[发明专利]一种基于活跃子空间与低秩进化策略的黑盒对抗攻击方法

权利要求书

1.一种基于活跃子空间与低秩进化策略的黑盒对抗攻击方法，其特征在于，包括如下步骤：

(1)采用图像分割技术，确定原始图像中含有信息的位置，该位置囊括对扰动敏感的边界、线条，被称为活跃子空间；

(2)设计基于安全裕度的目标函数；

(3)利用低秩进化策略计算、更新附加在活跃子空间中的扰动；

(4)采用基于安全裕度的目标函数，对种群中的每个个体随机选择区域实现活跃子空间失活，将不敏感区域的扰动置为零；经过迭代排序，保留优秀个体继续进行参数更新；

(5)满足迭代停止条件，输出对抗样本。

2.根据权利要求1所述的基于活跃子空间与低秩进化策略的黑盒对抗攻击方法，其特征在于，所述步骤(1)实现步骤如下：

(11)平滑图像：当滤波模板滑过将被平滑的图像时，每个像素被由该滤波模板定义的邻域中的像素的平均值代替；

(12)图片二值化：将平滑后的图像转为非黑即白的二值图像，在黑白图像数据集中，直接设计阈值，得到二值化图像；在彩色图像中，使用红色通道作为二值化基础，并根据设定的阈值，得到多个二值图像；

(13)定义活跃子空间区域：检测二值图像的轮廓，返回该轮廓最大外接矩形的起点位置、长和宽；如果为彩色图像，则计算步骤(12)中得到的多个二值图像的最大外接矩形的面积，选取面积最大的矩形，作为活跃子空间区域；所述活跃子空间区域囊括了图像线条和颜色变化剧烈的区域。

3.根据权利要求1所述的基于活跃子空间与低秩进化策略的黑盒对抗攻击方法，其特征在于，所述步骤(2)的目标函数f定义为：

min_θf(θ)＝h(θ)+k||θ||_p

其中，||·||_p代表扰动的范数，p取值为常数，是评价对抗样本质量的指标；k是损失值与样本质量之间的平衡参数；

D(·)代表被攻击模型的输出结果，x_clean是被模型正确分类为类别y的原始输入，c代表模型的预测结果；则D(x_clean+θ)_y是真实标签y的概率，max_c≠yD(x_clean+θ_t)_c是最大候选类别的概率；θ是在图像增加的扰动；γ是引入的较小的非负值常数，代表安全裕度。