[发明专利]一种面向目标分类系统的通用目标攻击方法及装置

权利要求书

1.一种面向目标分类系统的通用目标攻击方法，其特征在于，包括步骤：

S1、对随机生成的噪音矩阵进行初始化，得到初始噪音矩阵；

S2、将所述初始噪音矩阵叠加至自然图像，得到伪装图像，并通过标签误导方法和特征误导方法误导所述目标分类系统，得到误导后的目标分类系统，以获取所述误导后的目标分类系统对所述伪装图像的分类结果；所述标签误导方法的优化公式为：

其中，I为可视化图像；C为目标分类系统，C(t*)为目标分类系统对自然图像t*的分类结果，C((t+z)*)为目标分类网络对伪装图像I^t＝(t+z)*的分类结果；

所述特征误导方法的公式如下：

其中，I为可视化图像；f为目标分类系统的卷积层，f((t+z)*)为目标分类系统对伪装图像I^t＝(t+z)*的特征提取结果，f(I)为目标分类系统对可视化图像I的特征提取结果；

S3、对所述初始噪音矩阵进行更新得到更新噪音矩阵，并将所述初始噪音矩阵更新为所述更新噪音矩阵；

S4、迭代执行步骤S2～S3直至满足预设停止条件，获取当前所述初始噪音矩阵和/或当前所述伪装图像。

2.如权利要求1所述的面向目标分类系统的通用目标攻击方法，其特征在于，所述步骤S1，还包括：

获取目标类别的可视化图像。

3.如权利要求2所述的面向目标分类系统的通用目标攻击方法，其特征在于，所述通过标签误导方法和特征误导方法误导所述目标分类系统，得到误导后的目标分类系统，具体为：

通过标签误导方法使所述目标分类系统将所述伪装图像分类为所述目标类别的概率达到最大概率，并通过特征误导方法使所述目标分类系统所提取的所述伪装图像的特征与所述可视化图像的特征的相似度达到最大相似度，得到所述误导后的目标分类系统。

4.如权利要求1所述的面向目标分类系统的通用目标攻击方法，其特征在于，所述对所述初始噪音矩阵进行更新得到更新噪音矩阵，具体为：

通过梯度下降方法更新所述初始噪音矩阵，得到中间噪音矩阵，并通过语义约束方法约束所述中间噪音矩阵的取值范围，得到所述更新噪音矩阵。

5.如权利要求1所述的面向目标分类系统的通用目标攻击方法，其特征在于，所述迭代执行步骤S2～S3直至满足预设停止条件，获取当前所述初始噪音矩阵和/或当前所述伪装图像，具体包括：

在当前迭代执行次数等于第一预设阈值时，统计当前所有所述分类结果得到第一攻击成功率，并在当前迭代执行次数等于第二预设阈值时，统计当前所有所述分类结果得到第二攻击成功率；其中，所述第二预设阈值大于所述第一预设阈值；

比较所述第一攻击成功率和所述第二攻击成功率，在所述第二攻击成功率小于所述第一攻击成功率时判定满足所述预设停止条件，停止迭代执行步骤S2～S3，并获取当前所述初始噪音矩阵和/或当前所述伪装图像。