[發明專利]基于代理模型的對抗樣本生成方法和裝置

有效

• 申請號: 202110000718.0
• 申請日: 2021-01-04
• 公開（公告）號: CN112329929B
• 公開（公告）日: 2021-04-13
• 發明（設計）人: 蕭子豪;田天
• 申請（專利權）人: 北京智源人工智能研究院
• 主分類號: G06N3/04
• 分類號: G06N3/04;G06N3/08;G06K9/62
• 代理公司: 北京箴思知識產權代理有限公司 11913
• 代理人: 李春暉

1.一種基于代理模型的對抗樣本生成方法，包括：

提供基于卷積神經網絡構建的白盒模型、原始樣本和一基于迭代的對抗攻擊算法,其中，所述白盒模型中設置多個批歸一化層，所述多個批歸一化層均分別連接在多個非批歸一化層之后，所述非批歸一化層為卷積層、池化層和全連接層中的一種；

基于所述白盒模型、所述原始樣本和所述基于迭代的對抗攻擊算法迭代生成對抗樣本，直到達到預設終止條件；

在每個迭代輪次中：

獲取上一輪次迭代生成對抗樣本時，所述白盒模型中的各個批歸一化層的斜率系數；

將各個批歸一化層的斜率系數作為對應的批歸一化層之前設置的非批歸一化層的重要性分數，所述重要性分數用于表示相應輪次中白盒模型的對應非批歸一化層對所述白盒模型處理輸入樣本時的影響程度；

根據預設規則以及所述白盒模型的各個非批歸一化層的重要性分數剪除所述白盒模型的部分層級；

更新剪除部分層級后的白盒模型；

將達到預設終止條件時生成的對抗樣本作為最終的對抗樣本以對其他模型進行遷移攻擊；

其中，各個樣本的樣本類型均為圖像樣本。

2.如權利要求1所述的基于代理模型的對抗樣本生成方法，其中，將各個批歸一化層的斜率系數的絕對值作為對應的批歸一化層之前設置的非批歸一化層的重要性分數。

3.如權利要求2所述的基于代理模型的對抗樣本生成方法，其中，根據預設規則以及所述白盒模型的各個非批歸一化層的重要性分數剪除所述白盒模型的部分層級，包括：

基于各個非批歸一化層的重要性分數，按照從高到低的順序進行排序；

根據預設剪枝率對排序在后的部分非批歸一化層進行剪除，且對應剪除白盒模型中所述排序在后的部分非批歸一化層之后直接連接的各個批歸一化層。

4.如權利要求2所述的基于代理模型的對抗樣本生成方法，其中，根據預設規則以及所述白盒模型的各個非批歸一化層的重要性分數剪除所述白盒模型的部分層級：

將重要性分數低于預設閾值的部分非批歸一化層進行剪除，且對應剪除白盒模型中所述重要性分數低于預設閾值的部分非批歸一化層之后直接連接的各個批歸一化層。

5.如權利要求1-4中任一項所述的基于代理模型的對抗樣本生成方法，其中，僅剪部分除卷積層及所述卷積層后連接的批歸一化層；或

所述多個批歸一化層均分別連接在多個卷積層之后；或

僅計算各個卷積層的重要性分數，以剪除部分卷積層及所述卷積層后連接的批歸一化層。

6.如權利要求1-4中任一項所述的基于代理模型的對抗樣本生成方法，其中，通過將應剪除層級內的參數數值設為0的方式將所述白盒模型的部分層級剪除。

7.如權利要求6所述的基于代理模型的對抗樣本生成方法，其中，所述基于迭代的對抗攻擊算法包括動量迭代式對抗攻擊算法；

在第i輪迭代時，通過以下方式生成對抗樣本：

其中，表示第i輪更新得到的動量，表示動量衰減速度，表示代理模型的損失函數計算得到的損失結果關于第i-1輪生成的對抗樣本的梯度，表示L1范數，y表示所對應的原始樣本X的類別，表示將修改中的對抗樣本投影到距離原始樣本X不超過?的范圍內，其中α是超參數。