[发明专利]一种提高深度神经网络模型对抗鲁棒性的方法

说明书

本发明提供一种提高深度神经网络模型对抗鲁棒性的方法。该方法包括：步骤1：构建内生防护模块，所述内生防护模块包括注意力单元，所述注意力单元包括用于输入原始样本的第一输入端和用于输入对抗样本的第二输入端，以及对应的用于输出原始输出的第一输出端和用于输出对抗输出的第二输出端；步骤2：在给定的深度神经网络模型结构中确定若干个插入位置，在所述插入位置插入所述内生防护模块，得到新的深度神经网络模型；步骤3：采用对抗训练方法对所述新的深度神经网络模型进行训练。本发明从深度神经网络模型结构本身着手，可以极大提高深度神经网络模型的对抗鲁棒性，又不会对其性能带来负面影响。

技术领域

本发明涉及人工智能技术领域，尤其涉及一种提高深度神经网络模型对抗鲁棒性的方法。

背景技术

随着人工智能、深度学习方法的快速发展，各种基于人工智能算法的系统(简称人工智能系统)部署于工业生产环境中。这些人工智能系统在给生产生活带来便捷的同时，也面临着一些安全问题，例如，无法有效抵御对抗样本攻击。所谓对抗样本攻击，是指在原始输入上添加轻微扰动使得扰动后的输入再次输入人工智能系统后获得非预期的输出。

对安全要求比较严格的人工智能系统(如自动驾驶系统，恶意流量检测系统等)而言，若无法有效抵御对抗样本攻击会导致非常危险的后果。例如，在自动驾驶过程中，在遇到一个“禁止左转”的标识牌后，正常情况下汽车应避免左转；而在对该“禁止左转”标识牌图像上添加对抗扰动后，汽车可能会误以为该标识牌是一个“可以左转”的标识牌，从而造成很大大的安全隐患。因此，如何提高人工智能系统的对抗鲁棒性是非常必要的。

目前，现有提高人工智能系统的对抗鲁棒性的主要有三种方法。第一种是梯度隐藏方法，该方法把神经网络模型的梯度进行隐藏或者混淆，使得基于梯度的对抗样本生成算法无法获得神经网络模型的正确梯度，从而不能轻松攻击人工智能系统，但事实上漏洞本身还是存在的，人工智能系统仍面临采用除基于梯度外的其他对抗样本生成算法的对抗样本的攻击。第二种方法是图像预处理方法，该方法主要是使人工智能系统先对输入图像进行预处理，降低/忽略掉输入图像上的对抗扰乱，从而达到抵御对抗样本攻击的目的，但对抗扰乱的处理过程是困难的。第三种方法是对人工智能系统进行对抗训练，该方法在训练阶段将产生的对抗样本和原始样本一同作为输入人工智能系统的输入，从而提高人工智能系统的对抗鲁棒性，但是可能会对神经网络模型带来其他负面影响。

发明内容

针对目前提高人工智能系统的对抗鲁棒性的方法所存在的上述问题，本发明提供一种提高深度神经网络模型对抗鲁棒性的方法。

本发明提供的一种提高深度神经网络模型对抗鲁棒性的方法，包括以下步骤：

步骤1：构建内生防护模块，所述内生防护模块包括注意力单元，所述注意力单元包括用于输入原始样本的第一输入端和用于输入对抗样本的第二输入端，以及对应的用于输出原始输出的第一输出端和用于输出对抗输出的第二输出端；

步骤2：在给定的深度神经网络模型结构中确定若干个插入位置，在所述插入位置插入所述内生防护模块，得到新的深度神经网络模型；

步骤3：采用对抗训练方法对所述新的深度神经网络模型进行训练。

进一步地，所述内生防护模块的损失函数如公式(1)所示：

其中，x_clean表示原始样本，x_adv表示对抗样本，sub_f表示内生防护模块，sub_f(x_clean)和sub_f(x_adv)分别表示原始样本和对抗样本通过内生防护模块后得到的原始输出和对抗输出，表示计算原始输出和对抗输出之间距离的函数。

进一步地，所述函数的计算公式如公式(2)所示：