[发明专利]一种基于生成模型的对抗样本的检测方法

说明书

一种基于生成模型的对抗样本的检测方法，提出了Flow‑Pronged Defense against Adversarial Examples(FPD)，这是一种保护神经网络分类器免受对抗性例子的框架。FPD不需要修改受保护的分类器，它包括一个FLOW模型和一个残差网络分类器。Flow模型对对抗样本进行变换，使得分类器可以更好地对对抗样本和干净样本进行分类。残差网络通过跨层连接加强干扰数据和干净数据的区别。一，它既不修改目标分类器，也不依赖于分类器的特定属性，因此可用于保护范围广泛的神经网络。二，FPD独立于生成对抗样本，大部分对抗样本可以通过转换器变换样本的空间来检测。

技术领域

本发明涉及对抗样本检测方法领域，特别涉及一种基于生成模型的对抗样本的检测方法。

背景技术

1.深度神经网络在许多机器学习任务中取得了巨大的成功，例如图像识别和分类。然而，DNN容易受到对抗性攻击，其中对抗性噪声被添加到图像或语音文件中，因此基于目标DNN的系统输出错误的结果。攻击者可以计算故意噪声来误导输出。对抗性示例是扰动图像、视频和通过优化输入创建的语音，以在最小变化的情况下最大化预测误差。这种扰动非常微小，以人类的感知能力很难检测到。尽管一些基于DNN的系统可以达到接近人类的准确度，但它们感知输入的方式与人类不同。对抗性示例是基于DNN的系统的漏洞，恶意用户可以利用该漏洞影响行为。可以使用对抗性示例攻击的系统示例包括人脸识别和自动驾驶系统。此外，当对手可以访问训练数据库时，DNN 训练数据集也可能中毒。提出了许多防御对抗样本的方法，但大致可以分为三类：(1)用对抗样本训练目标分类器称为对抗训练；(2)训练分类器区分正常和对抗样本；(3)加密模型梯度信息，如蒸馏技术。

然而，所有这些方法都有局限性。(1)和(2)都需要对抗样本来训练防御，因此它们的防御能力有一定的局限性，特别是对于一种新的对抗性攻击方法，往往无法达到理想的防御效果。对于(3)， Carlini等人。表明防御性蒸馏并没有显着提高神经网络的鲁棒性。此外，该方法需要对目标分类器进行修改和重新训练，增加了工程复杂度。

2.由于机器学习算法的输入形式是数值向量，攻击者可以通过调整目标数值向量使机器学习模型出错，称为对抗性攻击。与其他攻击不同，对抗性攻击主要修改数据，称为对抗样本。然后将对抗样本输入到机器学习模型中，导致模型被错误分类。在形式上，可以表示为：对于给定的分类器f(x)，输出一个标签y’作为输入的预测， y是x的真实标签，对抗性攻击的目标是找到一个小的干扰δ，误导分类器y≠y’＝f(x+δ)。扰动在本文中受范数约束||δ||_{i(i＝0,1,...,∞)}≤ε。所以约束优化问题可以表示为：

arg maxJ(x+δ,y)||δ||_i≤ε,

J表示损失函数。

目前，对于白盒攻击，有大量可靠的方法。塞格迪等人首先发现了深度神经网络在图像分类领域的脆弱性。他们证明，即使具有高准确率的神经网络仍然容易受到对抗样本的攻击。他们提出了一种框约束LBFGS方法来可靠地找到对抗样本。由于LBFGS需要昂贵的计算，Goodfellow等人提出了一种可以有效计算扰动的方法，该方法在他们的发明中称为FGSM。可以表示如下， x'＝x+ε·sign(▽_xJ(x,y)),

其中x是图像，y是真实标签，ε是超参数，符号sign(·)是符号函数，x’表示对抗样本。库拉金等人提出了基本迭代方法(BIM)，它通过以小步长α迭代地多次应用梯度更新来扩展FGSM，可以表示为

x'₀＝x,x'_t+1＝x'_t+α·sign(▽_xJ(x'_t,y))，