当今城市中监控摄像头无处不在。据介绍，2015年，北京建成了由3万多个监控探头组成的立体防控网络，覆盖城市街道所有重点部位。这些探头在交通管理、公共安全、环境保护等各个方面发挥着越来越重要的作用。

近年来，卷积神经网络（CNN）模型在学术界开始流行。许多这些技术的应用，特别是监视探测器的物体识别，也已经进入我们的日常生活。

然而CNN模型的缺点也非常明显。

首先，我们目前还无法彻底解释它实现图像识别的机制。 CNN模型的结构通常非常复杂。在训练过程中，模型不断识别不同类型的图像并独立调整数百万个参数的值，最终达到极高的识别精度。

这就像一个“黑匣子”。我们只知道如果放入图像，我们可以得到它的类别名称，但我们无法看到或理解框中的过程。更重要的是，由于训练数据中没有专门设计用来迷惑识别器的图像（例如在衣服上打印特殊图案），因此识别器几乎完全无法容忍异常变化。

Ian Goodfellow 领导的团队曾经进行过这样的实验。在对图像中单个像素的值进行一些人眼无法察觉的细微修改后，CNN模型完全失去了识别精度。俗话说，即使数据只是“差一毫”，CNN识别器的效果也会“差一千里”。

鲁汶大学副教授Toon Goedem 领导的团队利用了CNN 模型的这些“弱点”。发明了一种严格的方法来生成可以迷惑CNN 的“对抗模式”。通过用图案遮挡人体的某个部位，监控探头就无法探测到此人的存在。

实验中，Toon Goedem 和他的团队使用著名的YOLOv2 卷积神经网络对相机进行“迷惑”。 YOLOv2是一个实时物体识别模型。其结构由9个不同大小的卷积层组成。当图像从输入层进入YOLOv2时，在输出层会得到一系列向量。向量中记录的是以原始图像上每个位置为中心的5个不同大小的检测框中存在检测目标的概率。他们将这些概率的最大值计算为L_obj。

为了生成能够迷惑YOLOv2的“对抗模式”，首先需要有一个能够准确识别人的YOLOv2模型，并随机生成一个初始的“对抗模式”。然后，使用YOLOv2模型来选择每个训练图像中的人体。然后用现有的“对抗图案”覆盖人体识别出的部分。最后，将覆盖的训练图像再次送回模型进行识别，并计算相应的优化目标值L。然后使用反向传播和Adam 算法相应地调整“对抗模式”上的像素值。不断重复覆盖识别和调整像素值的过程，不断减小目标值L，直到得到最优的“对抗模式”。

整个过程中，YOLOv2模型的参数值没有发生任何变化。它只是用来改进“对抗模式”。

为了生成最佳的“对抗模式”，研究人员比较了优化目标L的不同计算方法。其中，最小化对象性得分（OBJ）方法取得了最令人满意的结果。在OBJ方法下，L被定义为L_obj、L_nps和L_tv的加权平均值。其中，L_obj是检测框中存在检测目标的最大概率，L_nps表示“反图案”的打印难度，L_tv衡量其像素之间的变化程度（为了让图片看起来柔软的）。

获得最佳“对抗模式”后，研究团队将其打印出来。随后专门制作了一段演示视频，展示其在现实中“迷惑”YOLOv2模型的能力。