Co je to útok PGD a čím je silnější než FGSM?

PGD (Projected Gradient Descent) je metoda pro tvorbu adversariálních příkladů pro útoky na neuronové sítě. Je to iterativní rozšíření FGSM (Fast Gradient Sign Method).

FGSM je jednorázový útok, který přidává šum k vstupu ve směru znaménka gradientu ztrátové funkce:

[ x_{adv} = x + \epsilon \cdot \text{sign}(\nabla_x J(\theta, x, y)) ]

kde ( \epsilon ) je velikost kroku.

PGD aplikuje FGSM několikrát s projekcí výsledku zpět do povoleného prostoru (například omezení podle ( L_\infty )-normy), což umožňuje přesnější a efektivnější nalezení adversariálních příkladů:

1. Inicializace s malým náhodným šumem.
2. Iterativní aktualizace: [ x_{adv}^{t+1} = \Pi_{\mathcal{B}\epsilon(x)} \left( x{adv}^t + \alpha \cdot \text{sign}(\nabla_x J(\theta, x_{adv}^t, y)) \right) ]

kde ( \Pi_{\mathcal{B}_\epsilon(x)} ) je projekce v okolí ( \epsilon ) původního příkladu.

Proto je PGD silnější než FGSM, protože:

• Používá několik kroků, což umožňuje najít efektivnější a odolnější adversariální příklady.
• Projekce zajišťuje, že útok zůstává v povolených mezích a není příliš nápadný.

PGD je považován za jeden z nejmocnějších a nejuniverzálnějších útoků v oblasti adversarial machine learning.