[发明专利]一种视觉感知扰动约束的黑盒深度模型对抗样本生成方法

说明书

本发明涉及一种视觉感知扰动约束的黑盒深度模型对抗样本生成方法，属于深度学习安全技术领域，解决现有技术中使用Lp范数约束生成的对抗样本在具有防御功能的黑盒环境下存在成功率较低和转移性较差等不足。本发明利用感知相似性来生成对抗样本，并与现有攻击结合，产生一种新的对抗攻击策略。本发明生成的对抗样本，可以通过与人类感知相同的方式扰乱图像。本发明的对抗攻击策略，能够产生更大的扰动，但仍然对人类眼睛是隐形的。由于更大的扰动意味着对抗样本更有效，因此，本发明生成的对抗样本能够以更高的成功率攻击深度学习模型，能够以更高的置信度从一种计算机视觉任务转移到另一种计算机视觉任务中，完全克服了现有技术的缺陷。

技术领域

本发明涉及一种黑盒识别模型对抗样本生成方法，具体涉及一种视觉感知扰动约束的黑盒深度模型对抗样本生成方法，属于深度学习安全技术领域。

背景技术

深度神经网络(DNN)在各种识别任务中展现了令人印象深刻的性能，但容易受到对抗样本的攻击导致误判。目前，绝大多数的对抗攻击算法，使用基于Lp范数的约束生成对抗样本，然而，这种对抗样本在黑盒场景中成功率较低并且转移性较差，尤其是在攻击经过对抗训练的黑盒模型时表现不佳。

已有工作表明，为了生成攻击成功率更高、转移性更强的对抗样本，需要向对抗样本中添加更大的对抗扰动，而这不可避免地导致人类更容易发现对抗样本，使得对抗样本失去隐蔽性。因此，必须基于一定限制生成对抗样本来妥协攻击效果，从而使扰动不被人眼发现。

为了突破Lp范数的限制，有学者提出了新的指标，例如MSE、Horé等人提出的PSNR方法，以及Gupta等人提出的PSNR-HVS等指标，但是，这些指标仍然是一类简单的方法，无法从人类的角度反映图像的质量。其它强调结构信息的指标，例如Wang等人提出的SSIM、MS-SSIM，以及Zhang等人提出的FSIM等指标，也不适用于处理图像之间空间距离变化大的情况。因此，需要找到一种生成对抗扰动的度量，这种度量既可以方便容入现有最先进的对抗攻击算法，也与人类感知相一致。

Zhang等人提出了感知相似性(LPIPS)方法，是利用经过训练的CNN的深度特征来测量两个图像相似性的指标。感知相似性不仅与人类感知一致，而且能够成功代表两个图像之间感知损失的距离，可以直接在计算机视觉任务中使用。

发明内容

本发明的目的是为了解决现有技术中使用Lp范数约束生成的对抗样本在具有防御功能的黑盒环境下存在成功率较低和转移性较差等不足，创新性地提出一种视觉感知扰动约束的黑盒深度模型对抗样本生成方法。

本发明方法的创新性在于：利用感知相似性来生成对抗样本，并与现有攻击结合，产生一种新的对抗攻击策略。本发明生成的对抗样本，可以通过与人类感知相同的方式扰乱图像。本发明的对抗攻击策略，能够产生更大的扰动，但仍然对人类眼睛是隐形的。由于更大的扰动意味着对抗样本更有效，因此，本发明生成的对抗样本能够以更高的成功率攻击深度学习模型，能够以更高的置信度从一种计算机视觉任务转移到另一种计算机视觉任务中，完全克服了现有技术的缺陷。

本发明采用以下技术方案实现。

一种视觉感知扰动约束的黑盒深度模型对抗样本生成方法，包括以下步骤：

步骤1：初始化对抗样本，将原始图片输入攻击算法，作为当前对抗样本。

步骤2：使用经过训练的ResNet-50、VGG19、Inception-v3和MobileNet-v2网络，分别构建感知相似性实例。

步骤3：选择步骤2构建的其中一个感知相似性实例，使用对抗攻击算法中的对抗损失向当前对抗样本添加扰动，其中，对抗攻击算法可以采用CW、MI-FGSM、HopSkipJumpAttack等。使用感知相似性实例，计算当前对抗样本与原始图片的感知相似性距离，对抗攻击算法使用感知相似性距离优化对抗样本，通过不断迭代更新对抗样本。

具体地，步骤3可以包括以下步骤：