[發明專利]基于特征和標簽平滑的多步梯度對抗樣本生成方法及系統

在審

• 申請號: 202310091475.5
• 申請日: 2023-02-03
• 公開（公告）號: CN116306830A
• 公開（公告）日: 2023-06-23
• 發明（設計）人: 汪付強;金星;吳曉明;張鵬;張旭;徐歌星;馬曉鳳;張建強;郝秋赟;劉祥志
• 申請（專利權）人: 山東省計算中心（國家超級計算濟南中心）;齊魯工業大學（山東省科學院）
• 主分類號: G06N3/0475
• 分類號: G06N3/0475;G06N3/045;G06N3/094;G06T5/00;G06V10/34;G06V10/82
• 代理公司: 濟南圣達知識產權代理有限公司 37221
• 代理人: 任歡

1.基于特征和標簽平滑的多步梯度對抗樣本生成方法，其特征在于，包括以下步驟：

步驟一：獲取圖像，對圖像進行預處理，得到被攻擊圖像；

步驟二：設置攻擊參數，基于Grad-CAM++算法提取模型對被攻擊圖像的注意力區域，獲得被攻擊圖像的重要特征區域；

步驟三：引入標簽平滑思想，改進網絡模型的交叉熵損失函數，得到改進后的交叉熵損失函數,以被攻擊圖像為中心，選取被攻擊圖像鄰域內N張圖像，將N張圖像輸入至網絡模型中得到輸出，基于改進后的交叉熵損失函數計算損失函數值，通過損失函數反向傳播，獲得鄰域內N張圖像的損失函數梯度信息；

步驟四：利用正態分布函數對鄰域內N張圖像的損失函數梯度信息進行加權求和，得到多步梯度加權求和后的圖片梯度；

步驟五：基于多步梯度加權求和后的圖片梯度，對被攻擊圖像的重要特征區域生成擾動；

步驟六：對被攻擊圖像添加擾動，生成添加擾動后的圖像；

步驟七：判定添加擾動后的圖像是否攻擊成功或達到最大迭代次數，若攻擊成功或達到最大迭代次數，則生成對抗樣本成功；若否，則將添加擾動后的圖像作為新的被攻擊圖像循環上述步驟三至步驟七。

2.如權利要求1所述的基于特征和標簽平滑的多步梯度對抗樣本生成方法，其特征在于，對圖像進行預處理，具體包括：

將圖像的[0,255]像素范圍，進行歸一化或標準化處理，將像素值控制在[0,1]內，得到被攻擊圖像。

3.如權利要求1所述的基于特征和標簽平滑的多步梯度對抗樣本生成方法，其特征在于，通過標簽平滑，設置γ項改進損失函數，0＜γ＜1，使用q代替原有獨熱one-hot標碼，公式為：

當獨熱編碼為1時q為1-γ，當獨熱編碼為0時q為γ/K-1，K為數據集標簽類別數。

4.如權利要求1所述的基于特征和標簽平滑的多步梯度對抗樣本生成方法，其特征在于，改進后的交叉熵損失函數為：

其中，q為標簽平滑后的標簽編碼，p為softmax后的模型輸出，p(k)為模型預測圖像為k標簽的概率，p(y)為模型預測圖像為真實標簽的概率。

5.如權利要求1所述的基于特征和標簽平滑的多步梯度對抗樣本生成方法，其特征在于，引入動量思想，基于多步梯度加權求和后的圖片梯度，對被攻擊圖像的重要特征區域生成擾動，非定向攻擊的算法公式為：

其中，為標簽平滑后的損失函數J反向傳播所計算圖像的梯度信息,n∈[1,N]。θ為模型的權重參數，不進行更新。q為標簽平滑后的獨熱編碼。g_t為前t輪迭代累積的梯度值，μ是動量項的衰減因子，ε為擾動大小。

6.如權利要求5所述的基于特征和標簽平滑的多步梯度對抗樣本生成方法，其特征在于，在進行定向攻擊時，指定定向攻擊的標簽Y，算法公式為：

7.如權利要求1所述的基于特征和標簽平滑的多步梯度對抗樣本生成方法，其特征在于，判定添加擾動后的圖像是否攻擊成功或達到最大迭代次數，若攻擊成功或達到最大迭代次數，則生成對抗樣本，具體為：

白盒攻擊環境下，生成對抗樣本成功條件為：將添加擾動后的圖像輸入至被攻擊的模型中，得到擾動后的圖像標簽，判定擾動后的圖像標簽不等于被攻擊圖像標簽且總迭代攻擊次數小于等于設定最大迭代次數；

黑盒攻擊環境下，生成對抗樣本條件為：所設定的最大迭代次數結束后輸出對抗樣本。