[发明专利]一种基于生成网络的稀疏对抗样本生成方法

说明书

一种基于生成网络的稀疏对抗样本生成方法，涉及对抗样本、深度神经网络。针对传统稀疏对抗样本需要多次迭代从而生成速度慢的缺点，考虑通过一次网络前向过程生成对抗样本，同时将对抗样本生成与稀疏约束解耦，提供一种基于生成网络的稀疏对抗样本生成方法。包括以下步骤：1)构造一种基于稀疏约束的对抗样本，仅改变少数的像素点像素值，使得图片被对应模型分类错误；2)生成模型采用双路U‑Net网络模型，分离对抗样本生成部分与稀疏约束部分；3)采用新的量化误差函数，减少训练与测试过程中稀疏掩码的量化差异；4)生成的稀疏掩码有潜在语义含义，可以在多个模型之前迁移。

技术领域

本发明涉及对抗样本、深度神经网络，具体是涉及一种基于生成网络的稀疏对抗样本生成方法。

背景技术

近年来，随着硬件GPU快速发展及大数据时代的来临，深度学习得到了迅猛发展，已席卷人工智能各个领域，包括语音识别、图像识别、视频跟踪、自然语音处理等在内的图、文、视频领域。深度学习技术突破了传统技术方法，大大提高各领域的识别性能。然而深度神经网络已经被证实容易受到微小的扰动的干扰[1-3]，这引起了诸如自动驾驶、人脸验证等许多领域的安全担忧。

为了使得扰动不易为人察觉，通常会对扰动添加p范数约束。不同的范数表征不同的攻击类型，比如l₂范数约束对抗样本与原图的欧式距离，l₀范数约束对抗样本修改的像素点个数。由于l₀范数难以优化，仅有少量工作关注这种稀疏扰动的生成。文献[4]通过像素的显著性值来破坏原图。文献[5]采用进化算法在一个巨大的解空间内搜索像素点与像素值的元祖。文献[6]在决策边界搜索所需的像素点。这些方法都需要多次迭代来优化求解，而每次迭代过程都需要一次被攻击模型的前向与反向操作，这使得这些方法耗时巨大，并不实用。与之对应的，一些研究者[7-10]采用生成网络的形式生成对抗样本，这种方式只需要一次网络前向的开销，能高效生成有效的对抗样本。但是这种方式没有考虑稀疏约束，难以生成仅改变少量像素点的对抗样本。因此，一种高效的稀疏对抗样本生成方式将成为研究重点。

参考文献：

[1].Naveed Akhtar and Ajmal S Mian.2018.Threat of Adversarial Attackson Deep Learning in Computer Vision-A Survey.IEEE Access(2018).

[2].Nicholas Carlini and David Wagner.2017.Towards evaluating therobustness of neural networks.In IEEE Symposium on Security and Privacy.

[3].Tamir Hazan，George Papandreou，and Daniel Tarlow(Eds.).2016.Perturbations，optimization，and statistics.MIT Press，Cambridge，MA.

[4].Nicolas Papernot，Patrick McDaniel，Somesh Jha，Matt Fredrikson，ZBerkay Celik，and Ananthram Swami.2016.The limitations of deep learning inadversarial settings.In IEEE European Symposium on Security and Privacy.

[5].Jiawei Su,Danilo Vasconcellos Vargas,and KouichiSakurai.2019.Attacking convolutional neural network using differentialevolution.IPSJ Transactions on Computer Vision and Applications(2019).