CN112115317B - 一种针对深度哈希检索的有目标攻击方法及终端设备 - Google Patents

Abstract

本发明公开了一种针对深度哈希检索的有目标攻击方法及终端设备，所述方法包括步骤：提供具有标签t的样本集合，将所述样本集合中的所有样本输入深度哈希检索模型中，生成相应的哈希码；采用位投票算法获得代表哈希码h_a；指定超参数α的大小为0到1，并设计损失函数；利用梯度下降的方法计算x′的梯度并利用所述梯度更新x′；将生成的对抗样本x′投影，使得x′满足无穷约束和图像空间；判断是否达到预设的更新次数，如果是，得到对抗样本x′；将所述对抗样本x′输入到所述深度哈希检索模型中，返回期望类别的样本。本发明在设计深度哈希检索模型时采用此种攻击方法，有利于提高模型的安全性和鲁棒性，并且产生的对抗样本能够使检索模型返回攻击者期望的类别样本。

Description

一种针对深度哈希检索的有目标攻击方法及终端设备

技术领域

本发明涉及哈希检索技术领域，特别涉及一种针对深度哈希检索的有目标攻击方法及终端设备。

背景技术

大规模数据近似近邻检索具有高效率和高性能的特点，被应用于很多搜索引擎中检索图像或者视频，例如谷歌和必应等。在这些近似近邻搜索方法中，基于哈希的检索尤其受到更多的关注，它能将数据映射到紧凑的二值空间，从而使用汉明距离度量相似性，提高计算效率。

基于深度学习的哈希检索方法能够取得当前哈希检索中最好的性能，然而，很多研究表明深度学习模型容易受到对抗攻击，使深度学习模型的性能受到影响。按照攻击目的的不同，对抗样本生成可以分为两类方法：无目标攻击和有目标攻击。无目标攻击是指使受到攻击的模型性能下降，而有目标攻击是指攻击者要达到特定的目的(例如在分类任务中目标是使对抗样本分类到指定类别)。在分类任务中针对这两种攻击存在很多的方法。然而，在检索任务中关于对抗攻击的方法还较少，且没有针对深度哈希检索的有目标攻击方法，这不利于研究检索系统的鲁棒性和安全性。

因此，现有技术还有待于改进和发展。

发明内容

本发明要解决的技术问题在于，针对现有技术的不足，提供一种针对深度哈希检索的有目标攻击方法及终端设备，旨在解决现有技术缺少针对深度哈希检索的有目标攻击方法，不利于研究检索系统鲁棒性和安全性的问题。

为了解决上述技术问题，本发明所采用的技术方案如下：

一种针对深度哈希检索的有目标攻击方法，其中，包括步骤：

提供具有标签t的样本集合，将所述样本集合中的所有样本输入深度哈希检索模型中，生成相应的哈希码其中，所述标签t为攻击者指定期望返回的类别，所述标签t与查询图像x的类别不同；

采用位投票算法获得代表哈希码h_a；

指定超参数α的大小为0到1，并设计损失函数为：

其中，tanh为双曲正切函数，x′为对抗样本；

利用梯度下降的方法计算x′的梯度；

利用计算的梯度更新x′；

将生成的对抗样本x′投影，使得x′满足无穷约束和图像空间；

判断是否达到预设的更新次数，如果是，得到对抗样本x′；

将所述对抗样本x′输入到所述深度哈希检索模型中，返回期望类别的样本。

所述针对深度哈希检索的有目标攻击方法，其中，所述深度哈希检索模型为F(·)，其哈希码长为K，样本x_i的哈希码的生成公式为：h＝F(x)＝sign(f_θ(x))，其中，f_θ(·)表示深度神经网络模型，sign(·)为符号函数，表示N个分为c个类别的数据集，y_i∈{0，1}^C表示标签向量。

所述针对深度哈希检索的有目标攻击方法，其中，所述样本x_i为图片或视频。

所述针对深度哈希检索的有目标攻击方法，其中，所述采用位投票算法获得代表哈希码h_a的步骤包括：

对样本集合中的所有样本的哈希码按照位投票方法计算，得到代表哈希码h_a。

所述针对深度哈希检索的有目标攻击方法，其中，所述对样本集合中的所有样本的哈希码进行位投票方法计算，得到代表哈希码h_a的步骤包括：

对于j＝1，2，…K，计算每个位置上+1和-1的个数，表示为和/>其中，其中，/>表示指示函数；

根据公式判断第j个位置上/>的值，从而返回代表哈希码h_a。

一种计算机可读存储介质，其中，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现本发明所述针对深度哈希检索的有目标攻击方法中的步骤。

一种终端设备，其中，包括：处理器、存储器及通信总线；所述存储器上存储有可被所述处理器执行的计算机可读程序；

所述通信总线实现处理器和存储器之间的连接通信；

所述处理器执行所述计算机可读程序时实现本发明所述针对深度哈希检索的有目标攻击方法中的步骤。

有益效果：与现有技术相比，本发明提供了一种针对深度哈希检索的有目标攻击方法、存储介质及终端设备，首先定义检索中的有目标攻击为点到集合的优化问题，即最小化对抗样本的哈希码和期望类别哈希码集合的平均距离；然后设计了一种位投票算法获得期望类别哈希码集合的最优代表哈希码方法；为了保证对抗样本的不可见性，进一步提出在无穷约束下优化对抗噪声，使对抗样本的哈希码与代表哈希码之间的距离尽可能小。本发明方法不仅保证了对抗样本与原始样本不可区分性，还能获得良好的有目标攻击效果；本发明在设计深度哈希检索模型时采用此种攻击方法，有利于提高模型的安全性和鲁棒性，并且产生的对抗样本能够使检索模型返回攻击者期望的类别样本。

附图说明

图1为本发明提供的一种针对深度哈希检索的有目标攻击方法较佳实施例的流程图。

图2为本发明提供的针对深度哈希检索的有目标攻击方法示意图。

图3为本发明提供的终端设备的结构原理图。

具体实施方式

本发明提供一种针对深度哈希检索的有目标攻击方法、存储介质及终端设备，为使本发明的目的、技术方案及效果更加清楚、明确，以下参照附图并举实施例对本发明进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

本技术领域技术人员可以理解，除非特意声明，这里使用的单数形式“一”、“一个”、“所述”和“该”也可包括复数形式。应该进一步理解的是，本发明的说明书中使用的措辞“包括”是指存在所述特征、整数、步骤、操作、元件和/或组件，但是并不排除存在或添加一个或多个其他特征、整数、步骤、操作、元件、组件和/或它们的组。应该理解，当我们称元件被“连接”或“耦接”到另一元件时，它可以直接连接或耦接到其他元件，或者也可以存在中间元件。此外，这里使用的“连接”或“耦接”可以包括无线连接或无线耦接。这里使用的措辞“和/或”包括一个或更多个相关联的列出项的全部或任一单元和全部组合。

本技术领域技术人员可以理解，除非另外定义，这里使用的所有术语(包括技术术语和科学术语)，具有与本发明所属领域中的普通技术人员的一般理解相同的意义。还应该理解的是，诸如通用字典中定义的那些术语，应该被理解为具有与现有技术的上下文中的意义一致的意义，并且除非像这里一样被特定定义，否则不会用理想化或过于正式的含义来解释。

下面结合附图，通过对实施例的描述，对发明内容作进一步说明。

现存的有目标攻击主要是针对分类任务的。在分类任务中，由于图像存在类别标签，所以对抗攻击有清晰的优化目标。在哈希检索中，样本被映射到二值空间，使得有目标攻击的目标不清晰。以基于哈希的图像检索为例，对于这种大规模数据的检索，近似近邻搜索可以达到很好的效果，它平衡了效率与准确率，使检索达到很好的效果。主要思想是，将每一张图片用一个相对较短的01编码表示，例如长度为64，128的编码，这个编码依然近似保持了图片空间的物理近邻关系。当用户上传一张图片时，使用哈希函数将它转化为01编码，然后计算这条编码与数据库中所有图片的编码进行距离计算(此时使用汉明距离计算)，即是将该图片的二进制编码，与数据库中所有二进制编码进行异或运算，其中1的个数即为距离，对所有的距离进行排序，选择前100个距离最近的作为相近的图片，然后通过索引找到原始图片显示出来。具体地，在做基于哈希的图像检索时，可使用cifar-10数据集，首先对该数据集提取gist特征，每张图片用一个向量表示，例如提取512个特征，则每张图片就使用一个512维的向量表示，一万张图片最后形成：10000*512的矩阵。将数据划分为训练集和测试集，训练集用来训练哈希函数。测试集用来测试查准率与查全率。根据训练集训练出哈希函数。将训练数据通过哈希函数转化为哈希函码，将测试数据转化为哈希码。计算测试数据到训练数据的距离，排序，选择距离最小的前100张图片，搜出来的100张图片就是近似近邻的图片。

基于深度学习的哈希检索方法能够取得当前哈希检索中最好的性能，然而，然而研究表明深度学习模型容易受到对抗攻击，使深度学习模型的性能受到影响。按照攻击目的的不同，对抗样本生成可以分为两类方法：无目标攻击和有目标攻击。无目标攻击是指使受到攻击的模型性能下降，而有目标攻击是指攻击者要达到特定的目的(例如在分类任务中目标是使对抗样本分类到指定类别)。在分类任务中针对这两种攻击存在很多的方法。然而，由于分类任务和检索任务本质的不同，分类中的有目标攻击方法不能直接迁移到检索中，现有技术在检索任务中关于对抗攻击的方法还较少，且没有针对深度哈希检索的有目标攻击方法，这不利于研究检索系统的鲁棒性和安全性。因此，有必要提出一种适应于检索任务的特点且有效的有目标攻击技术方案。

本发明实施方式提供了一种针对深度哈希检索的有目标攻击方法，其包括步骤：

提供具有标签t的样本集合，将所述样本集合中的所有样本输入深度哈希检索模型中，生成相应的哈希码其中，所述标签t为攻击者指定期望返回的类别，所述标签t与查询图像x的类别不同；

采用位投票算法获得代表哈希码h_a；

指定超参数α的大小为0到1，并设计损失函数为：

其中，tanh为双曲正切函数，x′为对抗样本；

利用梯度下降的方法计算x′的梯度；

利用计算的梯度更新x′；

将生成的对抗样本x′投影，使得x′满足无穷约束和图像空间；

判断是否达到预设的更新次数，如果是，得到对抗样本x′；

将所述对抗样本x′输入到所述深度哈希检索模型中，返回期望类别的样本。

具体来讲，所述深度哈希检索模型为F(·)，其哈希码长为K，样本x_i的哈希码的生成公式为：h＝F(x)＝sign(f_θ(x))，其中，f_θ(·)表示深度神经网络模型，sign(·)为符号函数，表示N个分为C个类别的数据集，y_i∈{0，1}^C表示标签向量。所述深度哈希检索模型在未受到攻击时，对于查询样本x的检索流程如下：首先模型输出x的哈希码F(x)，然后计算查询哈希码与数据库中所有样本哈希码的汉明距离d_H(F(x)，F(x_i))，最后检索系统会依据计算出的距离对数据库中的样本进行排序并返回结果。

而本实施例提供的针对深度哈希检索的有目标攻击方法，首先定义深度哈希检索中的有目标攻击为点到集合的优化问题，即最小化对抗样本的哈希码和期望类别哈希码集合的平均距离；然后设计了一种位投票算法获得期望类别哈希码集合的最优代表哈希码方法；为了保证对抗样本的不可见性，进一步提出在无穷约束下优化对抗噪声，使对抗样本的哈希码与代表哈希码之间的距离尽可能小。本实施例方法不仅保证了对抗样本与原始样本不可区分性，还能获得良好的有目标攻击效果；本实施例在设计深度哈希检索模型时采用此种攻击方法，有利于提高模型的安全性和鲁棒性，并且产生的对抗样本能够使检索模型返回攻击者期望的类别样本。

在本实施例中，如图1所示，针对查询图像x，攻击者指定期望返回的类别t，t需要与x的真正类别不同；作为举例，x的类别为狗，则攻击者指定期望返回的类别t可以为猫、猪、鱼、鸡等，但不限于此。攻击者可提供具有标签t的样本集合使用模型F(·)为样本集合X^(t)中的所有样本生成哈希码/>对样本集合中的所有样本的哈希码/>按照位投票方法计算，得到代表哈希码h_a；然后指定超参数α的大小为0到1，并设计损失函数为：/>其中，tanh为双曲正切函数，x为对抗样本；之后利用梯度下降的方法计算x′的梯度，并利用计算的梯度更新x′；将生成的对抗样本x′投影，使得x′满足无穷约束和图像空间；判断是否达到预设的更新次数，如果是，得到对抗样本x′；如果否，则继续返回步骤S06继续更新x′；最后将所述对抗样本x′输入到所述深度哈希检索模型中，返回期望类别的样本。

如图2所示，将本算法生成的对抗样本首先输入到哈希模型中，即将对抗查询“狗”图片输入到如下的特征提取器和全连接层，得到对抗样本的哈希码，利用此哈希码在数据库中检索近邻样本，得到的近邻样本属于有目标攻击中攻击者预设的攻击类别，即下图中的“猫”。

在本实施例中，通过将所述超参数α的大小设置为0到1，以防止反向传播时的梯度消失问题，加快对抗样本生成算法的收敛速度；通过设计损失函数来表示使原始的查询图像和生成的对抗样本无穷范数小于给定的阈值∈，即使得对抗样本的哈希码与代表哈希码h_a尽可能地接近，使人不能区分两个样本。

在本实施例中，所述利用梯度下降的方法计算x的梯度是指利用反向传播算法，依据上述提供的损失函数，从输出层开始，逐层计算梯度，得到输入x′的梯度G为止。之后采用公式x′＝x′-G对x′进行更新，其中G为上一步骤中求得的梯度G。

在本实施例中，所述将生成的对抗样本x′投影，使得x′满足无穷约束和图像空间的步骤具体包括：根据公式x′＝clamp(x)′对对抗样本x′投影，其中，clamp()为投影函数，将x′大于x+∈的值置为x+∈，x′小于x+∈的值置为x′，并且保证x′满足图像空间，即在0-255表示的空间内。

在本实施例中，预设的更新次数为攻击者设定的参数，可设置为2000；达到一定的预设次数是为了能够满足攻击成功同时又在可接受的计算时间内，不达到预设的更新次数可能会导致生成的对抗样本攻击效果不好。

在一些实施方式中，所述样本x′为图片或视频。

在一些实施方式中，所述对样本集合中的所有样本的哈希码进行位投票方法计算，得到代表哈希码h_a的步骤包括：对于j＝1，2，…K，计算每个位置上+1和-1的个数，表示为/>和/>其中，/> 其中，/>表示指示函数；根据公式/>判断第j个位置上/>的值，从而返回代表哈希码h_a。本实施例采用位投票的算法计算代表哈希码，为有目标对抗攻击提供了优化目标，能够使得攻击的效果高效稳定。

基于上述针对深度哈希检索的有目标攻击方法，本实施例提供了一种计算机可读存储介质，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现如上述实施例所述的针对深度哈希检索的有目标攻击方法中的步骤。

基于上述针对深度哈希检索的有目标攻击方法，本发明还提供了一种终端设备，如图3所示，其包括至少一个处理器(processor)20；显示屏21；以及存储器(memory)22，还可以包括通信接口(Communications Interface)23和总线24。其中，处理器20、显示屏21、存储器22和通信接口23可以通过总线24完成相互间的通信。显示屏21设置为显示初始设置模式中预设的用户引导界面。通信接口23可以传输信息。处理器20可以调用存储器22中的逻辑指令，以执行上述实施例中的方法。

此外，上述的存储器22中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。

存储器22作为一种计算机可读存储介质，可设置为存储软件程序、计算机可执行程序，如本公开实施例中的方法对应的程序指令或模块。处理器20通过运行存储在存储器22中的软件程序、指令或模块，从而执行功能应用以及数据处理，即实现上述实施例中的方法。

存储器22可包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序；存储数据区可存储根据终端设备的使用所创建的数据等。此外，存储器22可以包括高速随机存取存储器，还可以包括非易失性存储器。例如，U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等多种可以存储程序代码的介质，也可以是暂态存储介质。

此外，上述存储介质以及终端设备中的多条指令处理器加载并执行的具体过程在上述方法中已经详细说明，在这里就不再一一陈述。

综上所述，本发明提供了一种针对深度哈希检索的有目标攻击方法、存储介质及终端设备，首先定义检索中的有目标攻击为点到集合的优化问题，即最小化对抗样本的哈希码和期望类别哈希码集合的平均距离；然后设计了一种位投票获得期望类别哈希码集合的最优代表哈希码方法；为了保证对抗样本的不可见性，进一步提出在无穷约束下优化对抗噪声，使对抗样本的哈希码与代表哈希码之间的距离尽可能小。本发明方法不仅保证了对抗样本与原始样本不可区分性，还能获得良好的有目标攻击效果；本发明在设计深度哈希检索模型时采用此种攻击方法，有利于提高模型的安全性和鲁棒性，并且产生的对抗样本能够使检索模型返回攻击者期望的类别样本。本发明通过提出针对深度哈希检索在有目标对抗攻击方法，验证检索模型在这种攻击下的的鲁棒性，为提升检索系统的鲁棒性和安全性提供支持。本发明通过在输入图像上增加肉眼不可见的对抗噪声，破坏模型检索结果，返回攻击者期望类别的样本。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (6)

1.一种针对深度哈希检索的有目标攻击方法，其特征在于，包括步骤：

提供具有标签t的样本集合，将所述样本集合中的所有样本输入深度哈希检索模型中，生成相应的哈希码其中，所述标签t为攻击者指定期望返回的类别，所述标签t与查询图像x的类别不同；

采用位投票算法获得代表哈希码h_a；

指定超参数α的大小为0到1，并设计损失函数为：

其中，tanh为双曲正切函数，x′为对抗样本；

利用梯度下降的方法计算x′的梯度；

利用计算的梯度更新x′；

将生成的对抗样本x′投影，使得x′满足无穷约束和图像空间；

判断是否达到预设的更新次数，如果是，得到对抗样本x′；

将所述对抗样本x′输入到所述深度哈希检索模型中，返回期望类别的样本；

所述深度哈希检索模型为F(·)，其哈希码长为K，样本x的哈希码的生成公式为：h＝F(x)＝sign(f_θ(x))，其中，f_θ(·)表示深度神经网络模型，sign(·)为符号函数，表示N个分为C个类别的数据集，y_i∈{0，1}^C表示标签向量。

2.根据权利要求1所述针对深度哈希检索的有目标攻击方法，其特征在于，所述样本x_i为图片或视频。

3.根据权利要求1所述针对深度哈希检索的有目标攻击方法，其特征在于，所述采用位投票算法获得代表哈希码h_a的步骤包括：

对样本集合中的所有样本的哈希码按照位投票方法计算，得到代表哈希码h_a。

4.根据权利要求3所述针对深度哈希检索的有目标攻击方法，其特征在于，所述对样本集合中的所有样本的哈希码进行位投票方法计算，得到代表哈希码h_a的步骤包括：

对于j＝1,2,…K，计算每个位置上+1和-1的个数，表示为和/>其中，其中，/>表示指示函数；

根据公式判断第j个位置上/>的值，从而返回代表哈希码h_a。

5.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有一个或者多个程序，所述一个或者多个程序可被一个或者多个处理器执行，以实现如权利要求1-4任意一项所述针对深度哈希检索的有目标攻击方法中的步骤。

6.一种终端设备，其特征在于，包括：处理器、存储器及通信总线；所述存储器上存储有可被所述处理器执行的计算机可读程序；

所述通信总线实现处理器和存储器之间的连接通信；

所述处理器执行所述计算机可读程序时实现如权利要求1-4任意一项所述针对深度哈希检索的有目标攻击方法中的步骤。