[發明專利]一種面向機器學習對抗攻擊的防御方法

有效

• 申請號: 202310824958.1
• 申請日: 2023-07-06
• 公開（公告）號: CN116543240B
• 公開（公告）日: 2023-09-19
• 發明（設計）人: 王琛;陳健;高源;吳婧堯;胡弘昌;彭凱
• 申請（專利權）人: 華中科技大學
• 主分類號: G06V10/764
• 分類號: G06V10/764;G06V10/774;G06F17/11;G06N20/00;G06F21/55
• 代理公司: 華中科技大學專利中心 42201
• 代理人: 王穎翀

1.一種面向機器學習對抗攻擊的防御方法，應用于自動駕駛領域，其特征在于，包括：

訓練階段：

將訓練樣本及其條件信息輸入至擴散模型得到去噪樣本，以最小化將所述去噪樣本輸入至認證器得到的輸出結果與所述條件信息之間的差異為目標，對所述擴散模型進行訓練；

其中，所述擴散模型在注意力機制的監督下對所述訓練樣本逐步添加噪聲再依次去除，且噪聲去除在所述條件信息的指導下進行；其中，在擴散模型中添加了注意力機制，在擴散模型的每個時刻都對應一個注意力機制，同時，每個注意力機制相互關聯；注意力機制自適應地學習對抗樣本的各部分權重，重點處理樣本的重要特征并且抑制次要特征；

所述訓練樣本及其條件信息分別為未受到對抗攻擊的交通標志圖像及其真實分類標簽，所述認證器用于預測圖像的分類標簽；或，所述訓練樣本及其條件信息分別為未受到對抗攻擊的雷達信號及其回歸值，所述認證器用于進行回歸預測；

應用階段：

將待防御的對抗樣本及其條件信息輸入至訓練好的擴散模型，得到對應的去噪樣本；

其中，所述待防御的對抗樣本為受到對抗攻擊的交通標志圖像，其條件信息為所述交通標志圖像未受到對抗攻擊時的真實分類標簽；或，所述待防御的對抗樣本為受到對抗攻擊的雷達信號，其條件信息為所述雷達信號未受到對抗攻擊時的回歸值；

在所述訓練階段，以所述擴散模型的損失函數及所述認證器的損失函數之和作為總損失函數；

所述擴散模型的損失函數其中，為期望，F為抽樣噪聲，t為時間步長，x₀為初始待防御的對抗樣本，λ_i為每個時刻的方差參數，c為條件信息，F_θ(·)為擴散模型；

所述擴散模型的條件信息指導公式表示為：其中，F_θ(x_t，c)是添加條件信息的擴散模型，p(c|x_t)表示附加分類器，是對應的指導輸出，s為指導尺度且s0。

2.如權利要求1所述的方法，其特征在于，當所述訓練樣本為未受到對抗攻擊的交通標志圖像時，所述擴散模型基于U-Net網絡構建，所述認證器基于深度神經網絡構建。

3.如權利要求1所述的方法，其特征在于，當所述訓練樣本為未受到對抗攻擊的雷達信號時，所述擴散模型基于帶回歸層的U-Net網絡構建，所述認證器基于回歸模型構建。

4.如權利要求1所述的方法，其特征在于，所述方法還包括：將所述待防御的對抗樣本及其條件信息輸入至訓練好的擴散模型得到的對應的去噪樣本，輸入至驗證器，若所述驗證器的輸出與所述待防御的對抗樣本的條件信息一致，則成功防御，否則防御失敗。

5.一種面向機器學習對抗攻擊的防御系統，應用于自動駕駛領域系統，其特征在于，包括：計算機可讀存儲介質和處理器；

所述計算機可讀存儲介質用于存儲可執行指令；

所述處理器用于讀取所述計算機可讀存儲介質中存儲的可執行指令，執行如權利要求1-4任一項所述的方法。

6.一種計算機可讀存儲介質，其特征在于，所述計算機可讀存儲介質存儲有計算機指令，所述計算機指令用于使處理器執行如權利要求1-4任一項所述的方法。