Что такое PGD атака и чем она сильнее FGSM?

PGD (Projected Gradient Descent) — это метод создания адверсариальных примеров для атак на нейронные сети. Он является итеративным расширением FGSM (Fast Gradient Sign Method).

FGSM — одношаговая атака, которая добавляет к входу шум в направлении знака градиента функции потерь:

[ x_{adv} = x + \epsilon \cdot \text{sign}(\nabla_x J(\theta, x, y)) ]

где ( \epsilon ) — размер шага.

PGD — многократное применение FGSM с проекцией результата обратно в допустимое пространство (например, ограничение по ( L_\infty )-норме), что позволяет более точно и эффективно находить адверсариальные примеры:

1. Инициализация с небольшого случайного шума.
2. Итеративное обновление: [ x_{adv}^{t+1} = \Pi_{\mathcal{B}\epsilon(x)} \left( x{adv}^t + \alpha \cdot \text{sign}(\nabla_x J(\theta, x_{adv}^t, y)) \right) ]

где ( \Pi_{\mathcal{B}_\epsilon(x)} ) — проекция в ( \epsilon )-окрестность исходного примера.

Таким образом, PGD сильнее FGSM, так как:

• Использует несколько шагов, что позволяет найти более эффективные и устойчивые к защите адверсариальные примеры.
• Проекция гарантирует, что атака остается в пределах допустимого и не слишком заметна.

PGD считается одной из самых мощных и универсальных атак в области adversarial machine learning.