夏乙 编译整理 量子位 出品 | 公众号 QbitAI
想骗过神经网络，让它认错图像，需要对图像做多少修改？
一个像素就够了。
一项来自日本的研究表明， 改动图片上的一个像素 ，就能让神经网络认错图，甚至还可以诱导它返回特定的结果。
研究由日本九州大学的Jiawei Su、Danilo Vasconcellos Vargas和Kouichi Sakurai三人共同完成，他们不仅写论文详细介绍了这项改一个像素就骗过神经网络的神技，还开源了相应的 Keras实现 。这项技术被称为“ 一像素攻击 ”(One Pixel Attack)。
△ 可惜了VGG一世英名，连猫都认错
在CIFAR-10和ImageNet两个数据集上，一像素攻击分别实现了68.36%和41.22%的成功率。
一个像素，怎么攻击神经网络？
实验在CIFAR-10和ImageNet数据集上进行，我们以CIFAR-10为例来做一下说明。CIFAR-10是一个图像识别数据集，包含60000张32×32像素的RGB彩色图片，共10类。神经网络在这个数据集上的任务，就是正确预测图片所属的分类。
而一像素攻击的目标，是通过从图片上选定一个像素，更改它的颜色来制造对抗性图像，改变神经网络输出的类别标签，降低对正确类别的置信度，提高对其他某个类别的置信度。也就是说，让神经网络将它分到错误的类别。
任务看似简单，但是，32×32=1024个像素，该选哪一个？改成什么颜色？
这些研究人员用了一种名叫 差分进化（Differential Evolution，简称DE） 的进化算法（Evolutionary Algorithm）。
具体来说，首先要通过随机修改像素来生成400个对抗样本，输入到神经网络中；然后，将这些修改像素的位置和颜色结合起来，再生成400个对抗样本，输入到神经网络中；接下来，如果某个新样本与父代相比，降低了神经网络对正确类别的置信度，就将用这个样本上修改的像素替换父代，作为目前已知的最优解。
之后就要多次重复以上三步，然后在最后一次迭代时，选出将神经网络对正确类别的置信度降得最低的对抗样本。
如果有其他类别的置信度高于正确类别最终的置信度，我们就成功了。最后选出的样本就是我们所要的结果。
在对全连接神经网络（AllConv）、Network in Network(NiN)、VGG16、和AlexNet的测试中，这种方法取得的成功率如下表所示：
△ 表中的targeted attack，指的是在攻击中让神经网络将图像误认为特定某个类别
几位研究人员还把这种方法用在了ImageNet上，将图像大小统一为227×227，大约是CIFAR-10图像尺寸的50倍。
在ImageNet上的测试表明，这种欺骗神经网络的方法也适用于分辨率比较高的图像。
据论文介绍，DE方法不会像基于梯度的方法那么容易陷入局部最小值，也不需要关于攻击目标系统的太多信息，因此生成的对抗样本适用于多种神经网络。
本文来自量子位，创业家系授权发布，略经编辑修改，版权归作者所有，内容仅代表作者独立观点。[ 下载创业家APP，读懂中国最赚钱的7000种生意 ]
