[发明专利]一种基于动态残差侵蚀的对抗样本生成方法

说明书

本发明涉及一种基于动态残差侵蚀的对抗样本生成方法，属于深度学习安全技术领域，主要用于解决现有技术对于提升对抗样本转移性效果甚微，攻击未知黑盒模型成功率低等技术问题。本发明通过动态侵蚀残差网络模型的残差块结构反向传播时的梯度(EGM)信息，达到生成对抗样本时的梯度多样性。同时，提出了一种新的Corrasion Attack攻击方法并与EGM侵蚀机制相结合，能够大幅度提升对抗样本的转移性，提升了攻击成功率。

技术领域

本发明涉及一种提升对抗样本黑盒转移性的攻击方法，具体涉及一种基于动态残差侵蚀的对抗样本生成方法，属于深度学习安全技术领域。

背景技术

在计算机视觉领域，深度学习技术已成为解决图像分类、目标检测、语义分割等问题的主流技术手段。随着深度学习技术的不断改进和计算资源的不断完善，人们正逐渐把深度学习技术应用到安全领域，例如手机人脸识别、面部识别ATM等。

然而，研究表明，深度学习模型极易受到微小扰动的影响。Szegedy等人首次提出，在图像分类领域，深度学习模型存在脆弱性，即，在输入图像中添加精心制造的肉眼不易察觉的扰动，可导致图像分类器以极高的置信度将图片进行错误分类，同时，相同的扰动可以欺骗多种图片分类器。在人脸识别任务中，精心设计的扰动可以欺骗神经网络，将其错误分类为指定人脸。

基于对抗样本的转移性对未知黑盒模型进行攻击，攻击者不知道目标黑盒模型的权重、参数等任何信息，只能依靠对抗样本的转移性去进行攻击。介于对抗样本的转移性较低，无法使目标黑盒模型高置信度的错误分类。因此，技术人员希望找到一种方式，能够提升攻击未知黑盒模型的成功率，从而提升对抗样本的转移性。对抗样本的可转移性，是指相同的输入可以成功攻击不同的模型。利用可转移性，Papernot等人通过攻击替代模型，开发了一个黑盒(攻击者无法访问目标模型)攻击系统；Liu建议攻击替代模型的集合可以提高对抗样本的转移性。基于集合模型，Dong，zhou等人开发了几种通过平滑梯度进一步提升转移性的方法。

围绕对抗样本的可转移性，人们提出了很多方法，比如攻击一个替代模型或者多个替代模型的集成。在之前的工作中，Li等人提出对深度残差神经网络模型进行侵蚀的Ghost机制，其基本原理是在一个基础网络(从零开始训练的网络)上生成大量的虚拟模型。虚拟这个词意味着这些网络没有被存储或训练(因此被称为幽灵网络)。相反，它们是通过对基础网络的某些中间结构进行动态侵蚀而产生的。但是，这种侵蚀机制在模型前向传播时会损失模型的精度，导致模型的预测与真实输出存在较大的差异，这在计算对抗性损失时会存在较大的差异。

目前，大部分黑盒模型对抗性攻击算法都是基于转移性的。但是，由于大部分方法是迭代生成对抗样本，它们是在替代模型上生成对抗样本，迭代次数过多将会对替代模型过拟合，迭代次数过少不能成功攻破未知黑盒模型。最重要的是，它们获取到的梯度不具备多样化。导致对抗样本的转移性较低，攻击未知黑盒模型的成功率较低。提升对抗样本的转移性，提升攻击未知黑盒模型的称功率，有助于挖掘神经网络模型的弱点以及寻找神经网络学习的特征盲区。能够帮助技术人员寻找更鲁棒的神经网络模型。因此，研究对抗样本的转移性，提升攻击未知黑盒模型的成功率，具有重大的意义。

发明内容

本发明的目的是为了解决现有技术对于提升对抗样本转移性效果甚微，攻击未知黑盒模型成功率低等技术问题，创造性地提出一种基于动态残差侵蚀的对抗样本生成方法。

本发明的创新点在于：通过动态侵蚀残差网络模型的残差块结构反向传播时的梯度(EGM)信息，达到生成对抗样本时的梯度多样性。同时，提出一种新的攻击方法并与EGM相结合，能够大幅度提升对抗样本的转移性，提升攻击成功率。

本发明采用以下技术方案实现。

一种基于动态残差侵蚀的对抗样本生成方法，包括以下步骤：

步骤1：针对残差网络中的残差块结构，采用行动态梯度侵蚀机制(EGM侵蚀机制)进行侵蚀处理，之后将其作为本地的白盒替代神经网络模型。