[发明专利]一种基于对抗样本防御的图像安全识别方法

权利要求书

1.一种基于对抗样本防御的图像安全识别方法，其特征在于，包括如下步骤：

步骤1、首先收集图像数据集；

步骤2、使用一个像素攻击法生成对抗样本；该攻击法利用差分进化算法，对测试集图像的每个像素迭代修改生成子图像，然后测试每个子图像的攻击效果，将攻击效果最好的子图像作为对抗样本；

步骤3、使用生成通用扰动方法生成对抗样本；

步骤4、基于对抗样本生成对抗测试集；

步骤5、将训练集图像数据作为训练数据，对原始预训练好的模型进行微调；

步骤6、在测试集上进行图像识别，检验图像识别效果。

2.根据权利要求1所述的一种基于对抗样本防御的图像安全识别方法，其特征在于：

所述的收集图像数据集的过程利用爬虫的方式，从网上爬取多张图片；过滤掉不合适的图片，最后得到新的100类图片，每类设定20张图片；不够20张图片的将现有图片采用随机裁剪，翻转构建新的图片，最后得到20张图片；原数据集有15个类，每个类有20张图片；收集得到的图片与原数据集合并形成一个新的数据集new-ImageDataset，这个新的数据集有252个类，每个类中20张图片。

3.根据权利要求1所述的一种基于对抗样本防御的图像安全识别方法，其特征在于：

所述步骤2中，一个像素攻击法中的对抗样本生成是一种包含限制条件的优化问题；设输入图像为X＝(x₁,...,x_n)；f为一个分类器，v(x)＝(v₁,...,v_n)为对抗扰动向量，e(x)表示根据x产生的附加扰动，t表示类别标签，f_t(X)表示图像X属于类别t的概率，d为最大修改器限制；

s.t.受约束于；对抗样本生成转为包含限制条件的优化问题：

s.t.||v(x)||₀≤d

对于单像素攻击，将d设置为1。

4.根据权利要求1所述的一种基于对抗样本防御的图像安全识别方法，其特征在于，所述步骤3如下：

记μ是图片空间R^d中的分布，p∈[1，∞)，P为防御扰动，采样获得图片集X＝{x₁,x₂,…，x_m}，m为图片数量，i∈{1,2,...,m}，是分类器函数，扰动向量v∈R^d；

扰动向量v满足以下约束：

约束1：||v||_p≤ξ

约束2：

上述公式中ξ控制扰动的范数，δ用来量化愚弄率；整个生成算法是基于扰动向量v＝0的初始情况下进行迭代，最后生成对抗攻击效果最好的扰动向量v；在迭代计算的整个过程中，如果当前的扰动向量v不是一个有效扰动，则使得：

r为使扰动生效的相应扰动；

再记投影操作为：

则扰动向量v的更新法则为：

v＝P_p,ξ(v+v_i)

记X_v＝{x₁+v,x₂+v,...,x_m+v}，则迭代停止条件为：

Err(X_v)为v对X造成的扰动率，根据扰动生成的算法，生成1个通用扰动。