[发明专利]一种具有视觉感知隐蔽性的黑盒图像对抗样本生成方法

说明书

本发明涉及一种具有视觉感知隐蔽性的黑盒图像对抗样本生成方法，涉及人工智能安全技术领域。主要技术方案包括：1初始化算法参数以及对抗样本集合；2根据对抗攻击效果挑选优势对抗样本子集；3判断最优对抗样本是否攻击成功，如果攻击成功，则转到步骤6；4否则利用对抗样本子集交叉产生新的对抗样本集合；5按照一定概率添加隐蔽性噪声；6输出对抗样本并进行测试。本发明利用视觉感知的掩蔽效应，使产生的对抗样本与原始图像的视觉感知相似度高，具有良好的隐蔽性，能够在不被察觉的情况下发动黑盒对抗攻击。

技术领域

本发明涉及人工智能安全技术领域，具体涉及一种具有视觉感知 隐蔽性的黑盒图像对抗样本生成方法。

背景技术

随着大数据的出现与大规模计算能力的提升，人工智能在社会的 方方面面得到了广泛的应用，尤其是图像识别领域，人工智能在图像 分类、目标检测、图像分割等方面取得了许多优异的成果。然而随着 对人工智能的深入研究与广泛应用，其安全问题也逐渐暴露出来。 Christian Szegedy在2014年提出了对抗样本的概念，即在输入数据中 故意添加细微的干扰，导致模型对输入以高置信度给出错误的输出。 多数卷积神经网络对于对抗样本都有脆弱性，因此对抗样本逐渐成为 了人工智能安全领域的研究热点。

广州大学在其申请的专利“一种图像对抗样本生成方法”(申请 专利号：202011317776.8，公开号：CN112529047A)中提出了一种基 于梯度屏蔽的对抗样本生成方法。该方法包括：S1，将原始输入图像 X表示成a×b的矩阵D，记为D＝D_a×b；S2，采用目标检测算法在矩阵 D中进行核心区域定位，得到核心区域D^S；S3，运行基于梯度的攻 击方法得到梯度矩阵M_G；S4，基于核心区域D^S和梯度矩阵M_G构造 梯度屏蔽矩阵H；S5，将梯度矩阵M_G与梯度屏蔽矩阵H对应相乘得 到更新梯度矩阵M′_G；S6，依据公式完成对抗样本的构造：S7，重复执行步骤S3-S6进行K轮迭代，最终得到基于区域的梯度屏蔽方法的 对抗样本。该发明提出的方法既实现了高效的对抗样本生成，拥有与 梯度攻击相似的成功率，又减少了对抗样本相对于原始样本的扰动， 提高了对抗样本的抗感知能力和抗检测能力。但是，该方法仍然存在 的不足之处是：属于白盒对抗样本生成方法，对梯度的计算需要获取 目标模型的参数信息或神经网络结构。

北京理工大学在其申请的专利″一种针对图像识别模型分类边界 敏感的对抗样本生成方法″(申请专利号：201910256169.6，公开号： CN109961145A)中提出了一种针对图像识别模型分类边界敏感的对 抗样本生成方法。该方法包括如下步骤：步骤一、初始参数设定；步 骤二、生成初始基因种群；步骤三、基因交叉；步骤四、基因变异； 步骤五、基因选择；步骤六、基因进化迭代；步骤七、减少对抗样本 与原始样本不同像素点的个数；步骤八、减少对抗样本与原始样本不 同RGB channels的个数；步骤九、缩小对抗样本与原始图片的像素 值差异。该发明提出的方法不依赖于模型返回的置信度，只需要一个 最终的分类标签即可；针对于大型图片生成对抗样本具有很好的效果； 在参数调节恰当的情况下，比一般的基于决策边界的攻击方法所需要 的查询次数更少。但是，该方法仍然存在的不足之处是：扰动像素点 个数并不能代表视觉感知上的隐蔽效果，因此生成的对抗样本与原始 图像视觉感知相似度低，隐蔽性差。

发明内容

(一)要解决的技术问题

本发明要解决的技术问题是：如何设计一种具有视觉感知隐蔽性 的黑盒图像对抗样本生成方法，使得黑盒图像对抗样本在视觉感知上 具有良好的隐蔽性。

(二)技术方案

为了解决上述技术问题，本发明提供了一种具有视觉感知隐蔽性 的黑盒图像对抗样本生成方法，包括以下步骤：

(1)初始化遗传算法参数以及对抗样本集合：