本申请涉及一种基于黑盒模型的对抗攻击数据的处理方法、装置、计算机设备、存储介质和计算机程序产品。所述方法包括：确定第一被攻击数据样本和被攻击样本数据的至少一个第一候选数据样本；对第一被攻击数据样本进行扰动处理，得到对应的伪样本；将伪样本与至少一个第一候选数据样本进行特征比对，得到特征相似度最高的候选数据样本；根据特征相似度最高的候选数据样本对伪样本的扰动特征进行更新，得到构造的伪样本。采用本方法能够提高了构造的伪样本的真实性。伪样本的真实性。伪样本的真实性。
【技术实现步骤摘要】
基于黑盒模型的对抗攻击数据的处理方法和装置
[0001]本申请涉及神经网络的防御
，特别是涉及一种基于黑盒模型的对抗攻击数据的处理方法、装置、计算机设备、存储介质和计算机程序产品。
技术介绍
[0002]随着深度学习算法成功应用于推荐系统中，推荐系统的性能和效率得到进一步提升。然而当前研究已证明深度学习模型极易受到攻击，因此设计高效地攻击算法去测试基于深度学习的推荐系统的脆弱性至关重要。因为推荐系统处理的数据是离散型的，因此基于深度学习的攻击算法不能直接用于推荐系统中。当前投毒攻击被广泛用于推荐系统的最主要攻击算法，该算法主要在输入数据中加入假的数据从而降低模型的性能。因此如何设计高效的黑盒攻击算法具有重要意义。
[0003]常见的黑盒攻击包括：复制攻击、查询攻击和替代攻击。其中，替代攻击，即白盒模型采用蒸馏方法学习到黑盒模型的输出分布，之后对训练好的白盒模型展开攻击并得到相应的扰动样本，最后将这些扰动样本去攻击黑盒模型。然而，基于训练好的白盒模型展开攻击得到的扰动样本真实性低。
技术实现思路
[0004]基于此，有必要针对上述技术问题，提供一种能够提高构造的伪样本的真实性的基于黑盒模型的对抗攻击数据的处理方法、装置、计算机设备、计算机可读存储介质和计算机程序产品。
[0005]第一方面，本申请提供了一种基于黑盒模型的对抗攻击数据的处理方法。
[0006]所述方法包括：
[0007]确定第一被攻击数据样本和所述被攻击样本数据的至少一个第一候选数据样本；
[0008]对所述第一被攻击数据样本进行扰动处理，得到对应的伪样本；
[0009]将所述伪样本与所述至少一个第一候选数据样本进行特征比对，得到特征相似度最高的候选数据样本；
[0010]根据所述特征相似度最高的候选数据样本对所述伪样本的扰动特征进行更新，得到构造的伪样本。
[0011]在其中一个实施例中，所述将所述伪样本与所述至少一个第一候选数据样本进行特征比对，得到特征相似度最高的候选数据样本，包括：
[0012]获取所述伪样本的特征属性；
[0013]若所述特征属性为离散特征，且所述伪样本所有扰动特征不存在于所述至少一个候选数据样本中，则确定不存在于所述至少一个第一候选数据样本中的待更新扰动特征；
[0014]确定所述至少一个第一候选数据样本的样本特征与所述待更新扰动特征的相似度，根据所述相似度得到特征相似度最高的候选数据样本。
[0015]在其中一个实施例中，所述方法还包括：
[0016]根据所述构造的伪样本攻击目标黑盒模型，得到攻击结果；
[0017]根据所述攻击结果确定所述构造的伪样本的可靠度。
[0018]在其中一个实施例中，所述对所述第一被攻击数据样本进行扰动处理，得到对应的伪样本，包括：将所述第一攻击数据样本输入至训练好的扰动生成网络中，输出对应的伪样本。
[0019]在其中一个实施例中，所述扰动生成网络的训练，包括：
[0020]获取用于训练所述扰动生成网络的第二被攻击数据样本和所述被攻击数据样本的至少一个第二候选数据样本；
[0021]将所述第二被攻击数据样本输入至所述扰动生成网络，经过所述扰动生成网络的嵌入层、编码器和解码器，输出所述第二被攻击数据样本的扰动向量；
[0022]将所述扰动向量输入至替代模型的网络层，得到预测结果；
[0023]将所述预测结果与对应的候选子数据样本进行比对，得到对比损失；
[0024]基于所述对比损失对所述编码器和解码器进行训练，得到训练好的扰动生成网络。
[0025]在其中一个实施例中，所述基于所述对比损失对所述编码器和解码器进行训练，得到训练好的扰动生成网络，包括：
[0026]基于所述对比损失，将所述至少一个第二候选数据样本输入至替代模型，输出中间向量特征；
[0027]对所述扰动向量和所述中间向量特征进行相似性求解，得到平均损失；
[0028]基于所述平均损失对所述编码器和解码器进行训练，直到所述平均损失收敛到预设值，得到训练好的扰动生成网络。
[0029]在其中一个实施例中，所述替代模型是根据所述目标黑盒模型确定的，所述替代模型的确定方式，包括：
[0030]获取原始数据集和构建的替代模型；
[0031]分别将所述原始数据集输入至替代模型和目标黑盒模型中，得到所述替代模型的第一输出特征，和所述目标黑盒模型的第二输出特征；
[0032]根据所述第一输出特征和所述第二输出特征，确定所述替代模型和所述目标黑盒模型之间的输出损失；
[0033]根据所述第一输出特征确定所述替代模型的分类损失；
[0034]根据所述分类损失和所述输出损失，确定所述替代模型的总损失函数，得到与所述目标黑盒模型功能相同的替代模型。
[0035]在其中一个实施例中，所述获取用于训练所述扰动生成网络的第二被攻击数据样本和所述被攻击数据样本的至少一个第二候选数据样本，包括：
[0036]获取训练样本集；
[0037]根据所述训练样本集中各样本的属性，对所述训练样本集进行划分，得到被攻击数据样本集和候选数据样本集；
[0038]基于推荐算法，从所述候选数据样本集中确定与所述被攻击数据样本集中每个第二被攻击数据样本集相似的至少一个第二候选数据样本。
[0039]第二方面，本申请还提供了一种基于黑盒模型的对抗攻击数据的处理装置。所述
装置包括：
[0040]数据确定模块，用于确定第一被攻击数据样本和所述被攻击样本数据的至少一个第一候选数据样本；
[0041]扰动处理模块，用于对所述第一被攻击数据样本进行扰动处理，得到对应的伪样本；
[0042]特征比对模块，用于将所述伪样本与所述至少一个第一候选数据样本进行特征比对，得到特征相似度最高的候选数据样本；
[0043]构造模块，用于根据所述特征相似度最高的候选数据样本对所述伪样本的扰动特征进行更新，得到构造的伪样本。
[0044]第三方面，本申请还提供了一种计算机设备。所述计算机设备包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时实现以下步骤：
[0045]确定第一被攻击数据样本和所述被攻击样本数据的至少一个第一候选数据样本；
[0046]对所述第一被攻击数据样本进行扰动处理，得到对应的伪样本；
[0047]将所述伪样本与所述至少一个第一候选数据样本进行特征比对，得到特征相似度最高的候选数据样本；
[0048]根据所述特征相似度最高的候选数据样本对所述伪样本的扰动特征进行更新，得到构造的伪样本。
[0049]第四方面，本申请还提供了一种计算机可读存储介质。所述计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现以下步骤：
[0050]确定第一被攻击数据样本和所述被攻击样本数据的至少一个第本文档来自技高网...
【技术保护点】
【技术特征摘要】
1.一种基于黑盒模型的对抗攻击数据的处理方法，其特征在于，所述方法包括：确定第一被攻击数据样本和所述被攻击样本数据的至少一个第一候选数据样本；对所述第一被攻击数据样本进行扰动处理，得到对应的伪样本；将所述伪样本与所述至少一个第一候选数据样本进行特征比对，得到特征相似度最高的候选数据样本；根据所述特征相似度最高的候选数据样本对所述伪样本的扰动特征进行更新，得到构造的伪样本。2.根据权利要求1所述的方法，其特征在于，所述将所述伪样本与所述至少一个第一候选数据样本进行特征比对，得到特征相似度最高的候选数据样本，包括：获取所述伪样本的特征属性；若所述特征属性为离散特征，且所述伪样本所有扰动特征不存在于所述至少一个候选数据样本中，则确定不存在于所述至少一个第一候选数据样本中的待更新扰动特征；确定所述至少一个第一候选数据样本的样本特征与所述待更新扰动特征的相似度，根据所述相似度得到特征相似度最高的候选数据样本。3.根据权利要求1所述的方法，其特征在于，所述方法还包括：根据所述构造的伪样本攻击目标黑盒模型，得到攻击结果；根据所述攻击结果确定所述构造的伪样本的可靠度。4.根据权利要求1所述的方法，其特征在于，所述对所述第一被攻击数据样本进行扰动处理，得到对应的伪样本，包括：将所述第一攻击数据样本输入至训练好的扰动生成网络中，输出对应的伪样本。5.根据权利要求4所述的方法，其特征在于，所述扰动生成网络的训练，包括：获取用于训练所述扰动生成网络的第二被攻击数据样本和所述被攻击数据样本的至少一个第二候选数据样本；将所述第二被攻击数据样本输入至所述扰动生成网络，经过所述扰动生成网络的嵌入层、编码器和解码器，输出所述第二被攻击数据样本的扰动向量；将所述扰动向量输入至替代模型的网络层，得到预测结果；将所述预测结果与对应的候选子数据样本进行比对，得到对比损失；基于所述对比损失对所述编码器和解码器进行训练，得到训练好的扰动生成网络。6.根据权利要求5所述的方法，其特征在于，所述基于所述对比损失对所述编码器和解码器进行训练，得到训练好的扰动生成网络，包括：基于...
【专利技术属性】
技术研发人员：李肯立，段明星，唐卓，方森，杨志邦，余思洋，
申请(专利权)人：湖南大学，
类型：发明
国别省市：
还没有人留言评论。发表了对其他浏览者有用的留言会获得科技券。