[发明专利]对抗攻击的方法、装置、可读介质和电子设备

说明书

本公开涉及一种对抗攻击的方法、装置、可读介质和电子设备，涉及数据处理技术领域，该方法包括：将属于第一类别的第一样本图像作为编码前图像，将编码前图像输入自编码模型，以根据自编码模型输出的编码后图像和第一样本图像，确定对抗图像，自编码模型为预先根据预设的训练集训练得到的，且与待攻击模型不相关的模型，训练集中包括第一样本图像，将对抗图像输入待攻击模型，以使待攻击模型将对抗图像识别为第二类别，第二类别与第一类别不同。本公开无需预先获知待攻击模型的结构信息和参数信息，也无需预先对待攻击模型进行多次查询，就可以得到对抗图像，以对待攻击模型进行攻击，提高了对抗攻击的适用范围。

技术领域

本公开涉及数据处理技术领域，具体地，涉及一种对抗攻击的方法、装置、可读介质和电子设备。

背景技术

随着机器学习技术的不断发展，在许多技术领域中，都会借助机器学习模型来处理数据。尤其是在机器视觉领域，可以通过机器学习模型有效识别图像中的内容，提高了图像处理的效率和自动化程度。然而，对于机器学习模型来说，存在被对抗样本欺骗的可能性，攻击者可以将待输入机器学习模型的数据进行少量的修改，就可以达到使机器学习模型输出错误结果的目的。因此，可以设计对抗样本来对机器学习模型进行攻击，以提高机器学习模型的可靠性和鲁棒性。

通常情况下，设计对抗样本的方式分为白盒和黑盒两种方式，白盒方式中，根据待攻击模型的各种模型信息(例如：结构信息、参数信息等)来设计对抗样本，然而这种方式需要预先获取待攻击模型的模型信息，适用范围较小。黑盒方式中，需要对待攻击模型进行大量查询(即Query)操作，获取待攻击模型对特定输入样本的输出，以设计对抗样本，然而在真实场景中，往往很难实现大量查询操作，实用性较低。

发明内容

提供该发明内容部分以便以简要的形式介绍构思，这些构思将在后面的具体实施方式部分被详细描述。该发明内容部分并不旨在标识要求保护的技术方案的关键特征或必要特征，也不旨在用于限制所要求的保护的技术方案的范围。

第一方面，本公开提供一种对抗攻击的方法，所述方法包括：

将属于第一类别的第一样本图像作为编码前图像；

将所述编码前图像输入自编码模型，以根据所述自编码模型输出的编码后图像和所述第一样本图像，确定对抗图像，所述自编码模型为预先根据预设的训练集训练得到的，且与待攻击模型不相关的模型，所述训练集中包括所述第一样本图像；

将所述对抗图像输入所述待攻击模型，以使所述待攻击模型将所述对抗图像识别为第二类别，所述第二类别与所述第一类别不相同。

第二方面，本公开提供一种对抗攻击的装置，所述装置包括：

处理模块，用于将属于第一类别的第一样本图像作为编码前图像；

确定模块，用于将所述编码前图像输入自编码模型，以根据所述自编码模型输出的编码后图像和所述第一样本图像，确定对抗图像，所述自编码模型为预先根据预设的训练集训练得到的，且与待攻击模型不相关的模型，所述训练集中包括所述第一样本图像；

攻击模块，用于将所述对抗图像输入所述待攻击模型，以使所述待攻击模型将所述对抗图像识别为第二类别，所述第二类别与所述第一类别不相同。

第三方面，本公开提供一种计算机可读介质，其上存储有计算机程序，该程序被处理装置执行时实现本公开第一方面所述方法的步骤。

第四方面，本公开提供一种电子设备，包括：

存储装置，其上存储有计算机程序；

处理装置，用于执行所述存储装置中的所述计算机程序，以实现本公开第一方面所述方法的步骤。