[发明专利]基于条件标准流模型的黑盒对抗样本生成方法

权利要求书

1.一种基于条件标准流模型的黑盒对抗样本生成方法，其特征在于，包括以下步骤：

S1：根据实际需要获取若干图像以及对应标签，并将各图像归一化至预设尺寸作为原始样本，从而得到原始样本集合X；

采用收集到的原始样本集X对目标攻击模型进行训练，然后使用白盒攻击方法获取原始样本图像集X中每幅样本图像x的对抗样本x′，得到对抗样本集合X′；

最终，将原始样本集合X与对抗样本集合X′作为条件标准流模型的训练数据集；

S2：构建条件标准流模型，包括卷积神经网络和条件GLOW模型，其中：

卷积神经网络用于对输入图像提取图像特征，将得到的特征作为条件变量输入条件GLOW模型；

条件GLOW模型用于根据卷积神经网络的条件变量对输入图像的对抗样本进行编码，得到对应的隐空间表示；条件GLOW模型由L-1个流组件、squeeze层和K个流块堆叠构成，其中流组件由一个squeeze层、K个流块以及一个split层堆叠构成，L和K的值根据需要确定；流块为条件流块，包括Actnorm层、1×1卷积层和仿射耦合层，其中：

Actnorm层用于对输入的特征进行激活标准化，将得到的特征输入1×1卷积层；

1×1卷积层用于对输入的特征进行1×1卷积处理，将得到的特征输入仿射耦合层；

仿射耦合层用于接收卷积层发送的特征以及卷积神经网络发送的条件变量，进行仿射耦合处理后进行输出；

S3：根据步骤S1所得到训练样本集，对条件标准流模型进行训练；

S4：在条件标准流模型训练完成后，将训练样本集中各个训练样本依次输入训练好的条件标准流模型，得到每个训练样本对应的隐空间表示，计算得到所有训练样本隐空间表示的均值μ和方差σ，得到隐空间表示的分布N(μ,σ²)；

S5：当需要对新的输入图像生成对抗样本时，先将输入图像归一化至预设尺寸得到输入图像然后由条件标准流模型中的卷积神经网络提取得到输入图像的条件变量根据条件变量对步骤S4得到的分布进行采样得到隐空间表示由条件标准流模型中的条件GLOW模型根据隐空间表示和条件变量进行逆向推理得到输入图像x^*的初始对抗样本然后使用裁剪函数对初始对抗样本进行处理，得到最终的对抗样本其公式如下：

其中，Clip()表示预设的裁剪函数，ε表示预设的扰动参数。

2.根据权利要求1所述的黑盒对抗样本生成方法，其特征在于，所述卷积神经网络为VGG-19模型，将最后一级卷积层输出的特征作为提取的特征。

3.根据权利要求1所述的黑盒对抗样本生成方法，其特征在于，所述步骤S3中条件标准流模型的训练方法如下：

S3.1：从训练样本集合中随机选择B个训练样本作为当前批次训练样本，B表示批次大小，其取值根据实际需要确定；

S3.2：判断迭代轮次t是否满足预设条件，如果是，进入步骤S3.3，否则进入步骤S3.4；

S3.3：计算当前批次中每个训练样本的隐空间损失L(θ；z,x′,c)，然后平均得到当前批次的隐空间损失，隐空间损失L(θ；z,x′,c)的计算公式如下：

其中，x、x′分别表示输入的原始样本和对应的对抗样本，c表示卷积神经网络对输入图像x提取得到的条件变量，p_z()表示分布，表示网络参数为θ的条件GLOW模型根据输入的对抗样本x′和条件变量c所得到的隐空间表示z，表示雅可比行列式，||表示求取绝对值；

S3.4：从当前批次中随机抽取一批训练样本，计算所抽取每个训练样本的图像损失L_MSE(θ；z,c)，然后平均得到当前批次的图像损失，图像损失L_MSE(θ；z,c)的计算公式如下：

L_MSE(θ；z,c)＝||f_θ(z；c)-x′||₂

其中，f_θ(z；c)表示网络参数为θ的条件GLOW模型根据隐空间表示z和条件c进行逆向推理所得到的对抗样本；

S3.5：根据当前所计算得到的损失更新条件标准流模型的参数；

S3.6：判断是否达到训练结束条件，如果是，则训练结束，否则返回步骤S3.1。