[发明专利]对抗攻击的方法、装置、可读介质和电子设备

权利要求书

1.一种对抗攻击的方法，其特征在于，所述方法包括：

将属于第一类别的第一样本图像作为编码前图像；

将所述编码前图像输入自编码模型，以根据所述自编码模型输出的编码后图像和所述第一样本图像，确定对抗图像，所述自编码模型为预先根据预设的训练集训练得到的，且与待攻击模型不相关的模型，所述训练集中包括所述第一样本图像；

将所述对抗图像输入所述待攻击模型，以使所述待攻击模型将所述对抗图像识别为第二类别，所述第二类别与所述第一类别不相同；

所述将所述编码前图像输入自编码模型，以根据所述自编码模型输出的编码后图像和所述第一样本图像，确定对抗图像，包括：

将所述编码前图像输入所述自编码模型，以得到所述自编码模型输出的所述编码后图像；

根据所述自编码模型的对抗损失，确定第一更新向量，所述对抗损失根据所述编码后图像与所述第一样本图像的差确定；

根据所述第一更新向量更新所述编码前图像；

重复执行所述将所述编码前图像输入预先训练的自编码模型，至所述根据所述第一更新向量更新所述编码前图像的步骤，直至所述对抗损失满足第一预设条件，将所述编码前图像作为对抗图像。

2.根据权利要求1所述的方法，其特征在于，所述根据所述自编码模型的对抗损失，确定第一更新向量，包括：

根据所述编码后图像与所述第一样本图像的差，和所述编码后图像与每个第二样本图像的差，确定所述对抗损失，所述第二样本图像为所述训练集中除所述第一样本图像之外的样本图像；

以增大所述对抗损失为目标，利用反向传播算法确定所述第一更新向量。

3.根据权利要求1所述的方法，其特征在于，在所述将所述对抗图像输入所述待攻击模型之前，所述方法还包括：

将所述对抗图像输入所述自编码模型，以得到所述自编码模型中的指定层输出的中间图像，所述指定层不为所述自编码模型中的输入层和输出层；

根据所述自编码模型的扰动损失，确定第二更新向量，所述扰动损失根据所述中间图像与所述第一样本图像确定；

根据所述第二更新向量更新所述对抗图像；

重复执行所述将所述对抗图像输入所述自编码模型，至所述根据所述第二更新向量更新所述对抗图像的步骤，直至所述扰动损失满足第二预设条件。

4.根据权利要求3所述的方法，其特征在于，所述根据所述自编码模型的扰动损失，确定第二更新向量包括：

根据所述对抗图像与所述第一样本图像，和所述中间图像与所述第一样本图像，确定所述扰动损失；

以增大所述扰动损失为目标，利用反向传播算法确定所述第二更新向量。

5.根据权利要求1-4中任一项所述的方法，其特征在于，所述自编码模型是通过以下步骤训练得到的：

获取所述训练集，所述训练集包括第一样本图像和预设数量个第二样本图像；

将所述训练集作为所述自编码模型的输入，将所述训练集作为所述自编码模型的输出，训练所述自编码模型，以使所述自编码模型的编码损失满足第三预设条件。

6.根据权利要求5所述的方法，其特征在于，所述预设数量个所述第二样本中，存在至少一个所述第二样本图像属于所述第一类别，且存在至少一个所述第二样本图像属于第三类别，所述第三类别与所述第一类别不相同。

7.根据权利要求5所述的方法，其特征在于，所述将所述训练集作为所述自编码模型的输入，将所述训练集作为所述自编码模型的输出，训练所述自编码模型，包括：

按照预设规则调整第三样本图像中的像素的位置，以得到预处理图像，所述第三样本图像为所述第一样本图像或所述第二样本图像；

将所述预处理图像输入所述自编码模型；

根据所述自编码模型的输出与所述第三样本图像的差，确定所述编码损失；

以减小所述编码损失为目标，利用反向传播算法训练所述自编码模型。