[发明专利]一种基于生成对抗网络的高隐藏中毒攻击的防御方法及应用

说明书

本发明公开了一种基于生成对抗网络的高隐藏中毒攻击的防御方法，包括：构建生成器训练体系，包括生成器G、检测器D，检测器FCD；构建生成器G、检测器D、检测器FCD的损失函数Gloss，Dloss，Floss；利用损失函数Gloss和Dloss交替训练生成器G和检测器D；同时，利用损失函数Floss训练生成器G，获得训练好的生成器G；利用生成器G生成大量的对抗样本，将对抗样本结合待攻击样本，重新训练检测器FCD，获得训练好的检测器FCD，将攻击目标样本输入至训练好的检测器FCD，输出攻击目标样本的置信度；根据输出的置信度确定中毒攻击现象的严重性，采用不同防御措施。该防御方法能够防御中毒攻击。

技术领域

本发明属于深度学习安全技术领域，具体涉及一种基于生成对抗网络的高隐藏中毒攻击的防御方法及应用。

背景技术

深度学习受神经科学启发而来，可以通过学习和计算大量数据的潜在联系，获得比一般算法更准确的分类结果，具有强大的特征学习能力和特征表达能力。而随着深度学习在视觉辨析、语音识别、金融欺诈检测、身份鉴定以及恶意软件检测等的各种领域的深入应用，深度学习的安全问题越来越受到人们的关注。

虽然深度学习在计算机视觉领域表现出很强大的分类能力，但是szegedy等人发现，深度模型很容易对某些不可见的细微的扰动出现错误的判断。这些细小的扰动不仅可以用于攻击识别阶段，导致模型分类错误，甚至对错误的分类结果表现出很高的置信度；而且在训练阶段试图毒害数据样本，以移动分类器对好、坏输入归类的学习边界，从而导致训练模型产生偏移，影响分类结果的正确性。中毒攻击的危害在于部分很难被去除的中毒数据导致系统模型偏移，而后造成后门，识别不正确等安全事故，例如：中毒数据导致错误权限，无法区分入侵用户，导致一系列的安全问题。

对于目前大部分已有的中毒攻击来说，攻击的实现通常是通过对虚假样本打上错误类标的方式，污染训练数据集，导致模型偏移。但是，目前大部分中毒攻击，对虚假样本的掩饰程度往往不高，只是简单地欺骗一些针对数据检测的模型结构，反而忽略了视觉上虚假样本和类标的差别，难以欺骗人脸。所以在数据集较为庞大，难以逐一人工检测的时候，已有的中毒攻击能够取得一定的攻击效益。但同样，对虚假样本的掩饰程度不高，可能会造成检测器无法收敛。因此，进一步保证中毒样本的高隐藏性，确保中毒样本足以欺骗视觉识别，是对防御中毒攻击提出更高的要求。

综上所述，如何对中毒攻击方法进一步优化，得到具有更高隐藏性的中毒样本，并针对相应高隐藏性的中毒攻击，确定相应防御方法，在提升图像训练阶段对污染数据的防御效果方面有着极其重要的理论与实践意义。

发明内容

为了提升图像训练阶段对污染数据的防御能力，本发明提出通过对基于生成对抗网络的高隐藏中毒攻击的重现，评估不同中毒样本对模型训练的危险性，并且采取相关的筛选划分方法，防御中毒攻击。

本发明解决其技术问题所采用的技术方案是：

一种基于生成对抗网络的高隐藏中毒攻击的防御方法，包括以下步骤：

构建生成器训练体系，该生成器训练体系包括生成对抗样本的生成器G、分辨对抗样本和待攻击样本的检测器D，以及分辨生成对抗样本和攻击目标样本的检测器FCD，生成器G和检测器D组成生成对抗网络，其中，生成器G的输入为待攻击样本、攻击目标样本以及扰动noise，输出为生成对抗样本；检测器D的输入为待攻击样本和生成对抗样本，其输出为待攻击样本和生成对抗样本的置信度；检测器FCD的输入为攻击目标样本和生成对抗样本，其输出为攻击目标样本和生成对抗样本的置信度；

构建损失函数，根据待攻击样本和生成对抗样本的差异、生成对抗样本与攻击目标样本的差异构建生成器G的损失函数Gloss，根据待攻击样本和生成对抗样本各自的交叉熵构建检测器D的损失函数Dloss，根据攻击目标样本和生成对抗样本的置信度构建检测器FCD的损失函数Floss；