摘要
数字领域针对基于深度学习的计算机视觉模型的对抗样本允许对人类眼睛不可察觉的扰动。然而,由于视觉传感系统中不可微分的图像失真函数,在物理世界中产生类似的对抗样本一直很困难。现有的生成物理可实现对抗样本的算法往往通过允许无界扰动来放松对抗样本的定义,从而导致明显甚至奇怪的视觉模式。在这项工作中,我们使用直通估计器(STE,又名BPDA)使对抗样本在物理世界中不可察觉。我们使用STE来克服不可微性——在反向传播步骤的前向过程中应用精确的、不可微分的失真,并在反向过程中使用恒等函数。我们对STE的可微渲染扩展也使得在物理世界中产生不可察觉的对抗补丁成为可能。使用打印照片和CARLA模拟器中的实验,我们表明,尽管存在不可微分的失真,STE 仍然能够快速生成ℓ∞有界的对抗样本。据我们所知,这是第一个在物理世界中展示由小的ℓ∞范数约束的不可察觉对抗样本的工作,这些样本在全局扰动威胁模型中强制零分类精度,并在补丁扰动威胁模型中导致近乎零 (4.22%) 的 AP50 目标检测精度。我们敦促社区重新评估物理世界中对抗样本的威胁。