你真的懂对抗样本吗？一文重新思考对抗样本背后的含义( 五 )_选自towardsdatascience作者：AlexAdam

在 L-∞距离约束下的均值图像

将原始图像和精心扰动的图像之间的 L-∞距离限制到ε，但是任意一个人类观察者都能轻易地发现两张图之间的区别，如下图所示：

图4/5

与原始图像的 L-∞距离在ε=0.3 之内精心制作的扰动图像

很明显，最右边的图像有一些不足。事实上，如果没有被告知这是一张数字 0 和数字 1 图片的组合，有的人可能会说它只是一个抽象的符号。因此，用这样一个简单的例子，我们已经表明 ε=0.3 违反了条件 (1)。即使给一个更小的值，比如ε=0.2，也会得到类似的结果。MNIST 让我们轻易地识别出扰动的像素。在许多情况下，通过简单检查背景像素是否修改来为对抗样本创建检测机制是微不足道的。如果攻击者知道了这种检测机制，就能够绕过它。那我们要如何选择ε呢？

这里给出一个对每张图片并不使用相同ε的例子。对于一些类别，数字本身围成的框内是否发生了像素的变化更容易被发现，就像上图中的 0 那样。对于这种类别，ε应该设置成一个更小的值。