[发明专利]一种适用于黑盒攻击下快速获取语音对抗样本的方法

权利要求书

1.一种适用于黑盒攻击下快速获取语音对抗样本的方法，该对抗样本用于公平的评价模型安全性，其特征在于：所述方法包括，

S1、采用二分查询算法确定原始音频x的决策边界，并配合滑动窗口法进行迭代以选择最佳攻击区域[s:e]，s初始值为0，e初始值为l，l为原始音频长度；

所述S1具体包括，

S11、s取临时值s_curr，对s_curr初始化为0的区域进行最小函数赋值，得到区域的临时终点e_curr＝min(s+l*α，l)以及临时音频x_curr[s_curr:e_curr]＝x^t[s_curr:e_curr]，其中，x^t为目标音频，α表示攻击区域与原始音频的长度比；

S12、以临时音频距离原始音频的距离进行二分法查询，判断该二分法查询相对原始音频间的残差规模d_curr＝||B(x,x_curr)-x||₂是否小于d以及临时音频x_curr在经过模型f后的输出f(x_curr)是否等于t，其中B表示二分查询算法，d表示之前搜索到的最小扰动的大小，t表示目标说话人的标签；

S13、当d_curr＜d且f(x_curr)＝t时，更新当前最佳扰动规模d＝d_curr，更新攻击区域s＝s_curr，e＝e_curr，且s_curr以w为滑动步长进行下次取值后重复S12，直至s_curr大于等于l时执行S14；

S14、以0.9*α更新收缩攻击区域α，并在当前标志位为否时，结束攻击区域的选择，而以上一次的攻击区域作为最佳攻击区域；

S2、在选择的攻击区域[s:e]中的低频区域添加扰动，通过计算梯度方向确定更新步长，更新扰动并利用二分查询算法获取下次迭代的对抗样本，直至完成设定的采样次数，得到最终的对抗样本x*；

所述S2具体包括如下步骤，

S21、设置最佳攻击区域[s:e]的低频区域长度为l′←β·(e-s)，初始化扰动对抗样本β为低频区域占比；

S22、在从[0,1]随机采样长度为l′的变量u_h，并在u_h后填充l-l′长度个0，采用逆离散余弦变换IDCT变化将u_h从频域转换回时域u_h←IDCT(u_h)，并将攻击区域以外的扰动清空，即u_h[0:s)←0、u_h(e:l]←0，直至采样次数大于H时，执行S23；

S23、通过公式计算梯度，

其中H表示采样个数，u_h表示随机采样的扰动，表示第i次迭代时的对抗样本，∈是一个极小的常数，取值0.001，φ表示指示函数，用于确定梯度方向；并采用网格搜索步长法计算步长ξ_i，采用如下公式更新扰动

S24、更新对抗样本以得到第i+1次迭代的对抗样本，直至i取值达到预先设定的查询次数，并以最后一次迭代得到对抗样本为最终对抗样本。

2.根据权利要求1所述适用于黑盒攻击下快速获取语音对抗样本的方法，其特征在于：

所述β取值为0.65。