关于

对应 Nicholas Carlini 和 David Wagner 在 2017 年 IEEE 安全与隐私研讨会上发表的论文《迈向神经网络鲁棒性评估》的代码实现。

在 TensorFlow 中实现了三种攻击算法。该代码可在 Python 3 上正确运行（在 Python 2 上也可能无需太多修改即可运行）。

要评估神经网络的鲁棒性，需创建一个包含 predict 方法的模型类，该方法将运行预测网络，但不使用 softmax 激活函数。模型应具有以下变量：

• model.image_size: 图像尺寸（例如，MNIST 为 28，CIFAR 为 32）
• model.num_channels: 灰度图像为 1，彩色图像为 3
• model.num_labels: 有效标签的总数（例如，MNIST/CIFAR 为 10）

运行攻击

from robust_attacks import CarliniL2
CarliniL2(sess, model).attack(inputs, targets)

其中，inputs 是一个 (batch x height x width x channels) 张量，targets 是一个 (batch x classes) 张量。L2 攻击支持 batch_size 参数，以便并行执行攻击。每种攻击都有许多可调超参数，这些参数都比较直观：它们在一个方向上会显著提升攻击效果，而在另一个方向则会提高效率。

先决条件

在大多数基于 Linux 的系统上，按照以下步骤操作即可成功运行这些攻击。

sudo apt-get install python3-pip
sudo pip3 install --upgrade pip
sudo pip3 install pillow scipy numpy tensorflow-gpu keras h5py

创建 MNIST/CIFAR 模型：

python3 train_models.py

下载 Inception 模型：

python3 setup_inception.py

最后测试攻击：

python3 test_attack.py

本代码采用 BSD 2-Clause 许可证，版权归属 Nicholas Carlini，2016 年。

nn_robust_attacks 快速上手指南

本工具是论文《Towards Evaluating the Robustness of Neural Networks》的官方实现，提供了基于 TensorFlow 的三种神经网络对抗攻击算法（如 Carlini & Wagner L2 攻击），用于评估模型的鲁棒性。

环境准备

• 操作系统：推荐 Linux 系统
• Python 版本：Python 3（兼容 Python 2）
• 核心依赖：TensorFlow (GPU 版本推荐)、Keras、NumPy、SciPy、Pillow、h5py

国内加速建议：在安装 Python 依赖时，建议使用清华或阿里云镜像源以提升下载速度。

安装步骤

1. 安装 pip 并升级至最新版本：

sudo apt-get install python3-pip
sudo pip3 install --upgrade pip

2. 安装所需 Python 库（推荐使用国内镜像源）：

sudo pip3 install -i https://pypi.tuna.tsinghua.edu.cn/simple pillow scipy numpy tensorflow-gpu keras h5py

3. （可选）训练 MNIST/CIFAR 测试模型：

python3 train_models.py

4. （可选）下载 Inception 模型：

python3 setup_inception.py

5. 运行测试脚本验证安装：

python3 test_attack.py

基本使用

要发起攻击，首先需定义一个模型类，该类包含 predict 方法（输出不含 softmax 的 logits），并设置以下属性：

• model.image_size：图像尺寸（如 MNIST 为 28，CIFAR 为 32）
• model.num_channels：通道数（灰度图为 1，彩色图为 3）
• model.num_labels：类别总数（如 MNIST/CIFAR 为 10）

最简单的 Carlini L2 攻击调用示例如下：

from robust_attacks import CarliniL2
CarliniL2(sess, model).attack(inputs, targets)

其中：

• inputs：形状为 (batch x height x width x channels) 的输入张量
• targets：形状为 (batch x classes) 的目标标签张量

该攻击支持 batch_size 参数以并行处理批量数据，且提供多个可调节的超参数以平衡攻击成功率与效率。