CN111078892B - 对抗样本生成方法、装置、电子设备及存储介质 - Google Patents

Abstract

本申请公开了对抗样本生成方法、装置、电子设备及存储介质，涉及深度学习领域，其中方法可包括：获取包括文本段落、问题以及答案的三元组，所述问题为针对文本段落提出的问题，所述答案为基于文本段落生成的答案；对所述问题中的预定类型的词进行替换，得到至少一个修改后的问题；确定出所述问题对应的至少一个虚假答案，虚假答案与答案属于相同类型；根据修改后的问题及虚假答案生成至少一个干扰句；按照每次修改在文本段落中插入一个干扰句的方式，得到至少一个修改后的文本段落，选定一个修改后的文本段落作为对抗样本。应用本申请所述方案，可生成能够有效攻击模型的对抗样本，并可提升模型性能等。

Description

对抗样本生成方法、装置、电子设备及存储介质

技术领域

本申请涉及计算机应用技术，特别涉及深度学习领域的对抗样本生成方法、装置、电子设备及存储介质。

背景技术

阅读理解是自然语言处理(NLP，Natural Language Processing)领域的经典任务，即给定一个文本段落，针对该文本段落提出一个问题，答案可为该文本段落中的一个文本片段等。

在实际应用中，可利用训练得到的阅读理解模型来实现机器阅读理解，目前表现较好的阅读理解模型包括双向注意力流模型(BiDAF，Bi-Directional Attention Flow)等。

阅读理解模型容易受到对抗样本的干扰，从而导致推理出错误答案。因此，需要生成/构建对抗样本对阅读理解模型进行优化，以提升模型性能等。

针对阅读理解模型，目前通常采用黑盒攻击中的串联攻击方式，在黑盒攻击中，攻击者只能使用提供的输入查询目标模型，并获得输出预测和置信度得分，不具有完全访问权。串联攻击方式中，在文本段落中添加分散注意力的干扰句来生成对抗样本，但被添加的干扰句通常只是基于简单的语法规则或句式模板等生成的，实际效果并不理想。

发明内容

有鉴于此，本申请提供了对抗样本生成方法、装置、电子设备及存储介质。

一种对抗样本生成方法，包括：

获取包括文本段落、问题以及答案的三元组，所述问题为针对所述文本段落提出的问题，所述答案为基于所述文本段落生成的答案；

对所述问题中的预定类型的词进行替换，得到至少一个修改后的问题；

确定出所述问题对应的至少一个虚假答案，所述虚假答案与所述答案属于相同类型；

根据所述修改后的问题及所述虚假答案生成至少一个干扰句；

按照每次修改在所述文本段落中插入一个干扰句的方式，得到至少一个修改后的文本段落，选定一个修改后的文本段落作为所述对抗样本。

根据本申请一优选实施例，所述预定类型的词包括以下之一或任意组合：名词、形容词、命名实体、数字。

根据本申请一优选实施例，所述确定出所述问题对应的至少一个虚假答案包括：

确定所述答案所属的类型；

从斯坦福问答数据集中与所述答案属于相同类型的各答案中随机选出至少一个，作为所述虚假答案。

根据本申请一优选实施例，该方法进一步包括：获取所定义的至少两种不同类型；分别确定出所述斯坦福问答数据集中的各答案所属的类型。

根据本申请一优选实施例，所述根据所述修改后的问题及所述虚假答案生成至少一个干扰句包括：

确定出对应的语法规则；

根据所述语法规则将任一修改后的问题与任一虚假答案进行组合，得到至少一个干扰句。

根据本申请一优选实施例，该方法进一步包括：对生成的干扰句进行语法检查，过滤掉语法不正确的干扰句。

根据本申请一优选实施例，所述按照每次修改在所述文本段落中插入一个干扰句的方式，得到至少一个修改后的文本段落包括：

针对任一干扰句，分别将所述干扰句随机插入到所述文本段落中的至少一个位置，得到至少一个修改后的文本段落。

根据本申请一优选实施例，所述选定一个修改后的文本段落作为所述对抗样本包括：分别将各修改后的文本段落输入预先获取的阅读理解模型，根据所述阅读理解模型的输出确定出最具攻击性的修改后的文本段落，作为所述对抗样本。

根据本申请一优选实施例，该方法进一步包括：利用所述对抗样本对预先获取的阅读理解模型进行优化。

一种对抗样本生成装置，包括：信息获取单元以及样本生成单元；

所述信息获取单元，用于获取包括文本段落、问题以及答案的三元组，所述问题为针对所述文本段落提出的问题，所述答案为基于所述文本段落生成的答案；

所述样本生成单元，用于对所述问题中的预定类型的词进行替换，得到至少一个修改后的问题；确定出所述问题对应的至少一个虚假答案，所述虚假答案与所述答案属于相同类型；根据所述修改后的问题及所述虚假答案生成至少一个干扰句；按照每次修改在所述文本段落中插入一个干扰句的方式，得到至少一个修改后的文本段落，选定一个修改后的文本段落作为所述对抗样本。

根据本申请一优选实施例，所述预定类型的词包括以下之一或任意组合：名词、形容词、命名实体、数字。

根据本申请一优选实施例，所述样本生成单元确定所述答案所属的类型，从斯坦福问答数据集中与所述答案属于相同类型的各答案中随机选出至少一个，作为所述虚假答案。

根据本申请一优选实施例，所述样本生成单元进一步用于，获取所定义的至少两种不同类型，分别确定出所述斯坦福问答数据集中的各答案所属的类型。

根据本申请一优选实施例，所述样本生成单元确定出对应的语法规则，根据所述语法规则将任一修改后的问题与任一虚假答案进行组合，得到至少一个干扰句。

根据本申请一优选实施例，所述样本生成单元进一步用于，对生成的干扰句进行语法检查，过滤掉语法不正确的干扰句。

根据本申请一优选实施例，所述样本生成单元针对任一干扰句，分别将所述干扰句随机插入到所述文本段落中的至少一个位置，得到至少一个修改后的文本段落。

根据本申请一优选实施例，所述样本生成单元分别将各修改后的文本段落输入预先获取的阅读理解模型，根据所述阅读理解模型的输出确定出最具攻击性的修改后的文本段落，作为所述对抗样本。

根据本申请一优选实施例，所述装置中进一步包括：模型优化单元，用于利用所述对抗样本对预先获取的阅读理解模型进行优化。

一种电子设备，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行如以上所述的方法。

一种存储有计算机指令的非瞬时计算机可读存储介质，所述计算机指令用于使所述计算机执行如以上所述的方法。

上述申请中的一个实施例具有如下优点或有益效果：针对包括文本段落、问题以及答案的三元组，可根据修改后的问题以及确定出的虚假答案生成干扰句，优选地，还可过滤掉语法不正确的干扰句，从而可得到与文本段落和问题语义相关的、但不回答问题、符合语法的干扰句，插入到文本段落中，得到对抗样本，插入的干扰句不会误导人类误判，但会分散阅读理解模型的注意力，成功欺骗阅读理解模型，即可对阅读理解模型形成有效攻击；可将干扰句随机插入到文本段落的任意位置，并可利用得到的多样性的对抗样本对阅读理解模型进行优化，从而使得阅读理解模型能够学习到更深层次的语义信息，具有真正的自然语言理解和推理能力，强化阅读理解模型的安全，提升阅读理解模型的鲁棒性等；所述对抗样本生成方法可在黑盒情况下使用，无需知道模型细节等，更适用于现实场景；上述可选方式所具有的其它效果将在下文中结合具体实施例加以说明。

附图说明

附图用于更好地理解本方案，不构成对本申请的限定。其中：

图1为本申请所述对抗样本生成方法实施例的流程图；

图2为本申请所述对抗样本生成装置200实施例的组成结构示意图；

图3为根据本申请实施例所述方法的电子设备的框图。

具体实施方式

以下结合附图对本申请的示范性实施例做出说明，其中包括本申请实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本申请的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。

另外，应理解，本文中术语“和/或”，仅仅是一种描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。另外，本文中字符“/”，一般表示前后关联对象是一种“或”的关系。

图1为本申请所述对抗样本生成方法实施例的流程图。如图1所示，包括以下具体实现方式。

在101中，获取包括文本段落、问题以及答案的三元组，所述问题为针对文本段落提出的问题，所述答案为基于文本段落生成的答案。

在102中，对问题中的预定类型的词进行替换，得到至少一个修改后的问题。

在103中，确定出问题对应的至少一个虚假答案，虚假答案与答案属于相同类型。

在104中，根据修改后的问题及虚假答案生成至少一个干扰句。

在105中，按照每次修改在文本段落中插入一个干扰句的方式，得到至少一个修改后的文本段落，选定一个修改后的文本段落作为对抗样本。

所述三元组可为{文本段落(Paragraph)，问题(Question)，答案(Answer)} 的形式，其中的问题为针对文本段落提出的问题，答案为基于文本段落生成的答案。如何获取三元组不作限制，针对每个三元组，可分别按照图1所示方式进行处理。

具体地，可首先对问题中的预定类型的词进行替换，以得到修改后的问题。优选地，所述预定类型的词包括以下之一或任意组合：名词、形容词、命名实体、数字。

其中，可基于WordNet来实现名词和形容词的替换，可基于Glove和欧式距离来对命名实体和数字进行替换。比如，问题为“ABC的哪个部门负责国内电视发行(What ABCdivision handles domestic television distribution？)”，其中“美国广播公司(ABC)”为命名实体，可基于Glove和欧式距离，从数据库中选择距离最近的词“美国全国广播公司(NBC)”作为替换，“国内的(domestic)”为形容词，可基于WordNet选择反义词“国外的(foreign)”作为替换，这样，可得到修改后的问题“NBC的哪个部门负责国外电视发行(What NBC division handles foreign television distribution？)”。

针对同一个问题，通过对其中的不同的词进行替换等，可得到不同的修改后的问题，比如，对其中的词a和词b进行替换后可得到修改后的问题1，对其中的词c进行替换后可得到修改后的问题2，从而共得到两个修改后的问题。或者，也可以不对问题进行修改，直接根据原始的问题以及后续得到的虚假答案生成干扰句。

针对三元组中的问题，还可确定出其对应的至少一个虚假答案，虚假答案与三元组中的答案属于相同类型。

优选地，可首先确定出三元组中的答案所属的类型，之后可从斯坦福问答数据集(SQuAD，Stanford Question Answering Dataset)中与所述答案属于相同类型的各答案中随机选出至少一个，作为虚假答案。斯坦福问答数据集为斯坦福大学于2016年推出的一个阅读理解数据集，其中记录了各文本段落及对应的问题和答案。

相应地，可预先获取所定义的至少两种不同类型，并分别确定出斯坦福问答数据集中的各答案所属的类型。具体定义哪些类型可根据实际需要而定，比如可定义26个类型，包括人、位置等。并可分别将斯坦福问答数据集中的各答案与其所属的类型相关联。比如，问题为“谁是美国第一任总统”，那么对应的答案所属的类型即为人。

这样，针对三元组中的问题，可首先确定出三元组中的答案所属的类型，之后可从斯坦福问答数据集中属于相同类型的各答案中随机选出一个或多个，作为问题对应的虚假答案，虚假答案可以为一个，也可以为多个。

在获取到修改后的问题及虚假答案之后，可根据修改后的问题及虚假答案进一步生成干扰句(Distractor)。优选地，可首先确定出对应的语法规则，之后可根据所述语法规则将任一修改后的问题与任一虚假答案进行组合，从而得到至少一个干扰句。

相应地，可预先定义多条语法规则，并确定出相匹配(相对应)的语法规则。比如，三元组中的问题为“What ABC division handles domestic televisiondistribution？”，对应的语法规则为“what/which NP1 VP1？”，对应的答案的语法规则为“The NP1 of[Answer]VP1”，那么相应地，假设修改后的问题为“What NBC divisionhandles foreign television distribution？”，虚假答案为中央公园(Central Park)，那么可通过组合修改后的问题及虚假答案生成干扰句“NBC中央公园分部负责国外电视发行(The NBC division of Central Park handles foreign television distribution)”。

假设得到了两个修改后的问题以及三个虚假答案，那么可将任一修改后的问题与任一虚假答案进行组合，从而可得到多个干扰句。

优选地，还可对生成的干扰句进行语法检查，过滤掉语法不正确的干扰句。比如，可使用语法检测工具Grammer对生成的干扰句进行语法检查，过滤掉语法不正确的干扰句，即仅保留语法正确的干扰句。

按照上述方式，可得到与文本段落和问题语义相关的、但不回答问题、符合语法的干扰句。

可按照每次修改在文本段落中插入一个干扰句的方式，得到至少一个修改后的文本段落。优选地，针对任一干扰句，可分别将该干扰句随机插入到本段落中的至少一个位置，从而得到至少一个修改后的文本段落。比如，假设经过之前的处理后，共得到4个干扰句，将每个干扰句分别随机插入到文本段落中的两个位置，那么则可得到8个修改后的文本段落，相比于原始的文本段落，每个修改后的文本段落中均插入了一个干扰句。

现有方式中，在向文本段落中添加干扰句时，总是将干扰句添加到段尾，这样的处理方式会导致利用对抗样本对阅读理解模型进行优化时，如进行对抗训练时，模型学习会忽略最后一句话(因为这样做不会受到惩罚)，这样，如果另外的对抗样本中将干扰句添加在段首，那么优化后的阅读理解模型则不能防御这种攻击。而本实施例中，可将干扰句随机插入到文本段落中的任意位置，而不是固定添加在段尾或段首，从而可迫使阅读理解模型在对抗训练期间对统计相关性等表面线索进行惩罚，实验显示，随机插入干扰句时，干扰句的位置与是否保证正确答案没有相关性，因此迫使阅读理解模型从更深层次学习分辨真正的答案，从而学习到更深层次的语义信息等，使得阅读理解模型具有真正的自然语言理解和推理能力，强化阅读理解模型的安全，提升阅读理解模型的鲁棒性等。

可从得到的多个修改后的文本段落中选定一个修改后的文本段落作为对抗样本。优选地，可分别将各修改后的文本段落输入阅读理解模型，根据阅读理解模型的输出确定出最具攻击性的修改后的文本段落，作为对抗样本，如可选择得分最低的，即对得到正确答案的负面影响最大的修改后的文本段落，作为对抗样本。

经过上述一系列处理之后，可得到三元组对应的对抗样本。按照同样的方式，可得到多个对抗样本。如前所述，进一步地，还可利用得到的对抗样本对阅读理解模型进行优化，如进行对抗训练。阅读理解模型可为BiADF模型。对抗训练是指将对抗样本与原始样本混合作为训练数据集来训练阅读理解模型，使得阅读理解模型具有防御对抗样本攻击的能力。

进一步地，还可对进行对抗训练后的阅读理解模型进行测试(评测)实验，相应地，可构建不同的对抗样本数据集(实验数据测试集)，比如，对抗样本数据集1中为按照现有方式生成干扰句并添加到文本段落尾部得到的对抗样本，对抗样本数据集2中为按照本申请所述方式生成干扰句并添加到文本段落首部得到的对抗样本，对抗样本数据集3中为按照本申请所述方式生成干扰句并添加到文本段落任意位置得到的对抗样本，可按照现有技术，分别获取进行对抗训练后的阅读理解模型针对不同对抗样本数据集的F1得分，实验显示，针对不同对抗样本数据集，均有上佳表现，表明增强了模型的鲁棒性等。

需要说明的是，对于前述的方法实施例，为了简单描述，将其表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其它顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本申请所必须的。

总之，采用本申请方法实施例所述方案，针对包括文本段落、问题以及答案的三元组，可根据修改后的问题以及确定出的虚假答案生成干扰句，优选地，还可过滤掉语法不正确的干扰句，从而可得到与文本段落和问题语义相关的、但不回答问题、符合语法的干扰句，插入到文本段落中，得到对抗样本，插入的干扰句不会误导人类误判，但会分散阅读理解模型的注意力，成功欺骗阅读理解模型，即可对阅读理解模型形成有效攻击；可将干扰句随机插入到文本段落的任意位置，并可利用得到的多样性的对抗样本对阅读理解模型进行优化，从而使得阅读理解模型能够学习到更深层次的语义信息，具有真正的自然语言理解和推理能力，强化阅读理解模型的安全，提升阅读理解模型的鲁棒性等；所述对抗样本生成方法可在黑盒情况下使用，无需知道模型细节等，即所述对抗样本生成方法为基于黑盒攻击的对抗样本生成方法，更适用于现实场景。

以上是关于方法实施例的介绍，以下通过装置实施例，对本申请所述方案进行进一步说明。

图2为本申请所述对抗样本生成装置200实施例的组成结构示意图。如图2所示，包括：信息获取单元201以及样本生成单元202。

信息获取单元201，用于获取包括文本段落、问题以及答案的三元组，所述问题为针对文本段落提出的问题，所述答案为基于文本段落生成的答案。

样本生成单元202，用于对问题中的预定类型的词进行替换，得到至少一个修改后的问题；确定出问题对应的至少一个虚假答案，虚假答案与答案属于相同类型；根据修改后的问题及虚假答案生成至少一个干扰句；按照每次修改在文本段落中插入一个干扰句的方式，得到至少一个修改后的文本段落，选定一个修改后的文本段落作为对抗样本。

所述三元组可为{文本段落，问题，答案}的形式。样本生成单元202可首先对问题中的预定类型的词进行替换，以得到修改后的问题。优选地，所述预定类型的词可包括以下之一或任意组合：名词、形容词、命名实体、数字。其中，可基于WordNet来实现名词和形容词的替换，可基于Glove和欧式距离来对命名实体和数字进行替换。针对同一个问题，通过对其中的不同的词进行替换等，可得到不同的修改后的问题。

针对三元组中的问题，样本生成单元202还可确定出其对应的至少一个虚假答案，虚假答案与三元组中的答案属于相同类型。优选地，样本生成单元202可首先确定答案所属的类型，之后可从斯坦福问答数据集中与所述答案属于相同类型的各答案中随机选出至少一个，作为虚假答案。

相应地，样本生成单元202还可预先获取所定义的至少两种不同类型，并分别确定出斯坦福问答数据集中的各答案所属的类型。具体定义哪些类型可根据实际需要而定，比如可定义26个类型，包括人、位置等。

在获取到修改后的问题及虚假答案之后，样本生成单元202可根据修改后的问题及虚假答案进一步生成干扰句。优选地，可首先确定出对应的语法规则，之后可根据语法规则将任一修改后的问题与任一虚假答案进行组合，从而得到至少一个干扰句。

样本生成单元202还可对生成的干扰句进行语法检查，过滤掉语法不正确的干扰句。比如，可使用语法检测工具Grammer对生成的干扰句进行语法检查，过滤掉语法不正确的干扰句，即仅保留语法正确的干扰句。

样本生成单元202还可按照每次修改在文本段落中插入一个干扰句的方式，得到至少一个修改后的文本段落。优选地，针对任一干扰句，可分别将该干扰句随机插入到本段落中的至少一个位置，从而得到至少一个修改后的文本段落。

进一步地，样本生成单元202还可从得到的多个修改后的文本段落中选定一个修改后的文本段落作为对抗样本。优选地，可分别将各修改后的文本段落输入阅读理解模型，根据阅读理解模型的输出确定出最具攻击性的修改后的文本段落，作为对抗样本。

图2所示装置中还可进一步包括：模型优化单元203，用于利用对抗样本对阅读理解模型进行优化，如进行对抗训练。阅读理解模型可为BiADF模型。对抗训练是指将对抗样本与原始样本混合作为训练数据集来训练阅读理解模型，使得阅读理解模型具有防御对抗样本攻击的能力。

图2所示装置实施例的具体工作流程请参照前述方法实施例中的相关说明，不再赘述。

总之，采用本申请装置实施例所述方案，针对包括文本段落、问题以及答案的三元组，可根据修改后的问题以及确定出的虚假答案生成干扰句，优选地，还可过滤掉语法不正确的干扰句，从而可得到与文本段落和问题语义相关的、但不回答问题、符合语法的干扰句，插入到文本段落中，得到对抗样本，插入的干扰句不会误导人类误判，但会分散阅读理解模型的注意力，成功欺骗阅读理解模型，即可对阅读理解模型形成有效攻击；可将干扰句随机插入到文本段落的任意位置，并可利用得到的多样性的对抗样本对阅读理解模型进行优化，从而使得阅读理解模型能够学习到更深层次的语义信息，具有真正的自然语言理解和推理能力，强化阅读理解模型的安全，提升阅读理解模型的鲁棒性等；所用的对抗样本生成方法可在黑盒情况下使用，无需知道模型细节等，更适用于现实场景。

根据本申请的实施例，本申请还提供了一种电子设备和一种可读存储介质。

如图3所示，是根据本申请实施例所述方法的电子设备的框图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本申请的实现。

如图3所示，该电子设备包括：一个或多个处理器Y01、存储器Y02，以及用于连接各部件的接口，包括高速接口和低速接口。各个部件利用不同的总线互相连接，并且可以被安装在公共主板上或者根据需要以其它方式安装。处理器可以对在电子设备内执行的指令进行处理，包括存储在存储器中或者存储器上以在外部输入/输出装置(诸如，耦合至接口的显示设备)上显示图形用户界面的图形信息的指令。在其它实施方式中，若需要，可以将多个处理器和/或多条总线与多个存储器和多个存储器一起使用。同样，可以连接多个电子设备，各个设备提供部分必要的操作(例如，作为服务器阵列、一组刀片式服务器、或者多处理器系统)。图3中以一个处理器Y01为例。

存储器Y02即为本申请所提供的非瞬时计算机可读存储介质。其中，所述存储器存储有可由至少一个处理器执行的指令，以使所述至少一个处理器执行本申请所提供的方法。本申请的非瞬时计算机可读存储介质存储计算机指令，该计算机指令用于使计算机执行本申请所提供的方法。

存储器Y02作为一种非瞬时计算机可读存储介质，可用于存储非瞬时软件程序、非瞬时计算机可执行程序以及模块，如本申请实施例中的方法对应的程序指令/模块。处理器Y01通过运行存储在存储器Y02中的非瞬时软件程序、指令以及模块，从而执行服务器的各种功能应用以及数据处理，即实现上述方法实施例中的方法。

存储器Y02可以包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需要的应用程序；存储数据区可存储根据电子设备的使用所创建的数据等。此外，存储器Y02可以包括高速随机存取存储器，还可以包括非瞬时存储器，例如至少一个磁盘存储器件、闪存器件、或其他非瞬时固态存储器件。在一些实施例中，存储器Y02可选包括相对于处理器Y01远程设置的存储器，这些远程存储器可以通过网络连接至电子设备。上述网络的实例包括但不限于互联网、企业内部网、局域网、移动通信网及其组合。

电子设备还可以包括：输入装置Y03和输出装置Y04。处理器Y01、存储器Y02、输入装置Y03和输出装置Y04可以通过总线或者其他方式连接，图3中以通过总线连接为例。

输入装置Y03可接收输入的数字或字符信息，以及产生与电子设备的用户设置以及功能控制有关的键信号输入，例如触摸屏、小键盘、鼠标、轨迹板、触摸板、指示杆、一个或者多个鼠标按钮、轨迹球、操纵杆等输入装置。输出装置Y04可以包括显示设备、辅助照明装置和触觉反馈装置(例如，振动电机)等。该显示设备可以包括但不限于，液晶显示器、发光二极管显示器和等离子体显示器。在一些实施方式中，显示设备可以是触摸屏。

此处描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、专用集成电路、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。

这些计算程序(也称作程序、软件、软件应用、或者代码)包括可编程处理器的机器指令，并且可以利用高级过程和/或面向对象的编程语言、和/ 或汇编/机器语言来实施这些计算程序。如本文使用的，术语“机器可读介质”和“计算机可读介质”指的是用于将机器指令和/或数据提供给可编程处理器的任何计算机程序产品、设备、和/或装置(例如，磁盘、光盘、存储器、可编程逻辑装置)，包括，接收作为机器可读信号的机器指令的机器可读介质。术语“机器可读信号”指的是用于将机器指令和/或数据提供给可编程处理器的任何信号。

为了提供与用户的交互，可以在计算机上实施此处描述的系统和技术，该计算机具有：用于向用户显示信息的显示装置(例如，阴极射线管或者液晶显示器监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给计算机。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。

可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网、广域网和互联网。

计算机系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。

应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发申请中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本申请公开的技术方案所期望的结果，本文在此不进行限制。

上述具体实施方式，并不构成对本申请保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本申请的精神和原则之内所作的修改、等同替换和改进等，均应包含在本申请保护范围之内。

Claims (18)

1.一种对抗样本生成方法，其特征在于，包括：

获取包括文本段落、问题以及答案的三元组，所述问题为针对所述文本段落提出的问题，所述答案为基于所述文本段落生成的答案；

对所述问题中的预定类型的词进行替换，得到至少一个修改后的问题；

确定出所述问题对应的至少一个虚假答案，所述虚假答案与所述答案属于相同类型；

根据所述修改后的问题及所述虚假答案生成至少一个干扰句；

对生成的干扰句进行语法检查，过滤掉语法不正确的干扰句；

按照每次修改在所述文本段落中插入一个干扰句的方式，得到至少一个修改后的文本段落，选定一个修改后的文本段落作为所述对抗样本。

2.根据权利要求1所述的方法，其特征在于，

所述预定类型的词包括以下之一或任意组合：名词、形容词、命名实体、数字。

3.根据权利要求1所述的方法，其特征在于，

所述确定出所述问题对应的至少一个虚假答案包括：

确定所述答案所属的类型；

从斯坦福问答数据集中与所述答案属于相同类型的各答案中随机选出至少一个，作为所述虚假答案。

4.根据权利要求3所述的方法，其特征在于，

该方法进一步包括：获取所定义的至少两种不同类型；分别确定出所述斯坦福问答数据集中的各答案所属的类型。

5.根据权利要求1所述的方法，其特征在于，

所述根据所述修改后的问题及所述虚假答案生成至少一个干扰句包括：

确定对应的语法规则；

根据所述语法规则将任一修改后的问题与任一虚假答案进行组合，得到至少一个干扰句。

6.根据权利要求1所述的方法，其特征在于，

所述按照每次修改在所述文本段落中插入一个干扰句的方式，得到至少一个修改后的文本段落包括：

针对任一干扰句，分别将所述干扰句随机插入到所述文本段落中的至少一个位置，得到至少一个修改后的文本段落。

7.根据权利要求1所述的方法，其特征在于，

所述选定一个修改后的文本段落作为所述对抗样本包括：分别将各修改后的文本段落输入预先获取的阅读理解模型，根据所述阅读理解模型的输出确定出最具攻击性的修改后的文本段落，作为所述对抗样本。

8.根据权利要求1所述的方法，其特征在于，

该方法进一步包括：利用所述对抗样本对预先获取的阅读理解模型进行优化。

9.一种对抗样本生成装置，其特征在于，包括：信息获取单元以及样本生成单元；

所述信息获取单元，用于获取包括文本段落、问题以及答案的三元组，所述问题为针对所述文本段落提出的问题，所述答案为基于所述文本段落生成的答案；

所述样本生成单元，用于对所述问题中的预定类型的词进行替换，得到至少一个修改后的问题；确定出所述问题对应的至少一个虚假答案，所述虚假答案与所述答案属于相同类型；根据所述修改后的问题及所述虚假答案生成至少一个干扰句；对生成的干扰句进行语法检查，过滤掉语法不正确的干扰句；按照每次修改在所述文本段落中插入一个干扰句的方式，得到至少一个修改后的文本段落，选定一个修改后的文本段落作为所述对抗样本。

10.根据权利要求9所述的装置，其特征在于，

所述预定类型的词包括以下之一或任意组合：名词、形容词、命名实体、数字。

11.根据权利要求9所述的装置，其特征在于，

所述样本生成单元确定所述答案所属的类型，从斯坦福问答数据集中与所述答案属于相同类型的各答案中随机选出至少一个，作为所述虚假答案。

12.根据权利要求11所述的装置，其特征在于，

所述样本生成单元进一步用于，获取所定义的至少两种不同类型，分别确定出所述斯坦福问答数据集中的各答案所属的类型。

13.根据权利要求9所述的装置，其特征在于，

所述样本生成单元确定出对应的语法规则，根据所述语法规则将任一修改后的问题与任一虚假答案进行组合，得到至少一个干扰句。

14.根据权利要求9所述的装置，其特征在于，

所述样本生成单元针对任一干扰句，分别将所述干扰句随机插入到所述文本段落中的至少一个位置，得到至少一个修改后的文本段落。

15.根据权利要求9所述的装置，其特征在于，

所述样本生成单元分别将各修改后的文本段落输入预先获取的阅读理解模型，根据所述阅读理解模型的输出确定出最具攻击性的修改后的文本段落，作为所述对抗样本。

16.根据权利要求9所述的装置，其特征在于，

所述装置中进一步包括：模型优化单元，用于利用所述对抗样本对预先获取的阅读理解模型进行优化。

17.一种电子设备，其特征在于，包括：

至少一个处理器；以及

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行权利要求1-8中任一项所述的方法。

18.一种存储有计算机指令的非瞬时计算机可读存储介质，其特征在于，所述计算机指令用于使所述计算机执行权利要求1-8中任一项所述的方法。

Images