[发明专利]基于条件标准流模型的黑盒对抗样本生成方法

说明书

本发明公开了一种基于条件标准流模型的黑盒对抗样本生成方法，首先使用白盒攻击方法生成原始图像对应的对抗样本，得到训练数据集，构建包括卷积神经网络和条件GLOW模型的条件标准流模型，其中卷积神经网络对原始样本提取图像特征作为条件变量，条件GLOW模型根据条件变量以及原始图像对应的对抗样本编码得到对应的隐空间表示；使用训练数据集对条件标准流模型进行训练，得到训练样本集隐空间表示的分布，然后以干净图像提取到的特征作为条件变量对隐空间表示的分布进行采样得到对抗样本输出，再进行裁剪后得到最终的对抗样本。本发明解决了黑盒攻击场景下，查询次数大、计算资源和时间消耗极其严重、不能批量生成对抗样本等问题。

技术领域

本发明属于人工智能技术领域，更为具体地讲，涉及一种基于条件标准流模型的黑盒对抗样本生成方法。

背景技术

随着人工智能的快速发展，深度神经网络被广泛地应用于各个领域(例如：计算机视觉、自然语言处理、自动驾驶、信息安全等)，取得了巨大的成功。深度神经网络的广泛应用使得深度神经网络自身的安全性日益受到关注。目前已经有研究者提出针对深度神经网络的对抗攻击方法，即：针对识别对象添加恶意的扰动，这些细微的扰动虽然人的视觉或听觉无法感知，但足以欺骗深度神经网络，使正常训练的模型输出置信度很高的错误预测结果，从而导致深度神经网络识别错误。这样的攻击，对于深度学习模型带来了巨大的威胁。

关于深度神经网络安全研究工作刚刚起步，虽然已经有了前人的前期探索工作，但还有一些地方有待深入研究。主要表现在：1)现在的大部分对抗攻击方法都是基于目标模型梯度的白盒攻击，而白盒攻击方法在现实世界中很难实现；2)尽管有一些黑盒攻击方法被提出，它们往往也是基于对抗样本的可转移性或者是对目标模型的梯度估计，而另外一类基于查询的黑盒攻击方法则需要对目标模型(系统)进行大量的查询和迭代优化操作来获取对抗样本，这需要大量计算资源和时间消耗；3)虽然基于查询的黑盒攻击方法在物理世界中可以实现，但仍面临在大量查询期间被目标系统所感知的风险，且不能快速、批量的生成对抗样本。

发明内容

本发明的目的在于克服现有技术的不足，提供一种基于条件标准流模型的黑盒对抗样本生成方法，设计了新的条件标准流模型，解决了黑盒攻击场景下，查询次数大、计算资源和时间消耗极其严重、不能批量生成对抗样本等问题，为人工智能安全性、鲁棒性研究提供一种快速、高效生成对抗样本的方法。

为了实现上述发明目的，本发明基于条件标准流模型的黑盒对抗样本生成方法包括以下步骤：

S1：根据实际需要获取若干图像以及对应标签，并将各图像归一化至预设尺寸作为原始样本，从而得到原始样本集合X；

采用收集到的原始样本集X对目标攻击模型进行训练，然后使用白盒攻击方法获取原始样本图像集X中每幅样本图像x的对抗样本x′，得到对抗样本集合X′；

最终，将原始样本集合X与对抗样本集合X′作为条件标准流模型的训练数据集；

S2：构建条件标准流模型，包括卷积神经网络和条件GLOW模型，其中：

卷积神经网络用于对输入图像提取图像特征，将得到的特征作为条件变量输入条件GLOW模型；

条件GLOW模型用于根据卷积神经网络的条件变量对输入图像的对抗样本进行编码，得到对应的隐空间表示；条件GLOW模型由L-1个流组件、squeeze层和K个流块堆叠构成，其中流组件由一个squeeze层、K个流块以及一个split层堆叠构成，L和K的值根据需要确定；流块为条件流块，包括Actnorm层、1×1卷积层和仿射耦合层，其中：

Actnorm层用于对输入的特征进行激活标准化，将得到的特征输入1×1卷积层；

1×1卷积层用于对输入的特征进行1×1卷积处理，将得到的特征输入仿射耦合层；