[发明专利]一种基于对抗样本防御的图像安全识别方法

说明书

本发明提出一种基于对抗样本防御的图像安全识别方法，包括如下步骤：步骤1、首先收集图像数据集；步骤2、使用一个像素攻击法生成对抗样本；该攻击法利用差分进化算法，对测试集图像的每个像素迭代修改生成子图像，然后测试每个子图像的攻击效果，将攻击效果最好的子图像作为为对抗样本；步骤3、使用生成通用扰动方法生成对抗样本；步骤4、基于对抗样本生成对抗测试集；步骤5、将训练集图像数据作为训练数据，对原始预训练好的模型进行微调；步骤6、在测试集上进行图像识别，检验图像识别效果。本发明对一个像素生成对抗扰动有很好的防御能力，对通用扰动生成的对抗样本有极为优秀的防御能力，通用扰动无法对生成的图像识别模型产生任何影响，可以用于电子卷宗的识别分类等。

技术领域

本发明是一种基于对抗样本防御的图像安全识别方法，属于机器视觉领域。

背景技术

近年来随着深度学习技术在计算机视觉领域日益广泛的应用以及各类任务中的优异表现，深度学习技术吸引了大批学者进一步研究。2014年，Szegedy等人首次提出深度神经网络并不是完美的，在计算机视觉领域应用时尽管效果很好，但是却很容易被微小，人类肉眼难以察觉的向量扰动，即这种向量增加到图像上，图像很难被看出有明显差异，但是深度神经网络对这类图片会得到错误结果。这种微小难以察觉却能扰动深度神经网络的向量被称为对抗扰动，而增加了对抗扰动的图片被称为对抗样本。

在防御对抗扰动方面，主要有三种方法，有些方法不对网络本身的设计做改动，有些方法需要对深度神经网络本身进行分析。由于目前对抗样本攻击发展迅速，防御对抗扰动领域的相关研究处于相对落后状态，本发明为弥补防御对抗扰动领域的空白而提出，针对多种对抗样本防御提出解决办法。

发明内容

本发明的技术解决问题：克服现有技术在图像识别方面防御对抗样本攻击能力的不足，提供一种基于对抗样本防御的图像安全识别方法，利用一个像素生成及通用扰动生成的主流对抗样本生成法生成对抗样本对图像识别模型进行微调，使其拥有相较于当前其他方法更好的防御对抗样本攻击能力，用户在进行图像识别过程中，能够对含有对抗神经网络特征的图像进行较为准确的安全识别。

本发明的技术方案如下：一种基于对抗样本防御的图像安全识别方法，包括如下步骤：

步骤1、首先收集图像数据集；

步骤2、使用一个像素攻击法生成对抗样本；该攻击法利用差分进化算法，对测试集图像的每个像素迭代修改生成子图像，然后测试每个子图像的攻击效果，将攻击效果最好的子图像作为对抗样本；

步骤3、使用生成通用扰动方法生成对抗样本；

步骤4、基于对抗样本生成对抗测试集；

步骤5、将训练集图像数据作为训练数据，对原始预训练好的模型进行微调；

步骤6、在测试集上进行图像识别，检验图像识别效果。

进一步的，所述的收集图像数据集的过程利用爬虫的方式，从网上爬取多张图片；过滤掉不合适的图片，最后得到新的100类图片，每类设定20张图片；不够20张图片的将现有图片采用随机裁剪，翻转构建新的图片，最后得到20张图片；原数据集有15个类，每个类有20张图片；收集得到的图片与原数据集合并形成一个新的数据集new-ImageDataset，这个新的数据集有252个类，每个类中20张图片。

进一步的，所述步骤2中，一个像素攻击法中的对抗样本生成是一种包含限制条件的优化问题；设输入图像为X＝(x₁,...,x_n)；f为一个分类器，v(x)＝(v₁,...,v_n)为对抗扰动向量，e(x)表示根据x产生的附加扰动，t表示类别标签，f_t(X)表示图像X属于类别t的概率，d为最大修改器限制；

s.t.受约束于；对抗样本生成转为包含限制条件的优化问题：