[发明专利]不可见水印图像、后门攻击模型构建、分类方法及系统

说明书

本发明公开了不可见水印图像、后门攻击模型构建、分类方法及系统，包括对原始图像进行Haar离散小波变化，得到原始图像的低频信息矩阵、水平高频信息矩阵、垂直高频信息矩阵和对角高频信息矩阵；对低频信息矩阵进行分块离散余弦变化，得到多个低频信息矩阵；对水印图像进行加密得到加密后的水印图像，采取奇异值分解的水印算法，将加密后的水印图像嵌入多个低频信息矩阵中，然后经过分块离散余弦逆变换、Haar离散逆小波变化，得到不可见水印图像。本发明基于不可见的水印技术，利用神经网络易于被后门攻击的弱点，生成一种更加隐蔽的后门，在一定程度上降低神经网络分类精准度，在人工智能安全领域具有重大的意义。

技术领域

本发明属于人工智能安全领域，涉及一种不可见水印图像、后门攻击模型构建、分类方法及系统。

背景技术

近几年来深度学习的迅速发展使其在各个领域都取得了很多成果。图像分类、物体检测、语音识别、语言翻译，语音合成等都广泛的使用到深度学习。甚至在很多领域中，深度学习模型的表现都超越了人类。尽管在众多应用程序中都取得了巨大成功，但许多受深度学习启发的应用程序仍然至关重要，这在安全性领域引起了极大关注。

训练一个表现良好的模型是十分复杂的，要花费很多时间。所以神经网络的训练任务一般都会外包给云。在这种场景下，对手有能力去操纵训练神经网络的数据来改变模型的决策。这种类型的攻击叫做后门攻击，带后门的模型具有以下行为：当输入为干净样本时，模型将输出正确分类结果，当输入样本带有攻击者指定的触发器时，模型将输出攻击者指定的目标类别，这种模型分类错误，导致神经网络产生错误输出。目前的后门攻击方法训练模型时，能在保持对良性样本的预测精度的同时指定隐藏的后门，可用于数据集的保护、后门攻击的检测等方面，这在人工智能安全领域具有重大的意义。

现有的模型在标准验证和测试样本上表现良好，但在具有特定后门触发器的输入上表现不佳。现有的后门攻击方法主要由于：后门触发器是可见的像素点的或后门触发器是高亮水印图形的，这两类神经网络在学习图像特征时，把这些固定的可见像素点作为图像的特有特征学习，模型即学到了正常数据集的特征，也学到了后门触发器的特征，以此干扰模型分类精准度。

正是由于上述后门攻击方法中后门触发器不够隐蔽，并且这些触发器图形都具有相同的特性，通过简单的k-means方法便可以分类出这些异常的带有后门数据。所以现有的后门攻击方法隐蔽性较差，易被察觉，很容易被清理。因此，对后门攻击方法的隐蔽性提出了更高的要求。

而基于现有的后门攻击模型，在对图像进行分类时，由于后门触发器不够隐蔽，容易被察觉，然后被清理，导致带有攻击者指定的触发器的输入样本被识别出来，从而模型没有输出攻击者指定的目标类别，神经网络模型分类精准度受到影响。

发明内容

针对可见的后门触发器隐蔽性较差，易于被察觉的问题，提出一种不可见水印图像、后门攻击模型构建、分类方法及系统。本发明基于水印技术，发现神经网络训练过程中的弱点，提供一种更加隐蔽的后门攻击方式。

为达到上述目的，本发明采用如下技术方案：

一种不可见水印图像的构建方法，包括：

步骤1，获取原始图像和水印图像；

步骤2，对所述原始图像进行Haar离散小波变化，得到原始图像的低频信息矩阵、水平高频信息矩阵、垂直高频信息矩阵和对角高频信息矩阵；

步骤3，对步骤2所述的低频信息矩阵进行分块离散余弦变化，得到多个低频信息矩阵；

步骤4，对所述的水印图像进行加密得到加密后的水印图像，采取奇异值分解的水印算法，将所述加密后的水印图像嵌入步骤3中多个低频信息矩阵中，进行分块离散余弦逆变换，得到嵌入水印低频信息矩阵；

步骤5，将步骤4的嵌入水印低频信息矩阵、步骤2中所述的水平高频信息矩阵、垂直高频信息矩阵和对角高频信息矩阵进行Haar离散逆小波变化，得到不可见水印图像。