[发明专利]一种对抗样本防御方法、系统、计算机及介质

权利要求书

1.一种对抗样本防御方法，其特征在于，所述方法包括以下步骤：

获取待检测图像样本；

分别采用不同的去噪方法对所述待检测图像样本进行去噪处理，得到对应的第一去噪样本和第二去噪样本；

将所述待检测图像样本、第一去噪样本和第二去噪样本分别输入深度神经网络模型，得到对应的待检测图像样本概率向量、第一去噪样本概率向量和第二去噪样本概率向量；

分别获取所述待检测图像样本概率向量与所述第一去噪样本概率向量的第一相似度、以及与所述第二去噪样本概率向量的第二相似度，并根据所述第一相似度和第二相似度，判断所述待检测图像样本是否为对抗样本；

其中，所述深度神经网络模型包括依次连接的神经网络模块和softmax激活函数；

所述将所述待检测图像样本、第一去噪样本和第二去噪样本分别输入深度神经网络模型，得到对应的待检测图像样本概率向量、第一去噪样本概率向量和第二去噪样本概率向量的步骤包括：

将所述待检测图像样本、第一去噪样本和第二去噪样本分别输入所述神经网络模块，得到对应的待检测样本预测向量、第一去噪样本预测向量和第二去噪样本预测向量；

采用所述softmax激活函数，得到分别与所述待检测样本预测向量、第一去噪样本预测向量和第二去噪样本预测向量对应的待检测图像样本概率向量、第一去噪样本概率向量和第二去噪样本概率向量；

所述分别获取所述待检测图像样本概率向量与所述第一去噪样本概率向量的第一相似度、以及与所述第二去噪样本概率向量的第二相似度，并根据所述第一相似度和第二相似度，判断所述待检测图像样本是否为对抗样本的步骤包括：

分别计算所述待检测图像样本概率向量与所述第一去噪样本概率向量、所述第二去噪样本概率向量对应的余弦相似度，得到对应的所述第一相似度和第二相似度；

计算所述第一相似度与所述第二相似度的相似度平均值，并判断所述相似度平均值是否大于第一预设阈值，若大于，则判定所述待检测图像样本为对抗样本，反之，则判定所述待检测图像样本为正常样本。

2.如权利要求1所述的对抗样本防御方法，其特征在于，所述分别采用不同的去噪方法对所述待检测图像样本进行去噪处理，得到对应的第一去噪样本和第二去噪样本的步骤包括：

采用非局部均值滤波对所述待检测图像样本进行去噪处理，得到第一去噪样本；

采用离散余弦变换对所述待检测图像样本进行去噪处理，得到第二去噪样本。

3.如权利要求1所述的对抗样本防御方法，其特征在于，所述分别获取所述待检测图像样本概率向量与所述第一去噪样本概率向量的第一相似度、以及与所述第二去噪样本概率向量的第二相似度，并根据所述第一相似度和第二相似度，判断所述待检测图像样本是否为对抗样本的步骤之后还包括：

若所述待检测图像样本为对抗样本，则计算所述第一去噪样本概率向量与所述第二去噪样本概率向量的第三相似度，并根据所述第三相似度判断是否确定所述待检测图像样本的预测类别，反之，则根据所述待检测图像样本概率向量输出所述待检测图像样本的预测类别。

4.如权利要求3所述的对抗样本防御方法，其特征在于，所述计算所述第一去噪样本概率向量与所述第二去噪样本概率向量的第三相似度，并根据所述第三相似度判断是否确定所述待检测图像样本的预测类别的步骤包括：

计算所述第一去噪样本概率向量与所述第二去噪样本概率向量的余弦相似度，得到对应的所述第三相似度；

判断所述第三相似度是否大于第二预设阈值，若大于，则不确定所述待检测图像样本的预测类别，反之，则根据所述第一去噪样本概率向量和第二去噪样本概率向量，确定所述待检测图像样本的预测类别。

5.如权利要求3所述的对抗样本防御方法，其特征在于，所述根据所述第一去噪样本概率向量和第二去噪样本概率向量，确定所述待检测图像样本的预测类别的步骤包括：

选取所述第一去噪样本概率向量和第二去噪样本概率向量中的最大预测值，并将所述最大预测值作为所述待检测样的预测类别。