安妮 编译自 OpenAI官方博客

　　量子位出品 | 公众号 QbitAI

　　上周，arXiv上的论文《NO Need to Worry about AdversarialExamples in Object Detection in Autonomous Vehicles》引起了广泛讨论。作者Jiajun Lu等4人在论文中表示，自动驾驶汽车的检测系统可能很难被抗样本干扰，因为它们捕捉到的图像是多尺度、多角度和多视角的。

　　论文地址：

　　https://arxiv.org/abs/1707.03501

　　可能对上述说法有些不服，昨天，OpenAI在官方博客中怒怼这个观点。量子位将OpenAI的“辩词”编译整理，与大家分享。

　　上面这只小猫用标准彩打机打印出后，无论将它怎么样缩放及旋转，仍会被分类器判定为显示屏或台式机。

　　OpenAI希望通过进一步参数调试，去掉任何人眼可见的人工修饰痕迹——

　　开箱即用的对抗样本在图像转换中确实不顶用了。

　　我们对上面这张猫咪图片做了一些小的改动，现在直接用ImageNet训练的Inception v3来分类，会被识别成台式电脑。但只要把它放大1.002倍，分类器将更可能将图片划分到正确标签tabby_cat（虎斑猫）——这就是一种不稳固的对抗样本。

　　然而，我们想通过积极的尝试来找到稳固的对抗样本。因为已经有研究证明，物理世界中也有对抗样本。

　　《物理世界中的对抗样本》论文链接：

　　https://arxiv.org/pdf/1607.02533.pdf

　　尺度不变的对抗样本

　　通过投影梯度下降(Projected gradient descent)算法，可以找到能够欺骗分类器的微小扰动，我们可以通过这种优化方法来创建对抗样本。

　　我们不是为了找到从某个角度能够形成“对抗”的点来优化，而是面向一整套随机分类器，它们会在对输入进行分类前，随机调整它的尺寸。

　　这样优化，我们能够得到缩放不变（Scale-invariant adversarial examples)的，稳固的对抗样本。

　　△一个尺度不变对抗样本

　　即使我们只修正与猫咪对应的像素，也同样可以创造出一张无论怎样缩放都能呈现“对抗”的扰动图像。

　　转换不变的对抗样本

　　通过对训练扰动进行随机旋转、转换、缩放、噪声和平移，我们可以用同样的方法，atv，生成无论怎样转换都呈现“对抗”的输入。

　　以上是一个转换不变对抗样本(transformation-invariant adversarial example)。需要注意的是，这个样本明显比它的尺度不变样本的扰动更大。这也不难理解，直观上说，在转换不变的样本上，小对抗扰动更难察觉。

　　最后声明一下，测试时我们对转换进行了随机抽样，以此证明我们的示例对整个转换的分布是不变的。

　　【完】

　　量子位读者6群开启，对人工智能感兴趣的朋友，欢迎加量子位小助手的微信qbitbot2，申请入群，atv，一起探讨AI。

　　（审核较严，敬请谅解）