On the Adversarial Robustness of Learning-based Image Compression Against Rate-Distortion Attacks

尽管表现出卓越的速率-失真（RD）性能，但最近的研究发现，基于学习的图像压缩（LIC）算法容易受到恶意扰动的攻击。然而，现有文献中考虑的对抗性攻击与现实场景仍有差距，无论是攻击方向还是比特率方面。此外，现有方法仅关注模型易受攻击的经验观察，忽略了其根源。这些限制阻碍了对LIC算法对抗鲁棒性的全面调查和深入理解。为了解决上述问题，本文考虑攻击方向的任意性和面临的不可控压缩比率，并提出了两种实用的速率-失真攻击范式，即特定比率速率-失真攻击（SRDA）和不可知比率速率-失真攻击（ARDA）。通过使用性能变化作为指标，我们评估了八种主要的LIC算法对不同攻击的对抗鲁棒性。此外，我们提出了两种新的分析工具，即熵因果干预和层间距离放大比率，并揭示了超先验显着增加比特率，而逆广义除法归一化（IGDN）在受攻击时显着放大输入扰动。最后，我们检查了对抗训练的功效，并介绍了在线更新用于防御。通过比较它们的优缺点，我们为构建更强大的LIC算法提供了参考。

本论文旨在解决学习型图像压缩算法在面对恶意扰动时的鲁棒性问题。现有的研究存在攻击方向和比特率与实际情况不符的问题，同时忽略了模型漏洞的本质。

本论文提出了两种实用的率失真攻击范式，即特定比率率失真攻击（SRDA）和无偏比率率失真攻击（ARDA），以解决攻击方向和比特率的任意性。本文使用性能变化作为指标，评估了八种主要的学习型图像压缩算法在不同攻击下的鲁棒性，并提出了两种新的分析工具，即熵因果干预和层间距离放大比，揭示了超先验在受到攻击时显著增加比特率，而反向广义除法归一化（IGDN）在受到攻击时显著放大输入扰动。最后，本文考察了对抗训练的有效性，并引入了在线更新的防御方法。

本文的亮点包括提出两种实用的率失真攻击范式，使用性能变化作为指标评估了八种主要的学习型图像压缩算法在不同攻击下的鲁棒性，并提出了两种新的分析工具，即熵因果干预和层间距离放大比，揭示了超先验在受到攻击时显著增加比特率，而反向广义除法归一化（IGDN）在受到攻击时显著放大输入扰动。本文的实验使用了多个数据集，但没有开源代码。本文的工作为构建更加鲁棒的学习型图像压缩算法提供了参考。

最近在这个领域中，还有一些相关的研究被进行，例如：“Deep Learning for Image Compression: A Survey”和“Learning-based Image Compression: Past, Present, and Future”。