[发明专利]一种机器学习训练数据受投毒攻击的防御方法

说明书

本发明属于信息安全领域，具体涉及一种机器学习训练数据受投毒攻击的防御方法，用于智能安防，训练数据采集于安防视频数据，方法包括：获取待识别训练数据集对应的干净训练数据集的预测值分布；将各待识别训练数据输入已训练预测模型，得到预测值；基于预测值与预测值分布确定识别投毒数据，以实现防御；基于与待识别训练数据同类型的可信任训练数据，生成合成数据；采用由合成数据和可信任训练数据所构成的增强数据集训练并得到预测模型；增强数据集的分布同干净训练数据集，预测模型基于增强数据集所输出预测值的分布作为上述预测值分布。本发明无需明确机器学习算法或攻击类型即可提供有效保护，解决了现有防御方法中针对特定攻击的限制问题。

技术领域

本发明属于信息安全领域，更具体地，涉及一种机器学习训练数据受投毒攻击的防御方法。

背景技术

近年来，随着机器学习的发展，基于机器学习的各类系统如自动驾驶系统、人脸检测系统、语音识别系统等都得到了广泛的应用，特别是智能安防系统。然而，机器学习本身面临的各种安全性问题也逐渐显现。

机器学习是指通过大量的训练数据不断地学习、识别特征、建模最后能够得到有效的系统模型。最近的研究表明，机器学习对数据投毒攻击高度敏感。在这种情况下，攻击者可以通过向训练数据集中注入少量恶意样本来破坏学习过程。此类安全漏洞可能会给各种关键安全领域带来严重风险，例如，恶意软件检测、无人驾驶汽车、生物识别身份识别。因此，如何防御机器学习中训练数据投毒攻击是机器学习安全领域必须解决的科学问题。

为了防御机器学习中训练数据投毒攻击，目前已经研究了一些防御机制，但是，这些防御技术在很大程度上是特定于攻击的：它们是针对一种特定类型的攻击而设计的，可能不适用于其他类型的攻击，这主要是由于在攻击过程中遵循不同的原理。例如，通过识别和重建后门触发器来缓解后门攻击(投毒攻击的一类)。这种防御可以检测到某些统一的后门触发器，但是在将可变扰动添加到训练数据中时会失败。在另一种情况下，一些研究者使用KNN的方法来防御标签翻转攻击(另一种投毒攻击)，但是这种方法不能在回归的情况下应用于投毒攻击。迄今为止，针对这种投毒攻击的通用防御策略很少，没有有效地能够防御大多数投毒攻击方法的防御方法。

发明内容

本发明提供一种机器学习训练数据受投毒攻击的防御方法，用以解决现有智能安防检测模型训练用训练数据受投毒攻击的防御方法中只针对特定攻击方式的限制问题。

本发明解决上述技术问题的技术方案如下：一种机器学习训练数据受投毒攻击的防御方法，用于智能安防，所述训练数据采集于安防视频数据，所述防御方法包括：

获取待识别训练数据集对应的干净训练数据集的预测值分布；并将每个待识别训练数据输入已训练的预测模型，得到预测值；基于所述预测值与所述预测值分布确定该训练数据是否为投毒数据，以实现攻击防御；

其中，所述预测模型由以下训练方法得到：基于与待识别训练数据同类型的可信任训练数据进行数据增强，生成多个合成数据；采用由所述多个合成数据和所述可信任训练数据所构成的增强数据集训练并得到所述预测模型；所述增强数据集的分布同所述干净训练数据集，所述预测模型基于所述增强数据集所输出的预测值的分布作为所述预测值分布。