[发明专利]一种基于生成对抗网络的高隐藏中毒攻击的防御方法及应用

权利要求书

1.一种基于生成对抗网络的高隐藏中毒攻击的防御方法，包括以下步骤：

构建生成器训练体系，该生成器训练体系包括生成对抗样本的生成器G、分辨对抗样本和待攻击样本的检测器D，以及分辨生成对抗样本和攻击目标样本的检测器FCD，生成器G和检测器D组成生成对抗网络，其中，生成器G的输入为待攻击样本、攻击目标样本以及扰动noise，输出为生成对抗样本；检测器D的输入为待攻击样本和生成对抗样本，其输出为待攻击样本和生成对抗样本的置信度；检测器FCD的输入为攻击目标样本和生成对抗样本，其输出为攻击目标样本和生成对抗样本的置信度；

构建损失函数，根据待攻击样本和生成对抗样本的差异、生成对抗样本与攻击目标样本的差异构建生成器G的损失函数Gloss，根据待攻击样本和生成对抗样本各自的交叉熵构建检测器D的损失函数Dloss，根据攻击目标样本和生成对抗样本的置信度构建检测器FCD的损失函数Floss；

利用损失函数Gloss和损失函数Dloss交替训练生成器G和检测器D，同时，利用损失函数Floss训练生成器G，训练结束后，获得训练好的生成器G；

利用生成器G生成大量的对抗样本，将对抗样本结合待攻击样本，重新训练检测器FCD，获得训练好的检测器FCD，将攻击目标样本输入至训练好的检测器FCD，输出攻击目标样本的置信度；

根据输出的置信度，观察中毒攻击效果，根据中毒攻击现象的严重性，采用不同防御措施，具体包括：

当攻击目标样本的类标未发生偏转，采用放大、缩小、旋转的方式对攻击目标样本进行处理，来突出特征提取层面的不协调；

当攻击目标样本的类标发生偏转，且保持高置信度，采用线性插值的方法对攻击目标样本进行屏蔽型防御。

2.如权利要求1所述的基于生成对抗网络的高隐藏中毒攻击的防御方法，其特征在于，构建的损失函数Gloss为：

Gloss＝0.95*||(A'-A)||₂+0.05*(||(B-A)||₂-||(B-A)||₂)

其中，||·||₂表示对内容求二范数，第一部分0.95*||(A'-A)||₂是为了保证对抗样本A'与待攻击样本A的相似度尽可能的高，第二部分0.05*|||(B-A)||₂-||(B-A')||₂|是为了让对抗样本A'与攻击目标样本B的相似度尽可能地维持在正常水平下；

损失函数Dloss为：

其中，y表示的是待攻击样本获得的预测输出，y′表示的是对抗样本获得的预测输出，Y与Y'分别表示的是待攻击样本和对抗样本的期望输出值，i表示样本索引；

损失函数Floss为：

Floss＝||C′-C||₂

其中，C'和C分别表示对抗样本A'与攻击目标样本B通过检测器FCD获得的置信度输出。

3.如权利要求1所述的基于生成对抗网络的高隐藏中毒攻击的防御方法，其特征在于，具体训练过程包括：

利用生成器G的损失函数Gloss训练生成器G，训练指标是在迭代过程中不断寻找，产生更小的损失的对抗样本，使得对抗样本在与待攻击样本的相似度越来越高的过程中，增加通过检测器D识别的概率；

利用检测器D的损失函数Dloss训练检测器，训练指标是在迭代过程中不断提高检测器D区分对抗样本的能力，从而在博弈过程中提高生成器G的能力；

利用检测器FCD的损失函数Floss训练生成器G，训练目的是在迭代过程中不断提高生成器G生成的对抗样本和攻击目标样本的特征相似程度，以提高中毒攻击的效果。

4.如权利要求1所述的基于生成对抗网络的高隐藏中毒攻击的防御方法，其特征在于，在训练的过程中，根据训练阶段损失函数变化调整每个阶段训练的迭代次数，具体包括：

当损失函数变化得越来越小时，在将损失函数的衰减大于预期值，将迭代次数乘以预设的放大倍数，反之除以预设的放大倍数，以此调整迭代次数。