雷锋网 (大众号：雷锋网) AI 科技评论：这是一名 MIT CS 在读博士生在推特上引发的争论。

谷歌大脑担任人 Jeff Dean 日前在推特上转了一篇名字为 Anish Athalye 的推文，立即惹起了整个机器学习学术圈的关注，被誉为「GANs 之父」的 Ian Goodfellow 也接连跟帖回复。

Anish Athalye：我们研讨了 ICLR 论文，后果并不令人称心

究竟是什么言论惊扰了众多 AI 界大牛，我们先来看看这篇推文：

进攻对立样本依然是一个尚未处理的成绩，三天前发布的 ICLR 接纳论文里，八篇关于进攻论文里曾经有七篇被我们攻破。（只要「aleks_madry」等人的论文中提到的办法在攻击中精确率坚持了 47%，没有被攻破）

Anish Athalye 也贴出了本人的 GitHub 地址， https://github.com/anishathalye/obfuscated-gradients   ，其中有详细的阐明。

雷锋网发如今他的 GitHub 中展现了一个对立样本的例子，对一只猫的图像参加细微的搅扰就可以使分类器 Inceptionv3 判别错误，将猫头像错以为为「果酱」。他称这样的「诈骗性图像」很容易运用梯度下降法生成。

依据 GitHub 中的引见，Anish Athalye 等人近期的论文《Obfuscated Gradients Give a False Sense of Security: Circumventing Defenses to Adversarial Examples》（ https://arxiv.org/abs/1802.00420  ）研讨了 ICLR 2018 收录的八篇关于进攻的论文中的进攻对立样本的鲁棒性，发现其中有七种进攻鲁棒性都很无限，可以经过改良的攻击技术攻破。

上面是论文中的一个表格，展现了多种对立性样本进攻办法在攻击下的鲁棒性。（加 * 表示的这些进攻办法建议结合对立性训练运用）

依据 Anish Athalye 等人的研讨，八篇论文中独一一篇明显进步对立样本进攻的鲁棒性的论文是：《Towards Deep Learning Models Resistant to Adversarial Attacks》(即上述表格中的精确率 47% 那篇）。除了运用要挟模型以外，没有方法攻破这种进攻。即使如此，这种进攻办法也是难以扩展到 ImageNet 规模的。其他的七篇论文无论是有意还是有意都在依赖于「混杂梯度」。普通的攻击应用梯度下降法使给定图像网络损失最大化，从而在神经网路上发生对立样本，这种优化办法需求有用的梯度信号才干成功。基于混杂梯度的进攻会毁坏这种梯度信号，并招致优化办法生效。

Anish Athalye 等人定义了三种基于混杂梯度的进攻方式，并构建了绕过每一种攻击的办法。新的攻击办法适用于任何有意的、有意的、包括不可微分操作或以其他方式避免梯度信号流经网络的任何进攻。研讨员们希望用此办法停止更彻底的平安评价。

《Towards Deep Learning Models Resistant to Adversarial Attacks》

论文摘要

我们认识到「混杂梯度」给进攻对立样本带来的是一种虚伪的平安感景象，虽然基于混杂梯度的进攻可以打败基于优化的攻击，但我们发现依托这种效果的进攻依然可以被攻破。

关于我们发现的三种混杂梯度类型中的每一种，我们都会描绘展现这种效果的进攻目标，并开发攻击技术来攻破它。在样本研讨中，我们实验了 ICLR 2018 接纳的一切进攻措施。我们发现混杂梯度是罕见景象随着中国经济向消费型模式的转型， 电子商务和移动电子商务的快速发展带来了支付行业强劲的增长。，其中 8 个进攻中的 7 个依托混杂梯度。运用我们新的攻击技术，成功攻破了 7 个。

论文地址 ： https://arxiv.org/abs/1802.00420  

Ian Goodfellow：你们其实只研讨了一局部论文

Jeff Dean 转发后，很快惹起了整个机器学习学术圈的留意。难道这是在质疑 ICLR 2018 收录的论文质量很水吗？由于 Anish 的表态次要是针对对立性样本的进攻成绩，很快便吸引了 GANs 的创造者、以及临时研讨对立性样本的 Ian Goodfellow 围观，并在推特评论区接连跟帖回应。

Goodfellow 回应称，ICLR 2018实践上至多收录有11篇关于进攻的论文，其他三篇没有提到，却说只要Madry一篇中提到的办法没有被攻破，这是不公道的。  

Goodfellow：ICRL 实践上至多有 11 移动互联网在带来全新社交体验的同时，也或多或少使人们产生了依赖。移动互联网使网络、智能终端、数字技术等新技术得到整合，建立了新的产业生态链，催生全新文化产业形态。篇进攻论文，而不是 8 篇。（另外三篇里，）实践上有 2 篇已被证明可进攻，还有 1 篇他们没有研讨。他们（论文的作者）应该说「一切未经认证的白盒进攻」而不是「全部进攻」。

另外，Goodfellow 以为这篇论文中提出的「混杂梯度」几乎就像是给「梯度掩码」换了个名字而已。为了让大家对「梯度掩码」的概念愈加理解，Goodfellow 还引荐了相关文献。

与此同时，Goodfellow 还丢出了一篇 ICLR 2018 论文（Goodfellow 是作者之一），称曾经专门处理了梯度解码的成绩了。论文标题： Ensemble Adversarial Training: Attacks and Defenses

论文地址 ： https://arxiv.org/pdf/1705.07204.pdf  

不过这一观念截至目前暂未被收回这条震惊学术圈推文的 Anish Athalye 所供认。

雷锋网报道

。