[发明专利]基于分治策略的对抗样本检测方法及设备

说明书

本发明提供了一种基于分治策略的对抗样本检测方法及设备。所述方法包括：步骤1：测试样本输入目标模型，得到特征图；步骤2：将特征图输入特征图检测器FMD，特征图检测器FMD检测该样本是否为对抗样本；步骤3：将特征图输入对抗噪声擦除器ANE进行检测；步骤4：集成特征图检测器FMD及对抗噪声擦除器ANE的检测结果，若有一个检测器检测出所述测试样本是对抗样本，则确定所述测试样本是对抗样本。本发明通过在快速梯度符号方法生成的对抗样本上进行训练，可以精确的检测出其余所有的未知攻击方法生成的对抗样本，达到平均97％的AUC值，提出的检测算法可以应用于真实世界。

技术领域

本发明实施例涉及信息安全技术领域，尤其涉及一种基于分治策略的对抗样本检测方法及设备。

背景技术

随着深度学习取得一些突破性的进展，深度神经网络(Deep Neural Network，DNN)已经被应用于各个领域如物体识别、自动驾驶、机器翻译和语音识别。但是近年来，研究人员发现DNN也面临各种形式的安全威胁，尤其是对抗样本攻击。对抗攻击通过在正常样本上添加一些不影响人类观察的噪音，使得模型分类错误，这些愚弄DNN的样本被称为对抗样本。对抗样本的存在严重威胁了神经网络的应用，尤其是一些安全敏感的应用。

目前存在很多对抗样本的检测方法，但是这些方法不能检测种类繁多的对抗样本，并且不能有效的检测未知攻击。因此，开发一种基于分治策略的对抗样本检测方法及设备，可以有效克服上述相关技术中的缺陷，就成为业界亟待解决的技术问题。

发明内容

针对现有技术存在的上述问题，本发明实施例提供了一种基于分治策略的对抗样本检测方法及设备。

第一方面，本发明的实施例提供了一种基于分治策略的对抗样本检测方法，包括：步骤1：测试样本输入目标模型，得到特征图；步骤2：将特征图输入特征图检测器FMD，特征图检测器FMD检测该样本是否为对抗样本；步骤3：将特征图输入对抗噪声擦除器ANE进行检测；步骤4：集成特征图检测器FMD及对抗噪声擦除器ANE的检测结果，若有一个检测器检测出所述测试样本是对抗样本，则确定所述测试样本是对抗样本。

在上述方法实施例内容的基础上，本发明实施例中提供的基于分治策略的对抗样本检测方法，步骤2具体包括：步骤2.1：特征选择，对于每一层，特征图检测器FMD随机选取一半的特征图进行监视；步骤2.2：特征提取，一个特征图包含多个统计特征，特征图检测器FMD选取多个统计特征的均值作为统计特征；步骤2.3：训练随机森林，对于每一层，特征图检测器FMD用提取的统计特征训练一个随机森林分类器，所述随机森林分类器对输入给出预测值；步骤2.4：训练集成模型，特征图检测器FMD训练一个多层感知机模型将随机森林的输出作为输入，并给出最终的决策结果。

在上述方法实施例内容的基础上，本发明实施例中提供的基于分治策略的对抗样本检测方法，步骤3具体包括：步骤3.1：采用图像变换破坏对抗样本；步骤3.2：将破坏后的对抗样本输入到目标模型，得到其标签；步骤3.3：计算标签变化率LCR，若标签变化率LCR大于预设阈值，则测试样本被认为是对抗样本。

在上述方法实施例内容的基础上，本发明实施例中提供的基于分治策略的对抗样本检测方法，所述采用图像变换破坏对抗样本，包括：采用JPEG压缩、旋转、位深度缩减和/或均值模糊，将对抗样本进行破坏。

在上述方法实施例内容的基础上，本发明实施例中提供的基于分治策略的对抗样本检测方法，所述标签变化率LCR，包括：给定一个测试样本x和一个DNN深度神经网络模型f，定义f(x)为模型输出的标签，采用T＝{t_i|i＝1,...,n}表示图像变换，其中为t_i为第i个图像变换，LCR表示为：

其中，|T|表示T元素的个数，用于衡量测试样本x对图像变换的敏感程度，LCR值越大，测试样本是对抗样本的可能性越高。