[發(fā)明專利]一種黑盒攻擊行人重識(shí)別系統(tǒng)的方法

有效

• 申請(qǐng)?zhí)枺?/td>: 202110463342.7
• 申請(qǐng)日: 2021-04-23
• 公開（公告）號(hào): CN113111963B
• 公開（公告）日: 2023-06-02
• 發(fā)明（設(shè)計(jì)）人: 王好謙;陳煒欣
• 申請(qǐng)（專利權(quán)）人: 清華大學(xué)深圳國際研究生院
• 主分類號(hào): G06V40/10
• 分類號(hào): G06V40/10;G06V20/52;G06V10/74;G06V10/774;G06V10/82;G06N3/045;G06N3/048;G06N3/084;G06N3/094
• 代理公司: 深圳新創(chuàng)友知識(shí)產(chǎn)權(quán)代理有限公司 44223
• 代理人: 孟學(xué)英

1.一種黑盒攻擊行人重識(shí)別系統(tǒng)的方法，其特征在于，包括如下步驟：

S1：使用訓(xùn)練數(shù)據(jù)集訓(xùn)練行人重識(shí)別系統(tǒng)；

S2：使用攻擊前的查詢圖像測(cè)試行人重識(shí)別系統(tǒng)；

S3：基于替代模型與目標(biāo)模型之間的可遷移性和對(duì)所述目標(biāo)模型的可查詢性，采用黑盒攻擊對(duì)所述行人重識(shí)別系統(tǒng)產(chǎn)生對(duì)抗樣本，所述對(duì)抗樣本由被攻擊者的所有查詢圖像增加擾動(dòng)產(chǎn)生；

S4：使用攻擊后的查詢圖像測(cè)試行人重識(shí)別系統(tǒng)，其與查詢庫圖像的匹配度下降；

產(chǎn)生所述對(duì)抗樣本包括如下步驟：

訓(xùn)練階段：使用訓(xùn)練數(shù)據(jù)集訓(xùn)練條件生成器生成使被攻擊者被成功攻擊為目標(biāo)行人的擾動(dòng)產(chǎn)生所述對(duì)抗樣本；

測(cè)試階段：使用測(cè)試數(shù)據(jù)集測(cè)試所述對(duì)抗樣本；

所述訓(xùn)練階段包括如下步驟：

T1：將高斯噪聲與目標(biāo)行人的標(biāo)簽輸入到所述條件生成器；

T2：將所述條件生成器生成的擾動(dòng)加到被攻擊者的查詢圖像上，從而產(chǎn)生相應(yīng)的所述對(duì)抗樣本；

T3：將所述對(duì)抗樣本與目標(biāo)行人的查詢庫圖像輸入到行人重識(shí)別替代模型；

T4：根據(jù)所述行人重識(shí)別替代模型所輸出的特征向量計(jì)算所述對(duì)抗樣本與目標(biāo)行人的查詢庫圖像之間的距離；

其中，將所述條件生成器生成的擾動(dòng)修剪后加到被攻擊者的查詢圖像X上，得到相應(yīng)的對(duì)抗樣本X_adv，即：X_adv＝X+δ，其中δ是被修剪后的擾動(dòng)；

選取所述目標(biāo)行人的查詢庫圖像Y，將所述被攻擊者的對(duì)抗樣本X_adv和目標(biāo)行人的查詢庫圖像Y輸入到所述行人重識(shí)別替代模型f_θ，所述行人重識(shí)別替代模型會(huì)輸出被攻擊者的對(duì)抗樣本X_adv和目標(biāo)行人的查詢庫圖像Y的特征向量f_θ(X_adv)，f_θ(Y)，其中，θ表示替代模型的參數(shù)；

使用歐式距離公式，計(jì)算出被攻擊者的對(duì)抗樣本X_adv的特征向量f_θ(X_adv)和目標(biāo)行人的查詢庫圖像Y的特征向量f_θ(Y)之間的距離：

dist(f_θ(X_adv)，f_θ(Y))＝||f_θ(X_adv)-f_θ(Y)||₂

其中，||·||₂表示l₂范數(shù)；

T5：將所述被攻擊者的對(duì)抗樣本X_adv輸入到行人重識(shí)別目標(biāo)模型中，所述行人重識(shí)別目標(biāo)模型會(huì)輸出被攻擊者的排名表，其中，表示替代模型的參數(shù)；

根據(jù)所述被攻擊者的排名表中目標(biāo)行人的排序，給所述距離dist(f_θ(X_adv)，f_θ(Y))加以權(quán)重α，所述權(quán)重是目標(biāo)行人的序號(hào)/查詢庫圖像總數(shù)；

最終的損失函數(shù)L為被攻擊者的對(duì)抗樣本與目標(biāo)行人的查詢庫圖像之間的加權(quán)距離，即：

L＝α·||f_θ(X_adv)-f_θ(Y)||₂

選用Adam優(yōu)化器得到損失函數(shù)L關(guān)于生成器參數(shù)μ的梯度使用反向梯度傳播方法，根據(jù)梯度更新生成器的參數(shù)μ；

重復(fù)以上訓(xùn)練步驟，直至條件生成器能夠生成使被攻擊者被成功攻擊為目標(biāo)行人的擾動(dòng)。

2.如權(quán)利要求1所述的黑盒攻擊行人重識(shí)別系統(tǒng)的方法，其特征在于，所述對(duì)抗樣本是對(duì)所有查詢圖像同時(shí)增加同一擾動(dòng)產(chǎn)生。

3.如權(quán)利要求2所述的黑盒攻擊行人重識(shí)別系統(tǒng)的方法，其特征在于，通過條件生成器產(chǎn)生據(jù)噪聲輸入不同而多樣的擾動(dòng)。

4.如權(quán)利要求3所述的黑盒攻擊行人重識(shí)別系統(tǒng)的方法，其特征在于，所述條件生成器結(jié)構(gòu)包括：9層結(jié)構(gòu)，分別是輸入層，5個(gè)反卷積層，3個(gè)全連接層；其中，反卷積層和前兩層全連接層的輸出要經(jīng)過批量歸一化處理和非線性函數(shù)激活。