[发明专利]一种基于贝叶斯优化的对抗样本生成方法

摘要

本发明公布了一种基于贝叶斯优化的对抗样本生成方法，现有的黑盒攻击方法需要通过大量地向模型进行查询来获取优化信息。本发明以原始图片作为输入，通过计算扰动图片与原始图片的结构相似度的梯度来确定待优化的位置；然后使用贝叶斯优化在选定的位置中进行采样优化，得到该位置上能使损失函数增加的扰动值；通过迭代的方式选择多个位置，并优化得到扰动值，直到改变被扰动图像的分类结果，或者达到最大迭代次数则停止。本发明能够有效降低查询向目标DNN模型查询的次数，且扰动像素点的数量较少。

主权项

1.一种基于贝叶斯优化的对抗样本生成方法，其特征在于，该方法包括如下步骤：步骤一、获取源图像x的真实类别y_c及其概率M_c以原始图像x作为以θ为参数的目标DNN分类器的输入，获得原始图像的概率输出向量M(x；θ)；取概率输出向量中最大值对应的类别作为原始图像的类别预测y_c，概率输出向量中最大值为M_c；步骤二、确定待优化的目标函数使用迭代的方法生成对抗样本，为了降低计算的复杂度，在每个迭代中仅扰动图像向量的某一维度；设扰动值为z，并将扰动值z赋值到Δx的对应维度；扰动值满足||z||＜ε，以确保图像质量，ε为设定的阈值；将x+Δx输入到参数为θ的深层神经网络DNN分类器中，得到预测输出向量M(x+Δx；θ)；令M(x+Δx；θ)中除y_c类别外的最大概率值为M_t，其对应的类别为y_t，目标函数定义为B(z)＝log(M_c)‑log(M_t)；优化的目标是B(z)≤0，从而改变目标DNN分类器对被扰动图像的分类结果；Δx是与x具有相同维度的全0扰动向量；步骤三、确定此次迭代中需要优化的坐标与通道在第T次迭代中，计算当前扰动图像x′＝x+Δx与随机图像x_G的结构相似度的梯度选择其中最小梯度值对应的维度s作为需要的优化维度；x_G是与x具有相同维度的从高斯分布中采样得到的随机向量；步骤四、对特定维度中使用贝叶斯优化1)使用高斯过程代理待优化的目标函数，使用EI策略作为采集函数；设定最大测试点次数为I，以及当前测试点数量i＝0；首先随机选择几个扰动值进行测试，生成初始观测数据集D_1：t，包含t个已观测数据点；2)根据已观测到的数据集D_1：t得到的后验分布构造一个EI采集函数α_t(z；D_1：t)：其中，v^*表示当前最优函数值，φ(·)为标准正态分布概率密度函数，μ_t(z)与σ_t(z)分别表示D_1：t中数据点的均值与方差；3)通过最大化采集函数选择下一个评估点z_t+1＝max_z∈zα_t(z；D_1：t)，将z_t+1赋值到Δx的对应维度s，并评估此时的目标函数值B(z_t+1)，在z_t+1处评估后将评估值加入观测数据集D；i+＝1，若i≤I，转(2)；4)输出已观测数据集中的最小函数值B(z)及其对应的扰动值z；步骤五：将步骤四得到的最佳扰动值z赋值到扰动向量Δx；若B(z)＜0，则认为攻击成功，将被扰动图片x+Δx作为对抗样本输出，若B(z)≥0，则认为在此次迭代中攻击不成功，跳转到步骤三，在当前扰动向量Δx的基础上继续下一次迭代。