[發(fā)明專利]一種面向聯(lián)邦學(xué)習(xí)的對(duì)抗樣本投毒攻擊方法

在審

• 申請(qǐng)?zhí)枺?/td>: 202210276358.1
• 申請(qǐng)日: 2022-03-21
• 公開（公告）號(hào): CN114764499A
• 公開（公告）日: 2022-07-19
• 發(fā)明（設(shè)計(jì)）人: 代曉蕊;王波
• 申請(qǐng)（專利權(quán)）人: 大連理工大學(xué)
• 主分類號(hào): G06F21/55
• 分類號(hào): G06F21/55;G06K9/62
• 代理公司: 大連智高專利事務(wù)所(特殊普通合伙) 21235
• 代理人: 馬慶朝

1.一種面向聯(lián)邦學(xué)習(xí)的對(duì)抗樣本投毒攻擊方法，其特征在于，包括如下步驟：

S1、攻擊者通過給本地私有訓(xùn)練樣本添加一些人眼無法察覺的對(duì)抗擾動(dòng)以生成“有毒”的對(duì)抗樣本，并基于這些樣本進(jìn)行本地訓(xùn)練；

S2、為了主導(dǎo)全局模型的訓(xùn)練過程，攻擊者在本地訓(xùn)練過程中提高訓(xùn)練學(xué)習(xí)率以加速惡意模型參數(shù)的生成；

S3、攻擊者將其本地模型參數(shù)上傳至服務(wù)器端參與聚合以影響全局模型。

2.如權(quán)利要求1所述的面向聯(lián)邦學(xué)習(xí)的對(duì)抗樣本投毒攻擊方法，其特征在于，所述步驟1中，定義如下場景，假設(shè)有m個(gè)參與者參與訓(xùn)練，m＝2，假設(shè)第k個(gè)參與方是攻擊者，聯(lián)邦學(xué)習(xí)系統(tǒng)中，每個(gè)參與方的本地訓(xùn)練看作是一個(gè)傳統(tǒng)的機(jī)器學(xué)習(xí)模型訓(xùn)練過程，攻擊者通過解決以下雙層優(yōu)化問題訓(xùn)練得到惡意本地模型參數(shù)，實(shí)現(xiàn)針對(duì)聯(lián)邦學(xué)習(xí)系統(tǒng)的投毒攻擊：

其中，x_i和y_i分別表示D_k中的每個(gè)訓(xùn)練樣本和對(duì)應(yīng)的標(biāo)簽，x＝{x_i}是所有訓(xùn)練樣本的集合，y＝{y_i}是標(biāo)簽集合，為攻擊者選取符合擾動(dòng)限制條件的可選噪聲集合，對(duì)D_k中每個(gè)樣本x_i添加的擾動(dòng)δ_i，限制擾動(dòng)||δ_i||_∞≤ε，ε為擾動(dòng)上限.δ＝{δ_i}為給所有訓(xùn)練樣本添加的擾動(dòng)集合，η為惡意參與方的本地訓(xùn)練學(xué)習(xí)率，為損失函數(shù)，θ為模型參數(shù)，對(duì)于每個(gè)δ，都會(huì)有一個(gè)對(duì)應(yīng)的在“有毒”的對(duì)抗樣本下訓(xùn)練得到的最優(yōu)模型參數(shù)θ(δ)，攻擊者的目標(biāo)是在集合中找到一組最優(yōu)的擾動(dòng)集合δ使得其對(duì)應(yīng)的最優(yōu)分類器F(θ(δ))在D_k的樣本空間分布上的泛化性能盡可能差。

3.如權(quán)利要求2所述的面向聯(lián)邦學(xué)習(xí)的投毒攻擊方法，其特征在于，所述步驟1中，通過以下過程實(shí)現(xiàn)針對(duì)聯(lián)邦學(xué)習(xí)的對(duì)抗樣本投毒攻擊：

首先，用原始干凈樣本進(jìn)行模型訓(xùn)練，該模型用于生成對(duì)抗樣本，在對(duì)抗樣本生成的過程中模型參數(shù)固定不變，

基于上述固定的訓(xùn)練好的模型，生成對(duì)抗樣本作為“有毒”的訓(xùn)練樣本，使用經(jīng)典的對(duì)抗樣本生成方法PGD生成“有毒”的對(duì)抗樣本，在生成對(duì)抗樣本之前引入初始化噪聲以打亂原始圖像的分布，然后進(jìn)行多步梯度更新以生成對(duì)抗樣本，以下優(yōu)化分別是以無目標(biāo)攻擊和有目標(biāo)攻擊方式生成對(duì)抗樣本，

其中，表示經(jīng)過t迭代攻擊后生成的樣本，α表示單步擾動(dòng)程度，表示在ε-ball球上的投影，即當(dāng)擾動(dòng)幅度過大時(shí)就會(huì)將其限制在球內(nèi)，

其中，g(y_i)是目標(biāo)標(biāo)簽生成函數(shù),g(y_i)的選擇不是固定的，根據(jù)樣本、模型和聯(lián)邦學(xué)習(xí)數(shù)據(jù)分布有所不同，實(shí)驗(yàn)中定義g(y_i)＝y(tǒng)_i+1，

惡意參與方使用對(duì)抗樣本進(jìn)行本地訓(xùn)練,得到惡意的本地模型參數(shù)，將該參數(shù)上傳至服務(wù)器端參與聚合實(shí)現(xiàn)對(duì)全局模型的攻擊，

其中，為對(duì)抗樣本集。

4.如權(quán)利要求2所述的面向聯(lián)邦學(xué)習(xí)的對(duì)抗樣本投毒攻擊方法，其特征在于，所述步驟2中，采用學(xué)習(xí)率放大的思想，在本地訓(xùn)練過程中惡意提高本地訓(xùn)練的學(xué)習(xí)率，以加速梯度下降，促進(jìn)本地惡意模型參數(shù)快速地生成，從而在每輪聚合過程中向服務(wù)器端提交更強(qiáng)的“毒藥”，在每輪聚合過程中讓全局模型更加依賴惡意參與方的本地模型；

其中，γ為惡意參與方本地訓(xùn)練學(xué)習(xí)率放大因子。