[发明专利]一种缩放鲁棒性对抗补丁的生成方法

权利要求书

1.一种缩放鲁棒性对抗补丁的生成方法，其特征在于，包括以下步骤：

S1、随机初始化固定大小的对抗补丁P₀，对初始的对抗补丁P₀中的像素进行分割，得到分割模板T，T中包含了若干个超像素块；

S2、随机初始化一维噪声向量向量的长度与模板T中超像素的数量相等；

S3、基于模板T使用噪声向量初始化对抗补丁P₀，得到初始的超像素对抗补丁P；

S4、对抗补丁P粘贴到图像x的随机位置上，得到对抗样本x_adv；

S5、根据对抗样本的梯度以像素块的方式迭代更新对抗补丁P中的像素；

S6、同时使用黑盒指示器f_b为超像素对抗补丁的更新过程增加反馈信息，延长有利于提升黑盒攻击能力的梯度方向的更新过程，经过多次迭代更新后最终生成超像素对抗补丁P′；

S7、通过使用CAM模块提取对抗补丁P′的特征区域并消除冗余的噪声区域，得到最终的超像素对抗补丁块P”。

2.根据权利要求1所述的缩放鲁棒性对抗补丁的生成方法，其特征在于，步骤S1中每个像素块都是由四个像素组成。

3.根据权利要求1所述的缩放鲁棒性对抗补丁的生成方法，其特征在于，步骤S1中将初始时对抗补丁中像素数量的四分之一设置为超像素块的数量。

4.根据权利要求1所述的缩放鲁棒性对抗补丁的生成方法，其特征在于，步骤S1中应用SLIC算法对初始的对抗补丁P₀中的像素进行分割。

5.根据权利要求4所述的缩放鲁棒性对抗补丁的生成方法，其特征在于，步骤S1中SLIC算法具体为：首先随机生成K个像素块中心，然后依次计算出每个像素与各个像素块中心的距离，并将其划分到最近的像素块中心，通过计算将相邻的多个像素组合成一个超像素，最后迭代地更新像素块中心和超像素，直到最终收敛。

6.根据权利要求5所述的缩放鲁棒性对抗补丁的生成方法，其特征在于，SLIC算法使用颜色坐标(L,a,b)和位置坐标(x,y)标识每个像素，每个像素与各个像素块中心的距离D包括颜色距离d_c和位置距离d_s，d_c和d_s计算公式如式(1)和式(2)所示：

其中i，j分别表示的是第i个像素块中心和第j个像素；

每个像素与各个像素块中心的距离D的计算公式如式(3)所示：

其中m和s为调配两种距离的常数参数。

7.根据权利要求1所述的缩放鲁棒性对抗补丁的生成方法，其特征在于，每个超像素块内的噪声值在训练过程中始终相同并且同步更新。

8.根据权利要求1所述的缩放鲁棒性对抗补丁的生成方法，其特征在于，步骤S5中使用每个超像素块中绝对值最大的梯度作为整个超像素块更新的梯度值。

9.根据权利要求1所述的缩放鲁棒性对抗补丁的生成方法，其特征在于，步骤S6中使用集成模型作为黑盒指示器f_b，将多个黑盒模型进行集成，将各个模型把对抗样本分类到目标类概率的均值作为黑盒指示器判定的条件，若概率均值超过预定义的阈值b_p，认为该梯度方向有利于提升对抗补丁的迁移性，则继续在该梯度方向上迭代地更新对抗补丁。

10.根据权利要求1所述的缩放鲁棒性对抗补丁的生成方法，其特征在于，步骤S6的具体方法为：使用CAM计算得到热力图M，热力图中的数值分布在0和1之间，根据热力图M中的最大值的位置坐标定位出显著区域的中心坐标，基于热力图M提取对抗补丁的显著区域作为最终的超像素对抗补丁块P”。