[发明专利]面向深度学习模型的隐蔽中毒攻击防御方法及其装置

权利要求书

1.一种面向深度学习模型的隐蔽中毒攻击防御方法，其特征在于，包括以下步骤：

(1)获取图像数据集与深度学习模型；

(2)利用深度学习模型对图像数据集进行识别，筛选获得能够被正确识别的图像，组成干净图像数据集；

(3)生成中毒样本，将生成中毒样本的过程隐蔽在图像预处理过程中；

(4)将生成的中毒样本输入深度学习模型中使模型中毒，并在测试阶段使模型对于触发样本做出错误判断；

(5)将生成的中毒样本标注正确的类标输入深度学习模型中进行强化训练，以修复深度学习模型；

步骤(3)中，图像预处理具体采用插值法，利用图像预处理中的resize过程实现生成中毒样本；

在插值线性化的基础上，采用反插值解决以下问题：

其中向量W_row和W_col线性无关，核心图像I_c由攻击者设置，扰动ρ是上述公式的解，当插值的输出大小小于输入大小时，上述公式变为欠定方程，解空间为非空；在不改变输出的情况下，扰动通过方程解空间的基础来操纵，方程分别分为W_rowρ＝0和ρW_col＝0，解空间的基是两个空间的基的并集，通过ρ＝B_rowX_row+X_colB_col计算微扰矩阵，B_row和B_col是权重矩阵空间的基，矩阵X_row和X_col是坐标。

2.根据权利要求1所述的面向深度学习模型的隐蔽中毒攻击防御方法，其特征在于，所述图像数据集为MNIST数据集、CIFAR10数据集或Driving数据集；所述深度学习模型为LeNet深度学习模型、VGG19深度学习模型或ResNet50深度学习模型。

3.根据权利要求1或2所述的面向深度学习模型的隐蔽中毒攻击防御方法，其特征在于，步骤(2)具体为：

将步骤(1)中的图像数据集输入深度学习模型中，模型将输出输入图像的预测类标，若预测类标与图像的真实类标一致，则该图像能够被深度学习模型正确识别，放入干净图像数据集中。

4.根据权利要求1所述的面向深度学习模型的隐蔽中毒攻击防御方法，其特征在于，通过反插值修改图像I_c，使其在视觉上与另一个图像I_b相同，损失函数计算为：

最终生成的输入模型中训练的图像为I_c+(B_rowX_row+X_colB_col)。

5.根据权利要求1所述的面向深度学习模型的隐蔽中毒攻击防御方法，其特征在于，步骤(4)具体表示为：

f(I)[c]＝b

其中，f(I)[c]表示在测试阶段输入图像I输入深度学习模型中针对类别标签[c]的类标预测结果为b。

6.一种面向深度学习模型的隐蔽中毒攻击防御装置，其特征在于，包括：

获取模块，用于获取图像数据集与深度学习模型；

获取干净图像数据集模块，用于利用深度学习模型筛选获得干净图像数据集；

生成模块，用于将生成中毒样本的过程隐蔽在图像预处理过程中；

图像预处理具体采用插值法，利用图像预处理中的resize过程实现生成中毒样本；

在插值线性化的基础上，采用反插值解决以下问题：

其中向量W_row和W_col线性无关，核心图像I_c由攻击者设置，扰动ρ是上述公式的解，当插值的输出大小小于输入大小时，上述公式变为欠定方程，解空间为非空；在不改变输出的情况下，扰动通过方程解空间的基础来操纵，方程分别分为W_rowρ＝0和ρW_col＝0，解空间的基是两个空间的基的并集，通过ρ＝B_rowX_row+X_colB_col计算微扰矩阵，B_row和B_col是权重矩阵空间的基，矩阵X_row和X_col是坐标；

中毒模块，用于将生成的中毒样本输入深度学习模型中使模型中毒，并在测试阶段使模型对于触发样本做出错误判断；

修复模块，用于将生成的中毒样本标注正确的类标输入深度学习模型中进行强化训练，以修复深度学习模型。