[发明专利]一种基于贝叶斯优化的对抗样本生成方法

权利要求书

1.一种基于贝叶斯优化的对抗样本生成方法，其特征在于，该方法包括如下步骤：

步骤一、获取原始图像x的真实类别y_c及其概率M_c

以原始图像x作为以θ为参数的目标DNN分类器的输入，获得原始图像的概率输出向量M(x；θ)；取概率输出向量中最大值对应的类别作为原始图像的类别预测y_c，概率输出向量中最大值为M_c；

步骤二、确定待优化的目标函数

使用迭代的方法生成对抗样本，为了降低计算的复杂度，在每个迭代中仅扰动图像向量的某一维度；设扰动值为z，并将扰动值z赋值到Δx的对应维度；扰动值满足||z||＜ε，以确保图像质量，ε为设定的阈值；将x+Δx输入到参数为θ的深层神经网络DNN分类器中，得到预测输出向量M(x+Δx；θ)；令M(x+Δx；θ)中除y_c类别外的最大概率值为M_t，其对应的类别为y_t，目标函数定义为B(z)＝log(M_c)-log(M_t)；优化的目标是B(z)≤0，从而改变目标DNN分类器对被扰动图像的分类结果；Δx是与x具有相同维度的全0扰动向量；

步骤三、确定此次迭代中需要优化的坐标与通道

在第T次迭代中，计算当前扰动图像x′＝x+Δx与随机图像x_G的结构相似度的梯度选择其中最小梯度值对应的维度s作为需要的优化维度；x_G是与x具有相同维度的从高斯分布中采样得到的随机向量；

步骤四、对特定维度中使用贝叶斯优化

1)使用高斯过程代理待优化的目标函数，使用EI策略作为采集函数；设定最大测试点次数为I，以及当前测试点数量i＝0；首先随机选择几个扰动值进行测试，生成初始观测数据集D_1：t，包含t个已观测数据点；

2)根据已观测到的数据集D_1：t得到的后验分布构造一个EI采集函数α_t(z；D_1：t)：

其中，v^*表示当前最优函数值，φ(·)为标准正态分布概率密度函数，μ_t(z)与σ_t(z)分别表示D_1：t中数据点的均值与方差；

3)通过最大化采集函数选择下一个评估点将z_t+1赋值到Δx的对应维度s，并评估此时的目标函数值B(z_t+1)，在z_t+1处评估后将评估值加入观测数据集D；i+＝1，若i≤I，转(2)；

4)输出已观测数据集中的最小函数值B(z)及其对应的扰动值z；

步骤五：将步骤四得到的最佳扰动值z赋值到扰动向量Δx；若B(z)≤0，则认为攻击成功，将被扰动图片x+Δx作为对抗样本输出，若B(z)＞0，则认为在此次迭代中攻击不成功，跳转到步骤三，在当前扰动向量Δx的基础上继续下一次迭代。