Explorando Características de Frequência para Aumentar a Invisibilidade de Ataques Adversariais

Ataques adversariais transferíveis convencionais tendem a introduzir artefatos perceptíveis nos exemplos adversariais gerados, o que prejudica a invisibilidade da perturbação adversarial e torna esses ataques menos práticos em cenários do mundo real. Para lidar com esse problema, neste artigo, propomos um novo método de ataque adversarial tipo black-box que pode melhorar significativamente a invisibilidade dos exemplos adversariais. Analisamos a sensibilidade de uma rede neural profunda no domínio da frequência e levamos em consideração as características do sistema visual humano para quantificar a contribuição de cada componente de frequência na perturbação adversarial. Em seguida, coletamos um conjunto de componentes de frequência que são insensíveis ao sistema visual humano aplicando clustering K-means e propomos uma função de perda conjunta durante a geração de exemplos adversariais, limitando a distribuição de frequência das perturbações durante os ataques. Os resultados experimentais mostram que o método proposto supera significativamente os métodos existentes de ataque adversarial black-box transferíveis em termos de invisibilidade, o que verifica a superioridade, aplicabilidade e potencial deste trabalho.