[发明专利]一种模型确定方法和系统

权利要求书

1.一种模型确定方法，包括：

获取源图像和目标图像，其中所述源图像属于第一图像类别，所述目标图像属于第二图像类别；

确定补丁区域，所述补丁区域用于限定对抗补丁被用于所述源图像和所述目标图像中的位置和大小；

基于所述源图像、所述目标图像和所述补丁区域，通过多轮迭代确定对抗补丁，其中所述对抗补丁被用于所述目标图像后得到的对抗样本能够被机器学习模型识别为属于所述第一图像类别；

使用所述对抗样本对所述机器学习模型进行对抗训练，得到目标模型。

2.根据权利要求1所述的方法，所述基于所述源图像、所述目标图像和所述补丁区域，通过多轮迭代确定对抗补丁，包括：

根据所述源图像和所述补丁区域确定初始对抗补丁；

将所述源图像作为当前源图像，将所述初始对抗补丁作为当前对抗补丁；

用当前对抗补丁替换当前源图像中的相应区域；

用当前对抗补丁替换所述目标图像中的相应区域；

对用当前对抗补丁替换了相应区域后的当前源图像和用当前对抗补丁替换了相应区域后的目标图像进行二分查找，以找到靠近所述机器学习模型的决策边界且被识别为属于所述第一图像类别的图像，根据所述找到的图像更新当前源图像；

判断用当前对抗补丁替换了相应区域后的目标图像是否被所述机器学习模型识别为属于所述第一图像类别；

如果否，则确定损失函数值相对于所述补丁区域各像素的梯度，以更新当前对抗补丁，并返回所述用当前对抗补丁替换当前源图像中相应区域的步骤，进行下一轮迭代；

如果是，则将当前对抗补丁确定为最终的对抗补丁。

3.根据权利要求2所述的方法，所述确定损失函数值相对于所述补丁区域各像素的梯度，包括：

通过蒙特卡罗法，估计损失函数相对于所述补丁区域各像素的梯度。

4.根据权利要求1所述的方法，所述机器学习模型为内部结构未知的模型。

5.根据权利要求1所述的方法，所述机器学习模型用于识别人脸图像；

所述源图像为第一用户的人脸图像；

所述目标图像为第二用户的人脸图像；

用所述对抗补丁处理所述第二用户的人脸图像后得到的对抗样本能够被所述机器学习模型识别为所述第一用户，使所述第一用户的个人数据被盗用。

6.一种模型确定系统，包括：

获取模块，用于获取源图像和目标图像，其中所述源图像属于第一图像类别，所述目标图像属于第二图像类别；

补丁区域确定模块，用于确定补丁区域，所述补丁区域用于限定对抗补丁被用于所述源图像和所述目标图像中的位置和大小；

对抗补丁确定模块，用于基于所述源图像、所述目标图像和所述补丁区域，通过多轮迭代确定对抗补丁，其中所述对抗补丁被用于所述目标图像后得到的对抗样本能够被机器学习模型识别为属于所述第一图像类别；

模型训练模块，用于使用所述对抗样本对所述机器学习模型进行对抗训练，得到目标模型。

7.根据权利要求6所述的系统，所述对抗补丁确定模块还用于：

根据所述源图像和所述补丁区域确定初始对抗补丁；

将所述源图像作为当前源图像，将所述初始对抗补丁作为当前对抗补丁；

用当前对抗补丁替换当前源图像中的相应区域；

用当前对抗补丁替换所述目标图像中的相应区域；

对用当前对抗补丁替换了相应区域后的当前源图像和用当前对抗补丁替换了相应区域后的目标图像进行二分查找，以找到靠近所述机器学习模型的决策边界且被识别为属于所述第一图像类别的图像，根据所述找到的图像更新当前源图像；

判断用当前对抗补丁替换了相应区域后的目标图像是否被所述机器学习模型识别为属于所述第一图像类别；

如果否，则确定损失函数值相对于所述补丁区域各像素的梯度，以更新当前对抗补丁，并返回所述用当前对抗补丁替换当前源图像中相应区域的步骤，进行下一轮迭代；

如果是，则将当前对抗补丁确定为最终的对抗补丁。