[发明专利]一种改进的符号优化对抗攻击方法

说明书

本发明公开了一种改进的符号优化对抗攻击方法，包括初始化搜索方向，估计目标函数梯度和更新搜索方向，对于非定向攻击，随机采样N个服从的扰动来得到初始搜索方向；利用回溯线性查找方法来找到最佳的搜索方向，在线性查找的每一次迭代中，仅使用一个单次查询即可判断新搜索方向是否正确，如果该方向不正确将不会使用二分查找方法计算边界对抗样本。该改进的符号优化对抗攻击方法，减少了大量的查询次数；不在决策边界上随机游走，有引导方向进行指引；对抗样本的失真收敛速度快；且不需要目标模型暴露置信分数，只需要模型的top‑1最终决策即可实现；不需要自己额外构建数据集并训练替代模型，简单易操作。

技术领域

本发明涉及对抗样本技术领域，具体为一种改进的符号优化对抗攻击方法。

背景技术

随着人工智能技术的不断提高，深度神经网络的安全性问题也在不断被关注。在一些现实应用场景中，如自动驾驶等，往往会要求深度神经网络具有高度的安全性和鲁棒性。已有大量的研究表明深度神经网络容易受到对抗样本的威胁，对抗样本也成为人工智能安全研究的一个热点。对抗样本是由原始图像叠加一个微小的扰动构成的。在人眼无法感知到这个微小扰动的情况下，分类模型会对该样本进行错误的判断。生成对抗样本的过程即称之为对抗攻击。根据攻击者是否能获得目标模型的具体结构及参数设置，对抗攻击分为白盒攻击和黑盒攻击。白盒攻击是指目标模型完全暴露给攻击者，攻击者已知模型的结构以及参数设置；黑盒攻击则是攻击者对目标模型的内部信息完全未知。其中，黑盒攻击又分为两类：基于迁移的黑盒攻击和基于查询的黑盒攻击。基于迁移的黑盒攻击要求攻击者能够获得目标模型的训练数据并且通过使用这些训练数据来训练出一个本地的替代模型，攻击者在这个替代模型上对原始图像进行白盒攻击来获得一个对抗样本，根据模型的迁移性，这个对抗样本有一定的概率在目标模型上也具有对抗性；基于查询的黑盒攻击是指攻击者利用模型的返回信息进行攻击。根据目标模型返回信息的不同，基于查询的黑盒攻击又进一步分为基于分数的攻击和基于硬标签的攻击。基于分数的黑盒攻击是指攻击者利用目标模型输出的置信分数生成对抗样本；基于硬标签的黑盒攻击则是指攻击者利用目标模型的top-1决策(硬标签)生成对抗样本。在现实场景中，硬标签黑盒攻击是这些攻击中最实用的。在硬标签黑盒攻击中，符号优化攻击(Sign-OPT Attack)因其性能卓越而受到了广泛关注。

但我们发现符号优化攻击(Sign-OPT Attack)的回溯线性查找过程中消耗了大量查询。本发明在每一轮线性查找过程中不使用二分查找而是直接判断沿新的搜索方向的候选样本是落在决策边界内还是决策边界外。这个判断只需要通过一个单次查询即可实现，以便获得最佳搜索方向，且显著减少了整体查询。本发明在MNIST、CIFAR-10及ImageNet三个数据上进行了大量的实验，验证了方案的可行性。

发明内容

(一)解决的技术问题

针对现有技术的不足，本发明提供了一种改进的符号优化对抗攻击方法，极大的减少了查询次数，并提高了攻击成功率。具备对抗样本的失真收敛速度快等优点，解决了需要额外构建数据集并训练替代模型，操作难度大的问题。

(二)技术方案

为实现上述目的，本发明提供如下技术方案：一种改进的符号优化对抗攻击方法，包括以下步骤：

S1：初始化搜索方向；

S2：估计目标函数梯度；

S3：更新搜索方向。

优选的，所述S1中对于非定向攻击，随机采样N个服从的扰动，通过调用模型找到其中具有对抗性的扰动。

优选的，所述S1中通过二分查找法计算出沿各个对抗扰动方向的边界对抗样本。

优选的，所述S3中使用回溯线性查找方法找到最佳的搜索方向，在符号优化攻击的线性查找过程中，每一次迭代都会使用二分查找方法计算出沿每个搜索方向的边界对抗样本。