[发明专利]基于数字信号扰动的干净标签神经网络后门攻击方法

权利要求书

1.一种基于数字信号扰动的干净标签神经网络后门攻击方法，其特征在于包括以下步骤：

S1：选定待植入触发器所采用的数字信号扰动类型type(trigger)；

S2：选定待植入触发器植入通道channel(trigger)；

S3：选定待植入触发器植入位置区域pattern(trigger)；

S4：选定待植入触发器的目标类别class(trigger)；

S5：基于后门植入算法

G(img,type(trigger),channel(trigger),pattern(trigger),class(trigger))生成后门样本；

S6：设定后门样本注入率α，依据注入率随机选取目标类别样本，构建后门数据集D_bk；

S7：通过D_bk与剩余良性样本组合，构成混合数据集D_mix，重训练原始图像分类器，实现干净标签下的后门植入。

2.如权利要求1所述的基于数字信号扰动的干净标签神经网络后门攻击方法，其特征在于S1步骤中：选定待植入触发器所采用的数字信号扰动类型type(trigger)；植入数字信号扰动触发器的后门样本应该可以在网络用来分类良性样本的相同(或相似)特征空间中检测到，针对不同分类任务引入两种类别的数字信号扰动：斜变信号和水平正弦信号；

对于数字分类任务，定义的斜变信号为：

其中(i,j)表示后门数字信号施加扰动的像素位置，v(i,j)为扰动值，m是带植入数字信号扰动区域的列数，l是行数，Δ是信号扰动强度；

在交通标志分类的情况下，选择水平正弦信号定义如下：

v(i,j)＝Δsin(2πjf/m)

其中(i,j)表示后门数字信号施加扰动的像素位置，v(i,j)为扰动值。m是图像的列数，Δ是信号扰动强度，f是选定的正弦信号频率。

3.如权利要求1所述的基于数字信号扰动的干净标签神经网络后门攻击方法，其特征在于S2步骤中：选定待植入触发器植入通道channel(trigger)；图像可以分为RGB三个色彩通道，在RGB通道内任选一个通道，在B通道植入数字信号扰动触发器：

channel(trigger)＝(0,0,1)。

4.如权利要求1所述的基于数字信号扰动的干净标签神经网络后门攻击方法，其特征在于S3步骤中：选定待植入触发器植入位置区域pattern(trigger)；在约图像1/4面积施加触发器扰动，即可实现实现后门攻击，选择触发器植入位置区域为：

pattern(trigger)＝(m,n)

其中图像尺寸为(M,N)，m，n为植入触发器扰动的行数和列数。

5.如权利要求1所述的基于数字信号扰动的干净标签神经网络后门攻击方法，其特征在于S4步骤中：选定待植入触发器的目标类别class(trigger)；使得后门样本的目标标签与源标签保持一致，定义目标类别为：

class(trigger)＝c_i

s.t.c_i∈(0,C-1)

其中数据集类别数为C。

6.如权利要求1所述的基于数字信号扰动的干净标签神经网络后门攻击方法，其特征在于S5步骤中：基于后门植入算法

G(img,type(trigger),channel(trigger),pattern(trigger),class(trigger))生成后门样本；在确定待植入触发器所采用的数字信号扰动类型type(trigger)、选定待植入触发器植入通道channel(trigger)、待植入触发器植入位置区域pattern(trigger)、待植入触发器的目标类别class(trigger)后，对选定的样本植入数字信号扰动触发器：

x_bk＝G(img,type(trigger),channel(trigger),pattern(trigger),class(trigger))。