[发明专利]面向图像分类系统攻击的对抗样本检测方法

说明书

本发明涉及一种基于深度神经网络隐藏层代表性特征最近邻搜索的图像分类系统对抗样本检测方法，属于人工智能对抗领域。主要为了解决对抗样本数量、种类较少难以用于训练和仅使用良性样本训练时深度神经网络隐藏层特征数量较多、相似特征计算量大的问题。本发明首先将只包含良性样本的训练集输入到被攻击图像分类系统中，提取系统隐藏层特征构建隐藏层特征池；并将其按照标签分别进行聚类，将每个簇中心作为该标签代表性特征向量，构建代表性特征池；对于测试样本，先进行图像去噪，再输入到系统中提取隐藏层特征，计算该特征在所有代表性特征中的K近邻，将其中出现频率最高的标签与直接将样本输入系统得到的标签比较，如果不同则为对抗样本。

技术领域

本发明涉及一种基于深度神经网络隐藏层代表性特征最近邻搜索的图像分类系统对抗样本检测方法，属于人工智能对抗领域。

背景技术

随着深度神经网络模型的不断改进，深度学习能够更快速地从海量的数据中学习数据的特征，并给出更准确的判断或者分类结果。深度神经网络模型逐渐深入到安全性至关重要的任务中，如自动驾驶汽车、恶意软件检测、面部识别等领域。

当深度学习以惊人的准确性执行各种各样任务的同时，Szegedy等人却发现在图像分类领域，深度神经网络容易受到人眼无法察觉的微小扰动的攻击，从而导致模型完全改变对图像的预测结果，并且相同的微小扰动能够同时攻击多个深度神经网络模型。这一结果预示着对抗攻击将能够干扰深度神经网络模型的判别结果，从而导致自动驾驶汽车识别障碍物失败等重要的安全问题。

为防御对抗攻击，对抗样本检测方法必不可少。现有的对抗样本检测方法主要有三种，分别是预测不一致性判别、添加辅助网络检测、使用统计数据区分。预测不一致性判别的方法，基于分类器对良性样本有着稳定预测的思想，判断是否不同分类器在输入同一样本时输出存在分歧，如果存在分歧则说明输入为对抗样本。添加辅助网络检测的方法，需要增加一个辅助网络，用来检测输入样本是良性样本还是对抗样本。为提高辅助网络的检测性能，往往需要大量的良性样本和对抗样本作为训练集，但在实际中可用的对抗样本数量种类相对有限，容易使检测网络面临过拟合、泛化能力差的问题。使用统计数据区分的方法，同样需要大量的对抗样本用于计算和比对，也面临着对抗样本数据不足的问题，而且只能检测出远离良性样本分布的对抗样本。

传统的对抗样本检测方法往往需要大量的对抗样本作为训练数据，无法适应对抗样本数量和种类较少的情况，也无法识别出训练集中未包含种类的对抗样本。一些只使用良性样本用于训练的方法，能够识别出未知的对抗攻击，但通常是对良性样本的流形进行建模，忽略了深度神经网络在样本输入后体现的内在特征。现有方法在利用深度神经网络隐藏层特征时，也存在特征数量过多，相似特征计算量大的困难。

发明内容

本发明的目的是为解决对抗样本数量、种类较少难以用于训练和仅使用良性样本训练时深度神经网络隐藏层特征数量较多、相似特征计算量大的问题，提出一种基于深度神经网络隐藏层代表性特征最近邻搜索的图像分类系统对抗样本检测方法。

本发明的设计原理为：将只包含良性样本的训练集输入到被攻击的图像分类系统中，对于每个输入样本，提取系统的隐藏层特征，组成一个特征向量，特征向量的标签即为输入样本的分类标签。所有输入样本的特征向量及其标签组成了隐藏层特征池。对于隐藏层特征池中的所有特征向量按照标签分别进行聚类，提取每次聚类形成的各个簇中心特征向量及其标签组成代表性特征池。对于测试集中每个样本，先进行图像去噪，然后输入到被攻击的图像分类系统中，提取系统的隐藏层特征，组成一个特征向量，并计算该向量在代表性特征池中的K近邻，K近邻中出现频率最高的标签即为标签1；样本直接输入到被攻击图像分类系统，得到的分类为标签2。如果标签1和2相等，则为良性样本，否则为对抗样本。具体过程见图1。

本发明的技术方案是通过如下步骤实现的：

步骤1，训练集样本深度神经网络隐藏层特征提取。

步骤2，隐藏层特征池构建。

步骤3，同标签特征聚类。