[发明专利]基于黑盒模型的对抗攻击数据的处理方法和装置

权利要求书

1.一种基于黑盒模型的对抗攻击数据的处理方法，其特征在于，所述方法包括：

确定第一被攻击数据样本和所述被攻击样本数据的至少一个第一候选数据样本；

对所述第一被攻击数据样本进行扰动处理，得到对应的伪样本；

将所述伪样本与所述至少一个第一候选数据样本进行特征比对，得到特征相似度最高的候选数据样本；

根据所述特征相似度最高的候选数据样本对所述伪样本的扰动特征进行更新，得到构造的伪样本。

2.根据权利要求1所述的方法，其特征在于，所述将所述伪样本与所述至少一个第一候选数据样本进行特征比对，得到特征相似度最高的候选数据样本，包括：

获取所述伪样本的特征属性；

若所述特征属性为离散特征，且所述伪样本所有扰动特征不存在于所述至少一个候选数据样本中，则确定不存在于所述至少一个第一候选数据样本中的待更新扰动特征；

确定所述至少一个第一候选数据样本的样本特征与所述待更新扰动特征的相似度，根据所述相似度得到特征相似度最高的候选数据样本。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

根据所述构造的伪样本攻击目标黑盒模型，得到攻击结果；

根据所述攻击结果确定所述构造的伪样本的可靠度。

4.根据权利要求1所述的方法，其特征在于，所述对所述第一被攻击数据样本进行扰动处理，得到对应的伪样本，包括：

将所述第一攻击数据样本输入至训练好的扰动生成网络中，输出对应的伪样本。

5.根据权利要求4所述的方法，其特征在于，所述扰动生成网络的训练，包括：

获取用于训练所述扰动生成网络的第二被攻击数据样本和所述被攻击数据样本的至少一个第二候选数据样本；

将所述第二被攻击数据样本输入至所述扰动生成网络，经过所述扰动生成网络的嵌入层、编码器和解码器，输出所述第二被攻击数据样本的扰动向量；

将所述扰动向量输入至替代模型的网络层，得到预测结果；

将所述预测结果与对应的候选子数据样本进行比对，得到对比损失；

基于所述对比损失对所述编码器和解码器进行训练，得到训练好的扰动生成网络。

6.根据权利要求5所述的方法，其特征在于，所述基于所述对比损失对所述编码器和解码器进行训练，得到训练好的扰动生成网络，包括：

基于所述对比损失，将所述至少一个第二候选数据样本输入至替代模型，输出中间向量特征；

对所述扰动向量和所述中间向量特征进行相似性求解，得到平均损失；

基于所述平均损失对所述编码器和解码器进行训练，直到所述平均损失收敛到预设值，得到训练好的扰动生成网络。

7.根据权利要求5所述的方法，其特征在于，所述替代模型是根据所述目标黑盒模型确定的，所述替代模型的确定方式，包括：

获取原始数据集和构建的替代模型；

分别将所述原始数据集输入至替代模型和目标黑盒模型中，得到所述替代模型的第一输出特征，和所述目标黑盒模型的第二输出特征；

根据所述第一输出特征和所述第二输出特征，确定所述替代模型和所述目标黑盒模型之间的输出损失；

根据所述第一输出特征确定所述替代模型的分类损失；

根据所述分类损失和所述输出损失，确定所述替代模型的总损失函数，得到与所述目标黑盒模型功能相同的替代模型。

8.根据权利要求5所述的方法，其特征在于，所述获取用于训练所述扰动生成网络的第二被攻击数据样本和所述被攻击数据样本的至少一个第二候选数据样本，包括：

获取训练样本集；

根据所述训练样本集中各样本的属性，对所述训练样本集进行划分，得到被攻击数据样本集和候选数据样本集；

基于推荐算法，从所述候选数据样本集中确定与所述被攻击数据样本集中每个第二被攻击数据样本集相似的至少一个第二候选数据样本。