CN112287943A - 一种基于图像增强技术的对抗攻击防御方法 - Google Patents

Abstract

本发明提出了一种基于图像增强技术的对抗攻击防御方法，该方法秉承保证高防御效果的同时压缩计算成本的原则，利用放大对抗噪声的细微冲击性特征解决普通预处理方法对对抗噪声不敏感的问题。通过向对抗样本二次添加乘性噪声，将对抗扰动的冲击性特征随机放大，使对抗噪声更容易被滤波器去除。随后利用中值滤波，将对抗噪声和添加的乘性噪声一并去除，得到可以被正确识别的干净图像，实现防御对抗攻击的效果。本发明通过放大对抗扰动的冲击性便于滤波器更好地去除对抗噪声，得到的图片识别准确率更高，同时简化了对抗防御流程，极大地降低了实现成本。

Description

一种基于图像增强技术的对抗攻击防御方法

技术领域

本发明属于深度学习安全领域，提出了一种基于图像增强技术的对抗攻击防御方法，特别是对mnist数据集对抗样本的防御。

背景技术

随着深度神经网络的飞速发展，深度学习在各个领域得到了大规模应用，尤其是在计算机视觉方面，深度神经网络的性能已经远远超越了其他算法。但深度神经网络在高维空间中的线性特性，使其极易受到攻击，它的复杂性和不可解释性更增大了防御攻击的难度。自从Christian Szegedy等人首次提出对抗样本的概念后，越来越多的对抗样本生成算法不断被提出，深度学习暴露出来的安全问题开始逐渐引起人们的关注和重视。而对抗样本的存在也使得深度学习在无人驾驶，人脸识别等对安全性要求较高的领域难以普及。

向可以被正确识别的图像x添加精心设计的细微噪声η后得到对抗样本

对抗样本输入深度神经网络后，得到：

其中，w是训练好的参数向量。精心设计η使其与w方向一致，此时，即便η很小，也会对激活值造成巨大的干扰，从而误导深度学习网络得到高置信度的错误判断。

为了应对对抗攻击对是深度神经网络安全性的威胁，人们提出了许多防御方法，以下是几种较为主流的对抗攻击防御思路：

修改训练过程或输入数据：在原有模型训练过程中不断输入新类型的对抗样本来执行对抗训练，以此提高深度神经网络的防御能力。实践证明，这种蛮力训练方法确实可以在一定程度上减少深度神经网络的过拟合进而提高其鲁棒性。然而这种方法需要大量对抗样本，计算成本极高，并且Moosavi-Dezfooli等人指出，无论在训练过程中输入多少对抗样本，总是存在新的对抗样本可以实现对抗攻击。

防御蒸馏：Papernot提出的防御蒸馏技术旨在通过训练两个架构相同的神经网络，并让第二个模型预测更早训练的另一个模型的可能输出结果，使得深度学习模型输出更加平滑，提高对对抗攻击的防御能力。但后来经Nicholas Carlini和David Wagner证明，标准攻击稍加改造后，即可攻破防御蒸馏。

基于GAN的防御：Hyeungill Lee首次尝试使用GAN防御对抗样本。生成器生成对抗扰动，分类器进行图片分类，两个网络交替训练，不断提高分类网络的鲁棒性。这一方法的重点和难点即为GAN的训练和调试。

预处理图像：Dziugaite等人利用JPEG图像压缩的方法减少对抗扰动的影响。这种方法对部分对抗攻击有比较有限的防御效果，并且压缩图像的同时，会降低正常样本的分类准确率。

以上提高深度神经网络鲁棒性或预处理对抗样本的方法，都可以抵御部分对抗样本的攻击。但对抗训练的方法计算成本很高且总是受到训练数据分布的局限，仍然可以误导神经网络的对抗样本很容易被找到，而预处理的方法在降噪过程中容易造成关键特征和边缘信息的丢失。至今，还没有模型可以很好的兼顾输入的干净和预测的高准确性。

发明内容

为了解决上述提出的问题，并且本着保证高防御效果的同时压缩计算成本的原则，本发明对预处理方法防御对抗攻击进行了深入研究。现有预处理对抗样本的方法是将添加的对抗扰动视为噪声，但由于对抗攻击造成的扰动是规则且故意的，力求以最细微的干扰造成深度神经网络的误判，滤波器对此类噪声并不敏感，因此直接对对抗样本进行滤波去噪的效果并不好。

为了使对抗噪声更容易被滤波器去除，本发明针对对抗噪声的细微冲击性特征，提出了基于图像增强技术的对抗攻击防御方法。通过二次添加乘性噪声，将对抗扰动的冲击性特征随机放大，降低对抗噪声对去噪过程的容忍度，随后利用中值滤波滤除噪声，得到可以被正确识别的干净图像，从而防御对抗攻击。

本发明的技术方案是：

1、基于图像增强技术的对抗攻击防御方法，其特征在于，针对对抗噪声的细微冲击性特征，通过向对抗样本添加乘性噪声，随机放大对抗扰动，使对抗噪声的冲击性特征更加明显，更容易被滤波消除；随后利用中值滤波，将对抗噪声和添加的乘性噪声一并去除，得到可以被正确识别的干净图像。

2、对抗攻击防御方法包含以下步骤：

步骤1：设计实验样本，使用mnist手写数字数据集作为基础数据集，向mnist数据集图像添加噪声，得到可以被深度神经网络识别为目标数字的对抗样本；

步骤2：向对抗样本进行二次添加噪声，向对抗样本中添加噪声，对抗噪声得到随机放大，使其对降噪过程的容忍度更低，便于滤波去除；

步骤3：滤波去噪，对步骤2得到的图像进行对数变换后滤波，接着用指数函数还原得到干净样本。

3、其中，步骤1中，向mnist手写数字数据集图像添加噪声，使用目前主流的四种对抗样本生成方法FGSM、Deepfool、C&W和/或JSMA进行有目标攻击，得到可以被深度神经网络识别为目标数字的对抗样本。

4、其中，步骤2向对抗样本加入乘性噪声，得到添加噪声后的图像的公式为：

g＝I+n*I

其中I为原始图像，n为均值为0，方差为0.04的均匀分布的随机噪声；经过添加随机噪声的操作后，具有轻微冲击性的对抗噪声被随机放大，使其对降噪过程的容忍度更低，更容易被滤波器去除。

5、其中，步骤3可以分为三个子步骤，具体步骤如下：

3.1：对图像进行非线性对数变换，对数变换的公式为：

s＝c*log(1+r)

其中，C是尺度比例常数，r是变换前像素值，s是变换后的目标像素值。利用非线性对数变换可以将不易被滤波去除的乘性噪声转化为加性噪声，更利于中值滤波滤除噪声；

3.2：对图像进行中值滤波，中值滤波的基本思路是一个子数字矩阵窗口沿图像移动，窗口中心点的值用窗口中所有点的值的中值替代，将以目标像素为中心的子矩阵窗口记为A，x_ij表示数字图像中各点的值，对窗口内像素值进行排序，取中间值作为目标像素的新灰度值y_ij，记为：

y_ij＝Med_A{x_ij}＝Med{x_(i-r)(j-s)，(r，s)∈A}

3.3：对滤波后的图像采用下式进行非线性指数变换，得到可以被深度学习网络正常识别的干净图像，

s＝c*r^γ

其中，c是尺度比例常数，r是变换前像素值，s是变换后的目标像素值，γ为像素映射系数。

本发明由于采取以上技术方案，与现有技术相比具有以下有益效果：本发明在滤波去噪前，向对抗样本添加乘性噪声，放大对抗噪声的细微冲击性，解决了普通预处理方法对对抗噪声不敏感的问题。因此，与传统的预处理方法相比，本发明可以更好的去除对抗扰动，增强原始图像的关键特征，得到的图片识别准确性更高。本发明相较于其他对抗攻击防御方法，不需要投入大量对抗样本进行深度神经网络或滤波器的训练和调试，简化了对抗防御流程，同时极大地降低了实现成本。

附图说明

图1为整体实验流程图。

图2为生成对抗图像示例。

图3为中值滤波器原理图。

图4为增强图像去噪后的噪声直方图(a)与原始图像去噪后的噪声直方图(b)对比图。

具体实施方式

为使本发明的目的、技术方案和优点表达地更加清楚明白，以下结合附图和具体实施步骤对本发明进行详细描述，但不作为对本发明的限定。

本发明提出了一种基于图像增强技术的对抗攻击防御方法，该方法秉承保证高防御效果的同时压缩计算成本的原则，利用放大对抗噪声的细微冲击性特征解决普通预处理方法对对抗噪声不敏感的问题。通过向对抗样本二次添加乘性噪声，将对抗扰动的冲击性特征随机放大，使对抗噪声更容易被滤波器去除。随后利用中值滤波，将对抗噪声和添加的乘性噪声一并去除，得到可以被正确识别的干净图像，实现防御对抗攻击的效果。本发明通过放大对抗扰动的冲击性便于滤波器更好地去除对抗噪声，得到的图片识别准确率更高，同时简化了对抗防御流程，极大地降低了实现成本。

基于图像增强技术的对抗攻击防御方法，其特征在于，针对对抗噪声的细微冲击性特征，通过向对抗样本添加乘性噪声，随机放大对抗扰动，使对抗噪声的冲击性特征更加明显，更容易被滤波消除；随后利用中值滤波，将对抗噪声和添加的乘性噪声一并去除，得到可以被正确识别的干净图像。对抗攻击防御方法包含以下步骤：

步骤1：设计实验样本。使用mnist手写数字数据集作为基础数据集，使用目前主流的四种对抗样本生成方法FGSM、Deepfool、C&W和JSMA进行有目标攻击，向mnist手写数字数据集图像添加噪声，得到图2所示的可以被深度神经网络识别为目标数字的对抗样本。

步骤2：向对抗样本进行二次添加噪声。向对抗样本中添加乘性噪声，随机放大对抗噪声，使其对降噪过程的容忍度更低，便于滤波去除。图像添加噪声的公式为：

g＝I+n*I

其中I为原图像，n为均值为0，方差为0.04的均匀分布的随机噪声。经过添加随机噪声的操作后，对抗噪声的轻微冲击性特征被随机放大，对降噪过程的容忍度降低，更容易被滤波器去除

步骤3：滤波去噪。对步骤2得到的图像进行对数变换后滤波，接着用指数函数还原得到的干净样本。

3.1：对图像进行非线性对数变换。对数变换的公式为：

s＝c*log(1+r)

其中，c是尺度比例常数，r是变换前像素值，s是变换后的目标像素值。利用非线性对数变换可以将不易被滤波去除的乘性噪声转化为加性噪声，更利于中值滤波滤除噪声。

3.2：对图像进行中值滤波。如图3，中值滤波的基本思路是一个子数字矩阵窗口沿图像移动，窗口中心点的值用窗口中所有点的值的中值替代。将以目标像素为中心的子矩阵窗口记为A，x_ij表示数字图像中各点的值，对窗口内像素值进行排序，取中间值作为目标像素的新灰度值y_ij，记为：

y_ij＝Med_A{x_ij}＝Med{x_(i+r)(j+s)，(r，s)∈A}

3.3：对滤波后的图像进行非线性指数变换，得到可以被深度学习网络正常识别的干净图像。

s＝c*rγ

其中，c是尺度比例常数，r是变换前像素值，s是变换后的目标像素值。γ为像素映射系数。

在图4中，(a)为利用本发明方法进行预处理后所得增强图像滤波后的噪声直方图，与(b)普通滤波相比，对抗噪声及额外添加的乘性噪声基本全部被滤波器滤除。得到的图像质量明显提高且可以被深度神经网络正确识别。

显然，通过上述三个步骤，可以实现利用放大对抗噪声的冲击特性，使滤波器更好的消除对抗噪声的干扰，得到可以被深度神经网络正确识别的干净图像，从而防御对抗攻击。

本发明说明书中未作详细描述的内容属于本领域专业技术人员公知的现有技术。在此指明，以上叙述有助于本领域技术人员理解本发明创造，但并非限制本发明创造的保护范围。任何没有脱离本发明创造实质内容的对以上叙述的等同替换、修饰改进和/或删繁从简而进行的实施，均落入本发明创造的保护范围。

Claims (5)

1.基于图像增强技术的对抗攻击防御方法，其特征在于，针对对抗噪声的细微冲击性特征，通过向对抗样本添加乘性噪声，随机放大对抗扰动，使对抗噪声的冲击性特征更加明显，更容易被滤波消除；随后利用中值滤波，将对抗噪声和添加的乘性噪声一并去除，得到可以被正确识别的干净图像。

2.根据权利要求1所述的基于图像增强技术的对抗攻击防御方法，其特征在于，对抗攻击防御方法包含以下步骤：

步骤1：设计实验样本，使用mnist手写数字数据集作为基础数据集，向mnist数据集图像添加噪声，得到可以被深度神经网络识别为目标数字的对抗样本；

步骤2：向对抗样本进行二次添加噪声，向对抗样本中添加噪声，对抗噪声得到随机放大，使其对降噪过程的容忍度更低，便于滤波去除；

步骤3：滤波去噪，对步骤2得到的图像进行对数变换后滤波，接着用指数函数还原得到干净样本。

3.根据权利要求2所述的基于图像增强技术的对抗攻击防御方法，其中，步骤1中，向mnist手写数字数据集图像添加噪声，使用目前主流的四种对抗样本生成方法FGSM、Deepfool、C&W和/或JSMA进行有目标攻击，得到可以被深度神经网络识别为目标数字的对抗样本。

4.根据权利要求2所述的基于图像增强技术的对抗攻击防御方法，其中，步骤2向对抗样本加入乘性噪声，得到添加噪声后的图像的公式为：

g＝I+n*I

其中I为原始图像，n为均值为0，方差为0.04的均匀分布的随机噪声；经过添加随机噪声的操作后，具有轻微冲击性的对抗噪声被随机放大，使其对降噪过程的容忍度更低，更容易被滤波器去除。

5.根据权利要求2所述的基于图像增强技术的对抗攻击防御方法，其中，步骤3可以分为三个子步骤，具体步骤如下：

3.1：对图像进行非线性对数变换，对数变换的公式为：

s＝c*log(1+r)

其中，c是尺度比例常数，r是变换前像素值，s是变换后的目标像素值。利用非线性对数变换可以将不易被滤波去除的乘性噪声转化为加性噪声，更利于中值滤波滤除噪声；

3.2：对图像进行中值滤波，中值滤波的基本思路是一个子数字矩阵窗口沿图像移动，窗口中心点的值用窗口中所有点的值的中值替代，将以目标像素为中心的子矩阵窗口记为A，x_ij表示数字图像中各点的值，对窗口内像素值进行排序，取中间值作为目标像素的新灰度值y_ij，记为：

y_ij＝Med_A{x_ij}＝Med{x_(i+r)(j+s)，(r，s)∈A}

3.3：对滤波后的图像采用下式进行非线性指数变换，得到可以被深度学习网络正常识别的干净图像，

s＝c*r^γ

其中，c是尺度比例常数，r是变换前像素值，s是变换后的目标像素值，γ为像素映射系数。

Images