[发明专利]基于分治策略的对抗样本检测方法及设备

权利要求书

1.一种基于分治策略的对抗样本检测方法，其特征在于，包括：步骤1：测试样本输入目标模型，得到特征图；步骤2：将特征图输入特征图检测器FMD，特征图检测器FMD检测该样本是否为对抗样本；步骤3：将特征图输入对抗噪声擦除器ANE进行检测；步骤4：集成特征图检测器FMD及对抗噪声擦除器ANE的检测结果，若有一个检测器检测出所述测试样本是对抗样本，则确定所述测试样本是对抗样本。

2.根据权利要求1所述的基于分治策略的对抗样本检测方法，其特征在于，步骤2具体包括：步骤2.1：特征选择，对于每一层，特征图检测器FMD随机选取一半的特征图进行监视；步骤2.2：特征提取，一个特征图包含多个统计特征，特征图检测器FMD选取多个统计特征的均值作为统计特征；步骤2.3：训练随机森林，对于每一层，特征图检测器FMD用提取的统计特征训练一个随机森林分类器，所述随机森林分类器对输入给出预测值；步骤2.4：训练集成模型，特征图检测器FMD训练一个多层感知机模型将随机森林的输出作为输入，并给出最终的决策结果。

3.根据权利要求2所述的基于分治策略的对抗样本检测方法，其特征在于，步骤3具体包括：步骤3.1：采用图像变换破坏对抗样本；步骤3.2：将破坏后的对抗样本输入到目标模型，得到其标签；步骤3.3：计算标签变化率LCR，若标签变化率LCR大于预设阈值，则测试样本被认为是对抗样本。

4.根据权利要求3所述的基于分治策略的对抗样本检测方法，其特征在于，所述采用图像变换破坏对抗样本，包括：采用JPEG压缩、旋转、位深度缩减和/或均值模糊，将对抗样本进行破坏。

5.根据权利要求4所述的基于分治策略的对抗样本检测方法，其特征在于，所述标签变化率LCR，包括：给定一个测试样本x和一个DNN深度神经网络模型f，定义f(x)为模型输出的标签，采用T＝{t_i|i＝1,...,n}表示图像变换，其中为t_i为第i个图像变换，LCR表示为：

其中，|T|表示T元素的个数，用于衡量测试样本x对图像变换的敏感程度，LCR值越大，测试样本是对抗样本的可能性越高。

6.一种基于分治策略的对抗样本检测装置，其特征在于，包括：第一主模块，用于实现步骤1：测试样本输入目标模型，得到特征图；第二主模块，用于实现步骤2：将特征图输入特征图检测器FMD，特征图检测器FMD检测该样本是否为对抗样本；第三主模块，用于实现步骤3：将特征图输入对抗噪声擦除器ANE进行检测；第四主模块，用于实现步骤4：集成特征图检测器FMD及对抗噪声擦除器ANE的检测结果，若有一个检测器检测出所述测试样本是对抗样本，则确定所述测试样本是对抗样本。

7.一种电子设备，其特征在于，包括：

至少一个处理器、至少一个存储器和通信接口；其中，

所述处理器、存储器和通信接口相互间进行通信；

所述存储器存储有可被所述处理器执行的程序指令，所述处理器调用所述程序指令，以执行权利要求1至5任一项权利要求所述的方法。

8.一种非暂态计算机可读存储介质，其特征在于，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使所述计算机执行权利要求1至5中任一项权利要求所述的方法。