[发明专利]一种适用于黑盒攻击下快速获取语音对抗样本的方法

说明书

本发明涉及一种适用于黑盒攻击下快速获取语音对抗样本的方法，所述方法包括S1、采用二分查询算法确定原始音频x的决策边界，并配合滑动窗口法进行迭代以选择最佳攻击区域[s:e]，s初始值为0，e初始值为l，l为原始音频长度；S2、在选择的攻击区域[s:e]中的低频区域添加扰动，通过计算梯度方向确定更新步长，更新扰动并利用二分查询算法获取下次迭代的对抗样本，直至完成设定的采样次数，得到最终的对抗样本x*。该方法提高了对抗样本生成效率。

技术领域

本发明涉及语音处理领域，尤其涉及一种适用于黑盒攻击下快速获取语音对抗样本的方法。

背景技术

黑盒对抗样本攻击是一种公平的评价模型安全性的指标和手段，其采用查询模型的方式生成对抗样本。现有的黑盒攻击主要应用对象都是图像领域的模型，而在语音领域未有展开相应工作。

音频数据为时间序列，是一个一维数据，包含信息量少，难以估计准确的梯度信息，而图像是二维数据，包含信息量大，空间上具有较强的信息依赖性，有着更多的信息可以利用；音频常用的每秒采样点为16000以上，而一段说话人音频通常有着4s以上的时间，这导致音频信息在单个维度上具有几万个数据点，而图像在一个维度上仅有几百个采样点，相比图像而言，音频要想获取到准确的更新方向很难；图像在归一化后通常数值范围为[0，1]，而音频对应的通常是[-1，1]。

以上种种原因，造成语音相比图像而言具有较大差异，使得黑盒攻击应用于音频领域时需要更多的查询次数，对抗样本产生难度增加，无法提供公平的评判。

发明内容

鉴于上述问题，本发明的目的在于提供一种可大大降低攻击的查询次数快速产生对抗样本的适用于黑盒攻击的方法。

为了实现上述目的，本发明的技术方案为：一种适用于黑盒攻击下快速获取语音对抗样本的方法，其特征在于：所述方法包括，

S1、采用二分查询算法确定原始音频x的决策边界，并配合滑动窗口法进行迭代以选择最佳攻击区域[s:e]，s初始值为0，e初始值为l，l为原始音频长度，

S2、在选择的攻击区域[s:e]中的低频区域添加扰动，通过计算梯度方向确定更新步长，更新扰动并利用二分查询算法获取下次迭代的对抗样本，直至完成设定的采样次数，得到最终的对抗样本x*。

进一步的，所述S1具体包括，

S11、s取临时值s_curr，对s_curr初始化为0的区域进行最小函数赋值，得到区域的临时终点e_curr＝min(s+l*α，l)以及临时音频x_curr[s_curr:e_curr]＝x^t[s_curr:e_curr]，其中，x^t为目标音频，α表示攻击区域与原始音频的长度比；

S12、以临时音频距离原始音频的距离进行二分法查询，判断该二分法查询相对原始音频间的残差规模d_curr＝||B(x,x_curr)-x||₂是否小于d以及临时音频x_curr在经过模型f后的输出f(x_curr)是否等于t，其中d表示之前搜索到的最小扰动的大小，t表示目标说话人的标签；

S13、当d_curr＜d且f(x_curr)＝t时，更新当前最佳扰动规模d＝d_curr，更新攻击区域s＝s_curr，e＝e_curr，且s_curr以w为滑动步长进行下次取值后重复S12，直至s_curr大于等于l时执行S14；