[发明专利]基于黑盒模型的对抗攻击数据的处理方法和装置

说明书

本申请涉及一种基于黑盒模型的对抗攻击数据的处理方法、装置、计算机设备、存储介质和计算机程序产品。所述方法包括：确定第一被攻击数据样本和被攻击样本数据的至少一个第一候选数据样本；对第一被攻击数据样本进行扰动处理，得到对应的伪样本；将伪样本与至少一个第一候选数据样本进行特征比对，得到特征相似度最高的候选数据样本；根据特征相似度最高的候选数据样本对伪样本的扰动特征进行更新，得到构造的伪样本。采用本方法能够提高了构造的伪样本的真实性。

技术领域

本申请涉及神经网络的防御技术领域，特别是涉及一种基于黑盒模型的对抗攻击数据的处理方法、装置、计算机设备、存储介质和计算机程序产品。

背景技术

随着深度学习算法成功应用于推荐系统中，推荐系统的性能和效率得到进一步提升。然而当前研究已证明深度学习模型极易受到攻击，因此设计高效地攻击算法去测试基于深度学习的推荐系统的脆弱性至关重要。因为推荐系统处理的数据是离散型的，因此基于深度学习的攻击算法不能直接用于推荐系统中。当前投毒攻击被广泛用于推荐系统的最主要攻击算法，该算法主要在输入数据中加入假的数据从而降低模型的性能。因此如何设计高效的黑盒攻击算法具有重要意义。

常见的黑盒攻击包括：复制攻击、查询攻击和替代攻击。其中，替代攻击，即白盒模型采用蒸馏方法学习到黑盒模型的输出分布，之后对训练好的白盒模型展开攻击并得到相应的扰动样本，最后将这些扰动样本去攻击黑盒模型。然而，基于训练好的白盒模型展开攻击得到的扰动样本真实性低。

发明内容

基于此，有必要针对上述技术问题，提供一种能够提高构造的伪样本的真实性的基于黑盒模型的对抗攻击数据的处理方法、装置、计算机设备、计算机可读存储介质和计算机程序产品。

第一方面，本申请提供了一种基于黑盒模型的对抗攻击数据的处理方法。

所述方法包括：

确定第一被攻击数据样本和所述被攻击样本数据的至少一个第一候选数据样本；

对所述第一被攻击数据样本进行扰动处理，得到对应的伪样本；

将所述伪样本与所述至少一个第一候选数据样本进行特征比对，得到特征相似度最高的候选数据样本；

根据所述特征相似度最高的候选数据样本对所述伪样本的扰动特征进行更新，得到构造的伪样本。

在其中一个实施例中，所述将所述伪样本与所述至少一个第一候选数据样本进行特征比对，得到特征相似度最高的候选数据样本，包括：

获取所述伪样本的特征属性；

若所述特征属性为离散特征，且所述伪样本所有扰动特征不存在于所述至少一个候选数据样本中，则确定不存在于所述至少一个第一候选数据样本中的待更新扰动特征；

确定所述至少一个第一候选数据样本的样本特征与所述待更新扰动特征的相似度，根据所述相似度得到特征相似度最高的候选数据样本。

在其中一个实施例中，所述方法还包括：

根据所述构造的伪样本攻击目标黑盒模型，得到攻击结果；

根据所述攻击结果确定所述构造的伪样本的可靠度。

在其中一个实施例中，所述对所述第一被攻击数据样本进行扰动处理，得到对应的伪样本，包括：将所述第一攻击数据样本输入至训练好的扰动生成网络中，输出对应的伪样本。

在其中一个实施例中，所述扰动生成网络的训练，包括：

获取用于训练所述扰动生成网络的第二被攻击数据样本和所述被攻击数据样本的至少一个第二候选数据样本；