实验验证：DDN攻击在MNIST和CIFAR-10上的成功率相似

1. 实验环境

实验通过连接远程服务器在本地控制运行，具体配置如表4 − 1 − 3 所示：

表4−1−3　实验环境配置

使用MobaXterm 远程连接服务器，通过用户名、密码登录，如图4 − 1 − 4所示。

图4−1−4　登录远程服务器

登录成功后，显示如图4 − 1 − 5 所示的远程服务器命令行界面，即可进行命令行操作。

图4−1−5　远程服务器命令行界面

接下来，可通过命令行来安装包括Anaconda、CUDA 等在内的包，以配置所需的服务器环境。在开发环境搭建完毕之后，还需要配置本地主机的集成开发环境（IDE）。在此，下载PyCharm 的Pro 版本，因为后续步骤需要进行远程连接服务器。

首先，连接远程解释器（Python 3），如图 4 − 1 − 6 所示。

图4−1−6　连接远程解释器

然后，配置远程文件路径同步，并通过Mappings 映射到远程服务器的指定文件夹下，便于操作，如图4 − 1 − 7 所示。(www.xing528.com)

图4−1−7　配置远程文件

至此，实验环境配置完成，可以进行实验。

2. 攻击效果

表 4 − 1 − 4 所示为攻击算法 DDN、C&W 和 DeepFool 在数据集MNIST、CIFAR − 10 和 ImageNet 上进行非目标攻击的比较结果。对于MNIST 和 CIFAR − 10，DDN 的实验结果与生成对抗样本的最新技术相比具有相近的攻击成功率。此外，在同样被限制在只有100 次迭代的情况下，与C&W、DeepFool 相比较，DDN 能够保持更低的L2 范数结果，尽管运行时间稍长于短迭代情况下的C&W 攻击，但其迭代次数少、运行速度足够快，能够弥补这一不足。而且，我们能够很直观地从表4 − 1 − 4 中看出，在高迭代次数情况下，C&W（9 × 10 000）攻击运行时间远远长于DDN（1 000）攻击，并且得到的攻击效果是相近的。在 ImageNet 上的攻击结果显示，DDN 展现出了更好的攻击效果，在三种迭代策略下，都保持了低于C&W（9 × 10 000）和DeepFool（100）下的L2 范数结果，达到了实验预设的目标——保持较低的L2 范数。

表4−1−4　攻击算法 DDN、C&W 和 DeepFool 在数据集 MNIST、CIFAR−10 和ImageNet 进行非目标攻击的结果比较

表 4 − 1 − 5～表 4 − 1 − 7 所示为攻击算法 DDN 与 C&W 在数据集MNIST、CIFAR − 10 和 ImageNet 上进行目标攻击的比较结果。在数据集MNIST 和CIFAR − 10 上，当控制迭代次数限制在100 次以内时，DDN展现了更加优秀的攻击效果。在ImageNet 数据集上，当DDN 限制迭代次数为 100 下的情况时，DDN 展现了远远优于 C&W 的效果。当迭代次数限制在100 次以内时，我们可以很明显地观察到C&W 对于所涉及的三种数据集的攻击成功率都出现了一定程度上的下降，尤其在选择最小可能分类攻击时，下降幅度甚至超过了20%。

表4−1−5　攻击算法 DDN 与 C&W 在数据集 MNIST 上进行目标攻击的结果比较

表4−1−6　攻击算法 DDN 与 C&W 在数据集 CIFAR−10 上进行目标攻击的结果比较

表4−1−7　攻击算法 DDN 与 C&W 在数据集 ImageNet 上进行目标攻击的结果比较