[發明專利]一種對抗樣本攻擊的防御方法、裝置及電子設備

有效

• 申請號: 202010610929.1
• 申請日: 2020-06-29
• 公開（公告）號: CN111783085B
• 公開（公告）日: 2023-08-22
• 發明（設計）人: 李卓蓉;封超;吳明暉;顏暉;朱凡微;金蒼宏
• 申請（專利權）人: 浙大城市學院
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06N3/04;G06N3/094
• 代理公司: 杭州求是專利事務所有限公司 33200
• 代理人: 應孔月

1.一種對抗樣本攻擊的防御方法，其特征在于，包括：

獲取原始樣本并進行預處理；

根據深度神經網絡分類模型和預處理后的樣本生成對抗樣本；

輸入原始樣本和對抗樣本，分別獲得原始樣本和對抗樣本基于所述深度神經網絡分類模型的表征；

對原始樣本和對抗樣本的表征進行匹配；

以表征匹配誤差為正則項構建目標函數，實施防御訓練；

對待測樣本進行預處理；

將所述預處理后的待測樣本輸入至防御訓練后的深度神經網絡分類模型中，輸出分類結果；

其中，對原始樣本和對抗樣本的表征進行匹配，包括：

匹配可形式化表示為：

，

其中，表示表征匹配誤差項，j表示預設層，和分別表示原始樣本和對抗樣本在深度神經網絡分類模型的預設層j的表征，是范數取值；

其中，以表征匹配誤差為正則項構建目標函數，包括：

根據下式構建目標函數：

，

其中，表示訓練集服從分布，是深度神經網絡分類模型的損失函數，和分別是表征匹配誤差項L_fm和深度神經網絡分類模型參數的正則項L_norm的權重；L_norm能有效避免深度神經網絡分類模型發生過擬合現象，其公式化表示為：，其中，n表示樣本數量。

2.如權利要求1所述的方法，其特征在于，獲取原始樣本并進行預處理，包括：

利用隨機信號對原始樣本進行翻轉；

對翻轉后的樣本進行縮放；

對縮放后的樣本進行裁剪；

對裁剪后的樣本進行歸一化。

3.如權利要求1所述的方法，其特征在于，根據深度神經網絡分類模型和預處理后的樣本生成對抗樣本，包括：

通過下式，生成對抗樣本：

,

其中，表示對抗樣本，下標t+1和t分別表示第t+1次和第t次迭代，α表示步長，是符號函數，x表示原始樣本，S表示有效的對抗擾動幅值，表示將像素值投影至有效取值范圍的投影算子，是交叉熵損失函數，表示深度神經網絡分類模型的交叉熵損失函數對的每個像素點求負梯度，表示樣本真正類別，表示深度神經網絡分類模型的參數。

4.如權利要求3所述的方法，其特征在于，所述對抗樣本的初始值如下：

,

其中，表示像素值的最大擾動幅值，表示和原始樣本x尺寸相同的、取值范圍在(-1,1)內的隨機向量。

5.如權利要求1所述的方法，其特征在于，所述表征包括原始樣本和對抗樣本在所述深度神經網絡分類模型的預設層的激活特征圖。

6.如權利要求1所述的方法，其特征在于，實施防御訓練，包括：

將所述原始樣本與所述對抗樣本一起作為所述深度神經網絡分類模型的防御訓練數據集；

根據防御訓練數據集，通過最小化目標函數對所述深度神經網絡分類模型進行訓練。

7.如權利要求1所述的方法，其特征在于，對待測樣本進行預處理，包括：

對待測樣本進行歸一化。