito mientras generan menos perturbaciones para engañar a las CNN.