[发明专利]对抗攻击的方法、装置、可读介质和电子设备

权利要求书

1.一种对抗攻击的方法，其特征在于，所述方法包括：

将属于第一类别的第一样本图像作为编码前图像；

将所述编码前图像输入自编码模型，以根据所述自编码模型输出的编码后图像和第一模板图像，确定对抗图像，所述自编码模型为预先根据预设的训练集训练得到的，且与待攻击模型不相关的模型，所述训练集中包括所述第一样本图像、至少一个属于所述第一类别的第二样本图像，和多个属于第二类别的第三样本图像，所述第二类别和所述第一类别不相同，所述第一模板图像为所述训练集中指定的，属于所述第一类别的图像；

将所述对抗图像输入所述待攻击模型，以使所述待攻击模型将所述对抗图像识别为第三类别，所述第三类别与所述第一类别不相同；

所述将所述编码前图像输入自编码模型，以根据所述自编码模型输出的编码后图像和第一模板图像，确定对抗图像，包括：

将所述编码前图像输入所述自编码模型，以得到所述自编码模型输出的所述编码后图像；

根据所述自编码模型的对抗损失，确定第一更新向量，所述对抗损失根据所述编码后图像与所述第一模板图像的差确定；

根据所述第一更新向量更新所述编码前图像；

重复执行所述将所述编码前图像输入预先训练的自编码模型，至所述根据所述第一更新向量更新所述编码前图像的步骤，直至所述对抗损失满足第一预设条件，将所述编码前图像作为对抗图像，所述第一预设条件为所述对抗损失大于预设的对抗损失阈值。

2.根据权利要求1所述的方法，其特征在于，所述根据所述自编码模型的对抗损失，确定第一更新向量，包括：

根据所述编码后图像与所述第一模板图像的差，和所述编码后图像与第二模板图像的差，确定所述对抗损失，所述第二模板图像为所述训练集中指定的，属于所述第二类别的图像；

以增大所述对抗损失为目标，利用反向传播算法确定所述第一更新向量。

3.根据权利要求1所述的方法，其特征在于，在所述将所述对抗图像输入所述待攻击模型之前，所述方法还包括：

将所述对抗图像输入所述自编码模型，以得到所述自编码模型中的指定层输出的中间图像，所述指定层不为所述自编码模型中的输入层和输出层；

根据所述自编码模型的扰动损失，确定第二更新向量，所述扰动损失根据所述中间图像与所述第一样本图像确定；

根据所述第二更新向量更新所述对抗图像；

重复执行所述将所述对抗图像输入所述自编码模型，至所述根据所述第二更新向量更新所述对抗图像的步骤，直至所述扰动损失满足第二预设条件。

4.根据权利要求3所述的方法，其特征在于，所述根据所述自编码模型的扰动损失，确定第二更新向量包括：

根据所述对抗图像与所述第一样本图像，和所述中间图像与所述第一样本图像，确定所述扰动损失；

以增大所述扰动损失为目标，利用反向传播算法确定所述第二更新向量。

5.根据权利要求1-4中任一项所述的方法，其特征在于，所述自编码模型是通过以下步骤训练得到的：

获取所述训练集和模板图像集，所述模板图像集中包括所述第一模板图像和第二模板图像，所述第二模板图像为所述训练集中指定的，属于所述第二类别的图像；

将所述训练集作为所述自编码模型的输入，将所述模板图像集作为所述自编码模型的输出，训练所述自编码模型，以使所述自编码模型的编码损失满足第三预设条件。

6.根据权利要求5所述的方法，其特征在于，所述将所述训练集作为所述自编码模型的输入，将所述模板图像集作为所述自编码模型的输出，训练所述自编码模型，包括：

若将所述第一样本图像或所述第二样本图像输入所述自编码模型，根据所述自编码模型的输出与所述第一模板图像的差，确定所述编码损失；

若将所述第三样本图像输入所述自编码模型，根据所述自编码模型的输出与所述第二模板图像的差，确定所述编码损失；

以减小所述编码损失为目标，利用反向传播算法训练所述自编码模型。