[发明专利]一种无需样本数据的对抗贴片生成方法

权利要求书

1.一种无需样本数据的对抗贴片生成方法，其特征在于包括如下步骤：

步骤1：无需样本数据的无目标对抗贴片p_nt生成方法：将生成的攻击贴片放置在被攻击样本附近，误导分类模型将对抗样本识别为其他物体；在缺乏训练数据的情况下，以RGB像素值全0的图片I_z作为背景，通过欺骗深度神经网络各层学习到的特征信息，以生成无目标的对抗贴片p_nt；

步骤2：无需样本数据的有目标对抗贴片p_t生成方法：将生成的攻击贴片放置在被攻击样本附近，误导分类模型将对抗样本识别为指定类别；构建背景图片，将对抗贴片进行随机变形，放置到背景图片的随机位置上进行训练，以此利用无目标攻击贴片p_nt隐含的信息生成有目标攻击贴片p_t。

2.根据权利要求1所述的无需样本数据的对抗贴片生成方法，其特征在于上述步骤1中误导分类模型将对抗样本识别为其他物体，其形式化表述为：

f(A(p_nt，x，l，t))≠f(x)，for x～μ (1)

其中，x表示输入图像；μ表示输入图像的分布；f表示预先训练好的深度神经网络分类模型，它为每个输入图像x输出估计标签f(x)；A(p_nt,x,l,t)表示将无目标对抗贴片p_nt进行变形t后，放置在输入图像x的位置l处。

3.根据权利要求2所述的无需样本数据的对抗贴片生成方法，其特征在于在缺乏训练数据的情况下，以RGB像素值全0的图片I_z作为背景，通过欺骗深度神经网络各层学习到的特征信息，以生成无目标对抗贴片p_nt，其形式化表述为：

其中，L表示对抗贴片在背景图像中的位置分布，T表示贴片的变形分布；Γ_i(A(p_nt,x,l,t))为深度神经网络模型f输入图像A(p_nt,I_z,l,t)时，在第i层的输出；K是模型f包含的层数量；

式(2)在不使用训练数据的前提下，通过使预训练模型f各层输出最大化，以生成无目标对抗贴片p_nt。

4.根据权利要求3所述的无需样本数据的对抗贴片生成方法，其特征在于步骤2中误导分类模型将对抗样本识别为指定类别，其形式化表述为：

其中，表示指定的攻击目标类别；x表示输入图像；μ表示输入图像的分布；f表示预先训练好的深度神经网络分类模型，它为每个图像x输出估计标签f(x)；A(p_t,x,l,t)表示将有目标对抗贴片p_t进行变形t后，放置在图像x的位置l处。

5.根据权利要求4所述的无需样本数据的对抗贴片生成方法，其特征在于生成有目标对抗贴片p_t，其形式化表述为：

其中，I_nt＝A(p_nt,I_z,l,t)，即采用A(p_nt,I_z,l,t)作为背景图片I_nt，用于训练生成无目标攻击贴片p_nt；将无目标攻击贴片p_nt随机缩放及旋转，随后放置在图片I_z的随机位置上。