[发明专利]一种基于动态化网络结构学习的黑盒攻击系统

说明书

本发明涉及计算机视觉图像处理领域，具体是一种基于动态化网络结构学习的黑盒攻击方法。提出了在无真实数据参与条件下的对于未知场景的目标黑盒模型的攻击方法。其中针对多样化的目标黑盒模型，提出了动态化网络结构学习的替代模型训练方法，自主性地生成最优的替代模型结构，并提出了基于结构化信息图的优化约束以提升替代模型的学习质量与效率，从而进一步提高其生成的对抗样本的攻击性能。该方法具有查询次数少、学习效率高、攻击成功率高等优点，非常适合无任何先验知识的黑盒攻击场景。

技术领域

本发明属于计算机视觉图像处理领域，具体涉及一种基于动态化网络结构学习的黑盒攻击系统。

背景技术

随着深度网络模型在现实世界中各个任务上的广泛应用，越来越多的研究者们开始关注深度网络模型的安全性和鲁棒性。逐渐发现了在干净图片上添加扰动后生成的对抗样本可以成功攻击深度网络模型，从而引起模型的预测错误。

针对深度模型的对抗攻击主要可以分为两类：其一，白盒攻击，即攻击者可以获取到目标深度模型的具体网络结构和参数，现有的方法往往通过目标模型的梯度进行反向攻击直接生成对抗样本，从而达到较高的攻击成功功率；其二，黑盒攻击，即攻击者无法直接获取目标深度模型的具体网络结构和参数，现有的方法往往通过提升在其他白盒模型上生成的对抗样本的攻击迁移性，或通过训练一个近似目标模型的替代模型来生成对抗样本实现攻击，然而这些现有的黑盒攻击技术仍存在攻击成功率低并且需要依赖对目标模型一定的先验知识上，例如，模型任务，训练数据，类别数目等。

为了更好实现具有实用性和高强度的黑盒攻击，现有技术提出了无数据条件下的黑盒攻击，即，在黑盒攻击任务上另外要求了不采用真实数据进行替代模型的训练。第一种通过噪声输入生成器生成大量样本，同时借助了知识蒸馏的网络结构，通过约束目标模型和替代模型的输出一致性来提升攻击样本的质量。第二种通过关注于生成器生成样本的质量，提高生成样本的多样性，来进一步提升知识蒸馏训练的高效性。然而，它们都依赖于对目标模型的分类数量的先验知识，并且需要从多个不同网络结构的替代模型中择其最优。

发明内容

本发明提出了一种在无真实数据参与条件下的基于动态化网络结构学习的黑盒攻击系统。对于未知场景下的目标黑盒模型和隐私保护需求，在无法直接获取目标深度模型的具体网络结构和参数，并且不了解目标黑盒模型的任务需求、训练数据、分类数量等先验知识的情况下，实现高质量的动态化结构的替代模型训练，从而完成高成功率的黑盒攻击任务。

前面，曾分析到现有的相关对抗样本生成算法往往依赖于对目标模型的分类数量的先验知识，并且需要从多个不同网络结构的替代模型中择其最优，这会导致这些算法的实用性大大降低并且需要耗费较多的计算资源。因而，如何在没有任何关于目标模型先验知识的情况下，通过一次性训练学习的方式直接获得最优的替代模型是本发明的技术要点。

为了实现以上目标，本发明提出了动态化网络结构学习的替代模型训练方法，摆脱了固定静态化的替代模型网络结构限制，从而实现了根据不同目标模型实现自主化网络结构优化生成的目标。与此同时，为了进一步提升知识蒸馏训练的质量和效率，我们根据目标模型的多个输出构建结构化信息图，并促使替代模型从多个输出之间的结构化特征间学习到更为关键和隐蔽的知识信息，提高基于该替代模型的对抗样本的攻击强度。

本发明的具体步骤如下：

一种基于动态化网络结构学习的黑盒攻击系统，包括基于结构化信息图的优化约束和动态化网络结构学习的替代训练，所述替代训练具体包括以下步骤：

S1：生成替代训练数据；

S2：基于结构化信息图的优化约束的替代训练；

S3：生成动态化网络结构学习的替代模型；

S4：将测试数据送入替代模型，通过白盒攻击方式生成对抗样本，并对目标黑盒模型进行攻击测试。

所述步骤S1具体包括以下步骤：