Pytorch

利用MI-FGSM针对CIFAR10上的ResNet分类器进行对抗攻击

代码汇总mifgsm.pytrain.pyadvtest.py

Pytorch

本篇文章我们使用Pytorch实现MI-FGSM对CIFAR10上的ResNet分类器进行攻击.

CIFAR数据集

CIFAR-10数据集是由加拿大高级研究所CIFAR收集整理的用于图像识别研究的常用数据集基本信息如下

数据规模该数据集包含60,000张彩色图像分为10个不同的类别每个类别有6,000张图像。

通常将其中50,000张作为训练集用于模型的训练10,000张作为测试集用于评估模型的性能。

图像尺寸所有图像的尺寸均为32×32像素这相对较小的尺寸使得模型在处理该数据集时能够相对快速地进行训练和推理但也增加了图像分类的难度。

类别内容涵盖了飞机plane、汽车car、鸟bird、猫cat、鹿deer、狗dog、青蛙frog、马horse、船ship、卡车truck这10个不同的类别这些类别都是现实世界中常见的物体具有一定的代表性。

MI-FGSM介绍

Method是一种基于动量的迭代快速梯度符号法是在FGSMFast

Gradient

Method基础上的改进旨在生成更具攻击性和隐蔽性的对抗样本以下是对其的详细介绍

在对抗攻击领域FGSM是一种简单有效的攻击方法但它仅进行一次梯度计算和更新生成的对抗样本可能不够强大。

为了进一步提高攻击效果研究人员提出了迭代攻击的方法如I-FGSMIterative

FGSM通过多次迭代来逐步调整对抗样本。

MI-FGSM在I-FGSM的基础上引入动量项使得攻击能够更好地利用历史梯度信息加速收敛并提高攻击成功率。

算法原理

初始化与FGSM类似首先需要一个预训练的模型、损失函数、原始图像和对应的真实标签以及攻击步长

\epsilon

μ等参数。

迭代更新在每次迭代中计算当前对抗样本相对于模型输出的损失梯度并将其与上一次迭代的动量项相加得到更新后的梯度方向。

然后根据更新后的梯度方向和攻击步长对对抗样本进行更新。

具体计算公式如下

g_{t1}\mu

gt1​μ⋅gt​∥∇x​J(xtadv​,y)∥1​∇x​J(xtadv​,y)​

sign

x_{t1}^{adv}x_{t}^{adv}\epsilon

\cdot

表示符号函数。

投影操作为了确保对抗样本在合理的范围内通常还需要进行投影操作将其像素值限制在有效区间内如

[0,

original_images.clone().detach().requires_grad_(True)momentum

torch.zeros_like(original_images).detach().to(original_images.device)for

criterion(outputs,

labels)model.zero_grad()loss.backward()data_grad

data_grad

torch.mean(torch.abs(data_grad),

dim(1,

torch.mean(torch.abs(data_grad),

dim(1,

投影操作确保扰动后的图像仍在合理范围内这里假设图像范围是[0,

1]perturbed_image

perturbed_image)perturbed_image

original_images

perturbed_image)perturbed_image

1).detach().requires_grad_(True)return

perturbed_image攻击效果

original_images.clone().detach().requires_grad_(True)momentum

torch.zeros_like(original_images).detach().to(original_images.device)for

criterion(outputs,

labels)model.zero_grad()loss.backward()data_grad

data_grad

torch.mean(torch.abs(data_grad),

dim(1,

torch.mean(torch.abs(data_grad),

dim(1,

投影操作确保扰动后的图像仍在合理范围内这里假设图像范围是[0,

1]perturbed_image

perturbed_image)perturbed_image

original_images

perturbed_image)perturbed_image

1).detach().requires_grad_(True)return

import

transforms.Compose([transforms.RandomCrop(32,

padding4),transforms.RandomHorizontalFlip(),transforms.ToTensor(),transforms.Normalize((0.4914,

0.4822,

transforms.Compose([transforms.ToTensor(),transforms.Normalize((0.4914,

0.4822,

torchvision.datasets.CIFAR10(root./data,

trainTrue,

torch.utils.data.DataLoader(trainset,

batch_size128,

torchvision.datasets.CIFAR10(root./data,

trainFalse,

torch.utils.data.DataLoader(testset,

batch_size100,

torch.optim.Adam(model.parameters(),

lr0.01)if

data[1].to(device)optimizer.zero_grad()outputs

model(inputs)loss

labels)loss.backward()optimizer.step()running_loss

loss.item()if

0.0torch.save(model.state_dict(),

Training)advtest.py

pltssl._create_default_https_context

ssl._create_unverified_context#

定义数据预处理操作

transforms.Compose([transforms.ToTensor(),transforms.Normalize((0.491,

0.482,

torchvision.datasets.CIFAR10(root./data,

transformtransform)

torch.utils.data.DataLoader(testset,

num_workers2)#

ResNet18(num_classes10).to(device)criterion

加载模型权重

model.load_state_dict(torch.load(weights_path,

__name__

在测试集上进行FGSM攻击并评估准确率model.eval()

设置为评估模式correct

data[1].to(device)original_images.requires_grad

Trueattack_name

torch.max(perturbed_outputs.data,

1)total