[发明专利]一种基于网络防御的模型处理方法、装置及存储介质

权利要求书

1.一种基于网络防御的模型处理方法，其特征在于，包括：

获取与目标模型满足相似度要求的替代模型；

采用预设攻击方式攻击所述替代模型，生成对抗样本；

根据所述对抗样本以及预设算法，计算获取差分隐私噪声参数，包括：

采用公式计算获取差分隐私噪声参数

其中，i表示所述目标模型的第i类样本，j表示所述目标模型的第j类样本，x表示所述目标模型的测试样本数，ε为隐私保护预算，C表示目标模型数据集的类别数，f⁽ⁱ⁾(x)表示所述目标模型的测试样本x被所述目标模型分类为第i类的概率，e表示自然底数，s(f,||·||)表示得分函数f(·)的敏感度，定义为：

其中，z表示所述目标模型的样本，z′表示所述对抗样本，f⁽ⁱ⁾(z)表示输入为数据样本z、输出为第i类样本时的输出概率，f⁽ⁱ⁾(z′)表示输入为数据样本z′、输出为第i类样本时的输出概率，z_i、z_j表示同一类别的不同样本，p表示范数，ρ表示常数；

根据所述差分隐私噪声参数，在所述目标模型的输出层添加差分隐私噪声层，获取优化的目标模型。

2.根据权利要求1所述的基于网络防御的模型处理方法，其特征在于，所述获取与目标模型满足相似度要求的替代模型，包括：

根据所述目标模型的输出类型，搭建初始替代模型；

将待分类数据输入所述目标模型，输出获取所述待分类数据对应的标记信息；

根据所述待分类数据对应的标记信息以及所述待分类数据，获取训练数据集；

采用所述训练数据集训练所述初始替代模型，获取所述替代模型。

3.根据权利要求2所述的基于网络防御的模型处理方法，其特征在于，所述采用预设攻击方式攻击所述替代模型，生成对抗样本，包括：

采用白盒攻击方法攻击所述替代模型，生成所述对抗样本。

4.根据权利要求1所述的基于网络防御的模型处理方法，其特征在于，所述根据所述差分隐私噪声参数，在所述目标模型的输出层添加差分隐私噪声层，获取优化的目标模型之后，所述方法还包括：

通过评价指标算法，测试所述目标模型的防御攻击性。

5.根据权利要求4所述的基于网络防御的模型处理方法，其特征在于，所述通过评价指标算法，测试所述目标模型的防御攻击性，包括：

采用评价公式计算获取所述目标模型评价指标ASR；

其中，n_right表示所述目标模型在对抗攻击前，正确分类的样本数，n_adv表示被所述目标模型分类正确的样本中被攻击成功的对抗样本数。

6.一种基于网络防御的模型处理装置，其特征在于，包括：获取单元、生成单元、计算单元以及添加单元；

所述获取单元用于获取与目标模型满足相似度要求的替代模型；

所述生成单元用于采用预设攻击方式攻击所述替代模型，生成对抗样本；

所述计算单元用于根据所述对抗样本以及预设算法，计算获取差分隐私噪声参数，包括：

采用公式计算获取差分隐私噪声参数

其中，i表示所述目标模型的第i类样本，j表示所述目标模型的第j类样本，x表示所述目标模型的测试样本数，ε为隐私保护预算，C表示目标模型数据集的类别数，f⁽ⁱ⁾(x)表示所述目标模型的测试样本x被所述目标模型分类为第i类的概率，e表示自然底数，s(f,||·||)表示得分函数f(·)的敏感度，定义为：

其中，z表示所述目标模型的样本，z′表示所述对抗样本，f⁽ⁱ⁾(z)表示输入为数据样本z、输出为第i类样本时的输出概率，f⁽ⁱ⁾(z′)表示输入为数据样本z′、输出为第i类样本时的输出概率，z_i、z_j表示同一类别的不同样本，p表示范数，ρ表示常数；

所述添加单元用于根据所述差分隐私噪声参数，在所述目标模型的输出层添加差分隐私噪声层，获取优化的目标模型。