[发明专利]一种针对单张人脸查询次数受限攻击的防御方法及防御装置

摘要

本发明公开了一种针对单张人脸查询次数受限攻击的防御方法及防御装置，包括：首先，利用已知黑盒攻击对单张初始人脸图像进行模拟攻击，记录反问分类器次数。然后，用相同黑盒攻击再现次数受限攻击，并完成不段优化，直至攻击成功。最后通过计算比较相应的损失以及对抗人脸的攻击强弱，达到对有效攻击程度不同的特征进行针对性优化防御的效果。该防御方法及防御装置提高人脸分类器对次数受限攻击产生的对抗样本的防御能力。

主权项

1.一种针对单张人脸查询次数受限攻击的防御方法，包括以下步骤：(1)将初始人脸图像输入至人脸分类器中，采用黑盒攻击方法对初始人脸图像进行全局攻击，得到对抗人脸图像，攻击成功时，记录人脸分类器被访问次数和对抗人脸图像的置信度；(2)采用相同的分割方式将初始人脸图像和对抗人脸图像分割成多个分割区域，根据分割区域特征与初始人脸图像的差异确定初始扰动；(3)选择与分割区域个数相同的不同人脸图像，采用一对一的方式将初始人脸图像对应的分割区域添加到不同人脸图像上，形成合成人脸图像；(4)将合成人脸图像输入至人脸分类器中，采用黑盒攻击方法对合成人脸图像中的分割区域进行部分攻击，得到对抗合成人脸图像，攻击成功时，记录人脸分类器被访问次数和对抗合成人脸图像的置信度；(5)根据对抗合成人脸图像和初始人脸图像的差异确定新扰动；(6)将新扰动添加到初始人脸图像中，得到新人脸图像，并将新人脸图像输入至人脸分类器中，得到检测结果；(7)在次数受限攻击不成功时，根据对抗合成人脸图像与初始人脸图像确定损失函数，根据损失函数值和检测结果的大小关系确定最大受限攻击次数，在最大受限攻击次数约束下，重复执行步骤(4)～步骤(7)，进行优选黑盒攻击；(8)在次数受限攻击成功时，根据初始扰动和新扰动确定分割区域特征被次数受限攻击的风险程度，根据风险程度的大小对分割区域特征进行针对性防御。