[发明专利]一种面向目标分类系统的通用目标攻击方法及装置

说明书

本发明公开了一种面向目标分类系统的通用目标攻击方法及装置。所述方法，包括步骤：S1、对随机生成的噪音矩阵进行初始化，得到初始噪音矩阵；S2、将所述初始噪音矩阵叠加至自然图像，得到伪装图像，并通过标签误导方法和特征误导方法误导所述目标分类系统，得到误导后的目标分类系统，以获取所述误导后的目标分类系统对所述伪装图像的分类结果；S3、对所述初始噪音矩阵进行更新得到更新噪音矩阵，并将所述初始噪音矩阵更新为所述更新噪音矩阵；S4、迭代执行步骤S2～S3直至满足预设停止条件，获取当前所述初始噪音矩阵和/或当前所述伪装图像。本发明能够实现定向攻击目标分类系统，获取具有最佳攻击效果的噪音矩阵和/或伪装图像。

技术领域

本发明涉及图像处理技术领域，尤其涉及一种面向目标分类系统的通用目标攻击方法及装置。

背景技术

近年来，深度神经网络作为目标分类系统被广泛应用于图像分类、目标检测、自然语言处理等领域。由于深度神经网络容易受到输入端微小扰动的影响而发生分类错误，施加一个微小的通用扰动可能使深度神经网络在整个数据集上失效。因此，深入研究通用扰动的存在根源和生成方法，有助于将叠加有通用扰动的图像作为对抗样本构建更加健壮的深度神经网络。而通用扰动生成问题要求得到一个扰动向量对整个数据集产生指定扰动率的攻击效果。目前，基于现有算法得到的定向攻击的通用扰动范数较大，容易被人眼识别，减小范数扰动迁移性也几乎为0，通用攻击效果不佳。

发明内容

为了克服现有技术的缺陷，本发明提供一种面向目标分类系统的通用目标攻击方法及装置，能够实现定向攻击目标分类系统，获取具有最佳攻击效果的噪音矩阵和/或伪装图像。

为了解决上述技术问题，第一方面，本发明一实施例提供一种面向目标分类系统的通用目标攻击方法，包括步骤：

S1、对随机生成的噪音矩阵进行初始化，得到初始噪音矩阵；

S2、将所述初始噪音矩阵叠加至自然图像，得到伪装图像，并通过标签误导方法和特征误导方法误导所述目标分类系统，得到误导后的目标分类系统，以获取所述误导后的目标分类系统对所述伪装图像的分类结果；

S3、对所述初始噪音矩阵进行更新得到更新噪音矩阵，并将所述初始噪音矩阵更新为所述更新噪音矩阵；

S4、迭代执行步骤S2～S3直至满足预设停止条件，获取当前所述初始噪音矩阵和/或当前所述伪装图像。

进一步地，所述步骤S1，还包括：

获取目标类别的可视化图像。

进一步地，所述通过标签误导方法和特征误导方法误导所述目标分类系统，得到误导后的目标分类系统，具体为：

通过标签误导方法使所述目标分类系统将所述伪装图像分类为所述目标类别的概率达到最大概率，并通过特征误导方法使所述目标分类系统所提取的所述伪装图像的特征与所述可视化图像的特征的相似度达到最大相似度，得到所述误导后的目标分类系统。

进一步地，所述对所述初始噪音矩阵进行更新得到更新噪音矩阵，具体为：

通过梯度下降方法更新所述初始噪音矩阵，得到中间噪音矩阵，并通过语义约束方法约束所述中间噪音矩阵的取值范围，得到所述更新噪音矩阵。

进一步地，所述迭代执行步骤S2～S3直至满足预设停止条件，获取当前所述初始噪音矩阵和/或当前所述伪装图像，具体包括：

在当前迭代执行次数等于第一预设阈值时，统计当前所有所述分类结果得到第一攻击成功率，并在当前迭代执行次数等于第二预设阈值时，统计当前所有所述分类结果得到第二攻击成功率；其中，所述第二预设阈值大于所述第一预设阈值；