面向深度神经网络的抗压缩对抗性图像生成方法技术

本发明专利技术公开了一种面向深度神经网络的抗压缩对抗性图像生成方法,通过设计一个神经网络来近似图像压缩算法，并将此神经网络加入到对抗性图像的优化求解过程中，使得生成的对抗性图像可以抵御图像压缩。本方法具有高扩展性，可以与现有的对抗性图像攻击方案相结合，在不明显影响攻击成功率的条件下，提高各种攻击算法生成的对抗性图像的抗压缩性能。另外，本方法还可针对压缩方法未知情况下的抗压缩对抗性图像实现，有着较高的黑盒实用性。克服了以往攻击方法生成的对抗性图像经过图像压缩后会失效的问题。

【技术实现步骤摘要】
面向深度神经网络的抗压缩对抗性图像生成方法
本专利技术涉及一种面向深度神经网络的抗压缩对抗性图像生成方法，属于人工智能安全领域。
技术介绍
近年来，深度学习技术发展迅速，深度神经网络在各种领域展现出接近甚至超过人类的表现，如：图像分类、目标检测、自然语言处理等。因此，深度神经网络被广泛地用于解决各类实际任务，如无人驾驶、语音识别、智能监控等。然而近期研究表明深度神经网络对于特定的攻击十分脆弱：将输入图像加上精心构建的人类难以察觉的噪声，深度神经网络会输出错误甚至攻击者期望的结果，这类修改后的输入称之为对抗性图像。这类对抗性图像对于深度神经网络具有极高的攻击成功率，且具有可转移性：通过特定的网络生成的对抗性图像可以攻击一系列的网络结构。这类对抗性图像攻击给基于深度学习技术的安全敏感应用带来了巨大的威胁。然而，通过对现有对抗性图像算法进行研究，我们发现生成的对抗性图像并不能抵御图像压缩：对于图像而言，其大部分都会经过图像压缩来节省存储空间和网络传输资源，并且常用的图像压缩算法大部分都是有损图像压缩，即图像压缩前后会有一定的质量损失，也即图像的像素值会发生变化。同样对于对抗性图像而言，其加入的对抗性噪声是经过精心构造的，在其经过压缩之后，像素值的变化会影响构造的特定的噪声，使得对抗性图像失效，造成对抗性图像具有较差的鲁棒性和实用性。由于现有的攻击算法在生成噪声的时候只考虑目标模型来进行优化，这会导致生成的噪声会过拟合目标模型，这样的对抗性图像虽然能够达到高攻击成功率，但使得生成的对抗性图像稍加经过处理便会失效，无法有效的应用在现实的环境中，比如图像压缩。本专利技术认为现有的对抗性图像生成方案仅仅满足对深度神经网络的高攻击成功率，在鲁棒性上表现很差，使得对抗性图像经过常用的图像压缩后便很容易失效，无法获得对图像压缩鲁棒的的对抗性图像，因此急需一种抗压缩的对抗性图像生成方案。
技术实现思路
本专利技术的目的是克服现有技术的不足，提供一种面向深度神经网络的抗压缩对抗性图像生成方法。本专利技术所设计的一种面向深度神经网络的抗压缩对抗性图像生成方法，其特殊之处在于，包含如下步骤：1)给定一个目标分类器模型，给定原始图像，该原始图像经过图像压缩后，输入到目标分类器能得到其分类到所有类别的置信度；攻击者拥有对目标模型的白盒访问权限，并设定目标类别；2)将图像压缩算法注入到对抗性图像的优化求解过程，使用基于梯度的优化算法生成抗压缩的对抗性图像；3)设计神经网络来近似图像压缩算法，训练后的神经网络可以作为压缩算法的可微近似形式；4)将已训练好的神经网络模型加入到现有的对抗图像优化算法的求解过程中，生成抗压缩的对抗性图像，使目标模型分类到目标类别。进一步地，输入的原始图像首先经过图像压缩处理x′＝comp(x)，其中x为输入的原始图像，comp()是图像压缩函数，x′是压缩后的图像；目标图像分类器可以表示为f(x′,θ)＝y，θ为模型参数，y为模型输出；模型输出倒数第二层被称作logits层，输出图像对应的每种类别的置信度；而最后一层称作softmax层，输出logits层结果归一化后的结果,即分类到每种类别的概率；分类器最后的输出y即为softmax层的最大值，表示为：f(x,θ)＝max(softmax(logits(comp(x))))＝y攻击者对目标模型具有白盒访问权限，即能够访问目标模型的参数和权重，但不能获得采用的是哪种压缩函数和压缩程度等参数，攻击者对给定图像设定目标类别，生成抗压缩的对抗性图像使得目标模型将其分类到目标类别。进一步地，所述步骤2)中的优化求解过程采用如下的优化公式：s.t.f(comp(x′),θ)＝t,x′＝x+r∈[0,1]n,其中r是期望优化得到的扰动，x′即为得到的对抗性图像，该对抗性图像经过图像压缩算法comp()压缩后，依旧可以使模型输出为指定目标。更进一步地，所述步骤3)中的神经网络模型如下：ComModel(x,θ1)≈comp(x)其中ComModel表示设计的神经网络模型，θ1为模型训练后期望得到的最优模型参数；该模型结构基于编码器-解码器结构，共包含12层，其中前6层属于编码器结构：L1＝Conv(I),Li+1＝Res(Li),i＝1,2,…,5其中I表示输入的原始图像，Li表示第i层，Conv()表示卷积操作,Res()表示残差模块，该模块包含如下操作：y＝Conv(Conv(Conv(x)))+Conv(x)对于后6层的解码器结构，其结构如下：L7＝Deconv(L6),Li+1＝Deconv(Li||L12-i),i＝7,8…,10其中Deconv()表示反卷积操作，||表示拼接操作；最后基于下述优化目标，来进行训练ComModel:Ir＝ComModel(I,θ1)其中，H,W,C分别代表图像的高度、宽度和通道，I表示原始图像，Ic,Ir分别表示该图像经过压缩之后的压缩图，和经过ComModel输出的重建图；表示高度为i，宽度为j，通道为k的位置的像素值；通过不断的训练，可以获得最优的模型参数θ1使得模型输出重建图与真实压缩图的误差最小。再进一步地，使用训练后的压缩近似模型ComModel替代原始图像压缩算法，得到如下生成抗压缩对抗性图像的优化目标：s.t.f(ComModel(x,θ1),θ)＝t,x′＝x+r∈[0,1]n,再进一步地，步骤4)将已训练好的神经网络模型加入到现有的对抗图像优化算法的求解过程中，求解算法具体如下：基于FGSM的抗压缩对抗性图像生成算法ComReAdvfgsm表示为：基于BIM的抗压缩对抗性图像生成算法ComReAdvbim表示为：xn+1＝clip(xn-α·rn+1),x0＝x基于MIM的抗压缩对抗性图像生成算法ComReAdvmim表示为：xn+1＝clip(xn-α·rn+1),x0＝x,r0＝0,m＝1其中m表示动量因子，用于权衡先前梯度值对本次更新的影响。本专利技术和现有技术相比，具有的有益效果是：1)与现存的对抗性图像攻击方法不同，本专利技术能根据图像压缩算法的不同来进行对抗性图像的优化生成过程，实现高抗压缩性的对抗性图像攻击。2)本专利技术引入一种新的压缩近似模型ComModel，ComModel能够根据原图-压缩图构建的数据集来进行训练，使得训练完成后的ComModel能以足够小的误差来近似图像压缩算法，该模型的可微特性能够有效解决目前大部分压缩算法不可微的问题，确保基于梯度的优化算法可以使用，3)本专利技术具有高扩展性，可以与现存的各种对抗性图像生成算法结合，得到具有抗压缩性的对抗性图像。4)本专利技术具有高实用性，在ComModel的基础上，面对压缩算法未知的情况下，我们可以只根据数据集便可有效的本文档来自技高网...

【技术保护点】
1.一种面向深度神经网络的抗压缩对抗性图像生成方法，其特征在于，包含如下步骤：/n1)给定一个目标分类器模型，给定原始图像，该原始图像经过图像压缩后，输入到目标分类器能得到其分类到所有类别的置信度；攻击者拥有对目标模型的白盒访问权限，并设定目标类别；/n2)将图像压缩算法注入到对抗性图像的优化求解过程，使用基于梯度的优化算法生成抗压缩的对抗性图像；/n3)设计神经网络来近似图像压缩算法，训练后的神经网络可以作为压缩算法的可微近似形式；/n4)将已训练好的神经网络模型加入到现有的对抗图像优化算法的求解过程中，生成抗压缩的对抗性图像，使目标模型分类到目标类别。/n

【技术特征摘要】
1.一种面向深度神经网络的抗压缩对抗性图像生成方法，其特征在于，包含如下步骤：
1)给定一个目标分类器模型，给定原始图像，该原始图像经过图像压缩后，输入到目标分类器能得到其分类到所有类别的置信度；攻击者拥有对目标模型的白盒访问权限，并设定目标类别；
2)将图像压缩算法注入到对抗性图像的优化求解过程，使用基于梯度的优化算法生成抗压缩的对抗性图像；
3)设计神经网络来近似图像压缩算法，训练后的神经网络可以作为压缩算法的可微近似形式；
4)将已训练好的神经网络模型加入到现有的对抗图像优化算法的求解过程中，生成抗压缩的对抗性图像，使目标模型分类到目标类别。


2.如权利要求1所述的面向深度神经网络的抗压缩对抗性图像生成方法，其特征在于：输入的原始图像首先经过图像压缩处理x′＝comp(x)，其中x为输入的原始图像，comp()是图像压缩函数，x′是压缩后的图像；目标图像分类器可以表示为f(x′,θ)＝y，θ为模型参数，y为模型输出；模型输出倒数第二层被称作logits层，输出图像对应的每种类别的置信度；而最后一层称作softmax层，输出logits层结果归一化后的结果,即分类到每种类别的概率；分类器最后的输出y即为softmax层的最大值，表示为：
f(x,θ)＝max(softmax(logits(comp(x))))＝y
攻击者对目标模型具有白盒访问权限，即能够访问目标模型的参数和权重，但不能获得采用的是哪种压缩函数和压缩程度等参数，攻击者对给定图像设定目标类别，生成抗压缩的对抗性图像使得目标模型将其分类到目标类别。


3.如权利要求1所述的面向深度神经网络的抗压缩对抗性图像生成方法，其特征在于：针对步骤2)中的优化求解过程采用如下的优化公式：



s.t.f(comp(x′),θ)＝t,
x′＝x+r∈[0,1]n,
其中r是期望优化得到的扰动，x′即为得到的对抗性图像，该对抗性图像经过图像压缩算法comp()压缩后，依旧可以使模型输出为指定目标。


4.如权利要求3所述的面向深度神经网络的抗压缩对抗性图像生成方法，其特征在于：步骤3)中的神经网络模型如下：
ComModel(x,θ1)≈comp(x)
其中ComModel表示设计的神经网...

【专利技术属性】
技术研发人员：王志波，郭恒昌，宋梦凯，郑思言，王骞，
申请(专利权)人：武汉大学，
类型：发明
国别省市：湖北;42