[发明专利]一种无需样本数据的对抗贴片生成方法

说明书

一种无需样本数据的对抗贴片生成方法，涉及深度神经网络技术领域。将生成的攻击贴片放置在被攻击样本附近，误导分类模型将对抗样本识别为其他物体；在缺乏训练数据的情况下，以RGB像素值全0的图片作为背景，通过欺骗深度神经网络各层学习到的特征信息，以生成无目标的对抗贴片；将生成的攻击贴片放置在被攻击样本附近，误导分类模型将对抗样本识别为指定类别；构建背景图片，将对抗贴片进行随机变形，放置到背景图片的随机位置上进行训练，以此利用无目标攻击贴片隐含的信息生成有目标攻击贴片。本发明利用攻击者无需使用任何训练数据，即可生成对抗贴片，攻击基于深度神经网络构建的图像分类模型。

技术领域

本发明涉及深度神经网络技术领域，尤其是一种无需样本数据的对抗贴片生成方法。

背景技术

深度神经网络在图像分类、目标检测、语义分割等许多计算机视觉任务中取得了突破性成功。然而，研究表明深度神经网络很容易受到对抗扰动的攻击，攻击者只需在正常的图像样本中添加一些特定的像素扰动，就可以导致深度神经网络模型做出错误的判断。

将对抗扰动限制在一个局部区域，则可以使用打印机将这类对抗扰动打印成对贴片以执行攻击。对抗贴片可以应用于交通标志，使得自动驾驶的车辆发生误判；也可以贴在衣服上，使得攻击者在监控镜头前隐身；或者是放在商品物品附近，防止被网络爬虫恶意爬取。同时，研究对抗贴片有利于提升深度神经网络针对恶意攻击的防御能力。

如图1所示，为了增强对抗贴片在物理场景中的攻击能力，对抗贴片可被放置在不同输入图片不同位置时均能攻击模型，并且对角度旋转、尺度缩放具备一定鲁棒性。

现有的生成对抗贴片的方法(如GoogleAP、LaVAN、PS-GAN等)需要大量的训练数据，然而被攻击模型的训练数据通常是难以获取的。例如，自动驾驶公司从不告诉公众他们用来训练检测器的数据，在线购物网站训练分类器的数据是保密的，人脸验证设备更是会加倍小心地存储系统中的人脸数据。缺少了训练数据，当前以数据驱动的攻击方法难以生成攻击贴片。

中国专利“CN112085069A基于集成注意力机制的多目标对抗补丁生成方法及装置”通过集成注意力机制定位输入图像的关键分类区域，以确保对抗补丁发挥更好的攻击性能和迁移性；生成器的输入充分利用原图信息，将使生成器生成的对抗补丁效果更佳；生成器的输入还融合了多目标类别信息，可以攻击目标模型的任意指定类别，实现多目标类别的攻击；对判别器的输入进行裁剪，以保证判别器学到更多的上下文信息，提高对抗补丁视觉效果。

中国专利“CN112241790A小型对抗补丁生成方法及装置”通过对对抗补丁图像进行随机初始化，将初始化后的对抗补丁图像添加到训练数据中目标物体对象上选定的粘贴区域，制作成对抗样本；将对抗样本输送入深度学习模型进行对抗特征提取，将未添加对抗补丁图像的良性样本输送入深度学习模型进行良性特征提取；将对抗特征和良性特征共同输入到特征增强损失函数进行损失计算，获得损失结果；将损失结果添加到模型损失函数中，反向传播后通过优化器更新对抗补丁的像素值；经过预设次数的迭代后，对抗补丁使深度学习模型输出错误结果，结束对抗补丁处理过程。本发明可以使物理世界中对抗补丁尺寸更小，降低制作成本，降低了对抗补丁的可辨识性，更容易突破基于检测的防御方法。

然而，以上所提出的方法均高度依赖样本数据的质量，生成的对抗贴片效果与已知的样本数据具有强相关性。在缺乏样本数据的条件下，均无法生成对抗贴片。

发明内容

本发明提出一种无需样本数据的对抗贴片生成方法，攻击者无需使用任何训练数据，即可生成对抗贴片，攻击基于深度神经网络构建的图像分类模型。

一种无需样本数据的对抗贴片生成方法，包括如下步骤：