[发明专利]一种对抗样本检测方法、装置、电子设备及介质

权利要求书

1.一种对抗样本检测方法，其特征在于，所述方法包括：

获取待分类图像；

将所述待分类图像分别输入图像分类模型和辅助模型，获取所述图像分类模型对所述待分类图像的第一分类结果，以及所述辅助模型对所述待分类图像的第二分类结果；其中，所述辅助模型为在指定约束条件下，与所述图像分类模型的决策边界差异最大的深度学习模型；

若所述第一分类结果与所述第二分类结果相同，则确定所述待分类图像的分类结果为所述第一分类结果；

若所述第一分类结果与所述第二分类结果不同，则确定所述待分类图像为对抗样本；

所述辅助模型通过以下步骤得到：

针对所述图像分类模型对应的预设训练集中的每个指定样本，生成该指定样本对应的边界样本；其中，所述图像分类模型为基于所述预设训练集对深度学习模型进行训练得到的模型，所述边界样本位于所述图像分类模型的决策边界；

针对每个指定样本，为该指定样本添加指定扰动，得到该指定样本对应的反边界样本；其中，所述指定扰动为：在所述指定约束条件下，使得所述图像分类模型与所述辅助模型的决策边界差异最大的扰动，所述图像分类模型的决策边界基于各指定样本对应的边界样本确定；所述指定约束条件为所述指定扰动的规模小于扰动阈值；

基于所述预设训练集和反边界样本集对深度学习模型进行训练，得到所述辅助模型；所述反边界样本集包括各指定样本对应的反边界样本，以及各反边界样本所属的类别，所述辅助模型的决策边界基于各指定样本对应的反边界样本确定；

所述针对所述图像分类模型对应的预设训练集中的每个指定样本，生成该指定样本对应的边界样本包括：

针对所述图像分类模型对应的预设训练集中的每个指定样本，基于预设公式为该指定样本添加扰动；

其中，所述预设公式为或者i为迭代次数；i的初始值为零，当i为0时，x₀为该指定样本；x_i为此次添加扰动前的样本；x_i+1为对x_i添加扰动后得到的样本；η为梯度下降步长；和均为添加的扰动；为的梯度；为符号函数；为的p范数；为损失函数，其中，b为该指定样本的原始类别，t为目标类别，f_b(x)为所述图像分类模型对样本x进行分类得到的分类结果为b类别的概率，f_t(x)为所述图像分类模型对样本x进行分类得到的分类结果为t类别的概率；

将i加1，判断imax_iter和是否成立；其中max_iter为最大迭代次数，κ为损失函数阈值；

若是，则返回基于预设公式为该指定样本添加扰动的步骤；

若否，则确定该指定样本对应的边界样本为x^*＝Clip_∈{x_i}，Clip_∈{x_i}用于将x_i的取值限定在预设范围内；

所述针对每个指定样本，为该指定样本添加指定扰动，得到该指定样本对应的反边界样本，包括：

针对每个指定样本，确定该指定样本对应的差值扰动δ_o，其中，x^*＝x+δ_o，x为该指定样本，x^*为该指定样本对应的边界样本；

计算该指定样本对应的满足以下约束条件的指定扰动δ_A：

s.t.||δ_A||_p≤e

其中，为δ_A与δ_o之间的欧式距离或者余弦距离，∈为指定扰动δ_A的p范数的最大值；

为该指定样本添加该指定样本对应的指定扰动δ_A，得到该指定样本对应的反边界样本

所述基于所述预设训练集和反边界样本集对深度学习模型进行训练，得到所述辅助模型包括：

分别将所述预设训练集中的每个指定样本和所述反边界样本集中的每个反边界样本输入深度学习模型，获取所述深度学习模型对该指定样本的分类结果和对该反边界样本的分类结果；

获取使得的值最小时的θ值；

其中，为基于所述深度学习模型对指定样本x的分类结果计算得到的损失函数，y为指定样本x在所述预设训练集中的标注分类，p_data1为所述预设训练集；θ为所述深度学习模型的模型参数；为基于所述深度学习模型对反边界样本的分类结果计算得到的损失函数，t为反边界样本在所述反边界样本集中的标注分类，p_data2为所述反边界样本集。