Model1 产生对抗样本攻击model2，epsilon=0.1数据集ImageNet_val_5000张图
（一）卷积结构不同的转移性：
|
model2 model1 |
AlexNet |
VGG-13 |
Inception_v3 |
Resnet_50 |
DenseNet121 |
|
AlexNet |
0.4502 |
0.4794 |
0.463 |
0.4588 |
|
|
VGG-13 |
0.412 |
0.4822 |
0.4314 |
0.4302 |
|
|
Inception_v3 |
0.6626 |
0.67 |
0.651 |
0.6406 |
|
|
Resnet_50 |
0.6254 |
0.5876 |
0.6166 |
0.5626 |
|
|
DenseNet121 |
0.667 |
0.633 |
0.4588 |
0.6098 |
预训练模型的结构：
AlexNet：包含8个带权重的层；前5层是卷积层，剩下的3层是全连接层
VGG13：10个卷积层
Resnet50：49个卷积层 1个全局平均池化层
InceptionV3：96个卷积层
Densenet121：4个dense block，第1个有6个dense layer，第2个有12个dense layer，第3个有24个dense layer，第4个有16个dense layer。每个dense layer有2个卷积层。3个transition，每个有1个卷积层 ，共120个卷积层
（二）卷积结构相同的转移性：
|
model2 model1 |
vgg13 |
vgg16 |
vgg19 |
|
vgg13 |
0.3898 |
0.421 |
|
|
vgg16 |
0.3962 |
0.401 |
|
|
vgg19 |
0.4266 |
0.39 |
预训练模型的结构：
VGG13:10个卷积层
VGG16:13个卷积层
VGG19:16个卷积层