安妮 编译自 OpenAI官方博客
量子位出品 | 公众号 QbitAI

上周，arXiv上的论文《NO Need to Worry about AdversarialExamples in Object Detection in Autonomous Vehicles》引起了广泛讨论。作者Jiajun Lu等4人在论文中表示，自动驾驶汽车的检测系统可能很难被抗样本干扰，因为它们捕捉到的图像是多尺度、多角度和多视角的。

论文地址：

https://arxiv.org/abs/1707.03501

如果你还不了解对抗样本，可以阅读量子位的两篇旧文：

想骗过人脸识别？一块钱就够了（附送几组骗AI的方法+论文）

可能对上述说法有些不服，昨天，OpenAI在官方博客中怒怼这个观点。量子位将OpenAI的“辩词”编译整理，与大家分享。

上面这只小猫用标准彩打机打印出后，无论将它怎么样缩放及旋转，仍会被分类器判定为显示屏或台式机。

OpenAI希望通过进一步参数调试，去掉任何人眼可见的人工修饰痕迹——

开箱即用的对抗样本在图像转换中确实不顶用了。

我们对上面这张猫咪图片做了一些小的改动，现在直接用ImageNet训练的Inception v3来分类，会被识别成台式电脑。但只要把它放大1.002倍，分类器将更可能将图片划分到正确标签tabby_cat（虎斑猫）——这就是一种不稳固的对抗样本。

然而，我们想通过积极的尝试来找到稳固的对抗样本。因为已经有研究证明，物理世界中也有对抗样本。

《物理世界中的对抗样本》论文链接：

https://arxiv.org/pdf/1607.02533.pdf

尺度不变的对抗样本

通过投影梯度下降(Projected gradient descent)算法，可以找到能够欺骗分类器的微小扰动，我们可以通过这种优化方法来创建对抗样本。

我们不是为了找到从某个角度能够形成“对抗”的点来优化，而是面向一整套随机分类器，它们会在对输入进行分类前，随机调整它的尺寸。

这样优化，我们能够得到缩放不变（Scale-invariant adversarial examples)的，稳固的对抗样本。