CN113869529A - 用于生成对抗样本的方法、模型评估方法、装置和计算机设备 - Google Patents

Abstract

本说明书实施例公开了一种用于生成第一自然样本的对抗样本的方法、模型评估方法、装置和计算机设备。所述用于生成第一自然样本的对抗样本的方法包括：获取第一对抗样本，所述第一对抗样本的标签与第一自然样本不同；使第一对抗样本接近第一自然样本，直至第一对抗样本与第一自然样本之间的相似程度满足条件并且第一对抗样本的标签与第一自然样本不同；将新的第一对抗样本确定为第一自然样本的对抗样本。本说明书实施例可以生成具有较强攻击性的对抗样本，另外，还可以全面地评估机器学习模型的对抗训练效果。

Description

用于生成对抗样本的方法、模型评估方法、装置和计算机设备

技术领域

本说明书实施例涉及计算机技术领域，特别涉及一种用于生成第一自然样本的对抗样本的方法、模型评估方法、装置和计算机设备。

背景技术

机器学习的迅猛发展使得机器学习模型在各种各样的业务场景得到广泛应用。然而，机器学习模型非常容易受到对抗样本的攻击。所述对抗样本通过在自然样本中添加干扰得到。通过对抗样本可以使机器学习模型以高置信度给出错误的输出。

通过对机器学习模型进行对抗训练，可以提高机器学习模型的鲁棒性，抵御攻击。为了评估机器学习模型的对抗训练效果，需要生成具有较强攻击性的对抗样本。

发明内容

本说明书实施例提供一种用于生成第一自然样本的对抗样本的方法、模型评估方法、装置和计算机设备，可以生成具有较强攻击性的对抗样本，另外，还可以对机器学习模型的对抗训练效果进行评估。

本说明书实施例的第一方面，提供了一种用于生成第一自然样本的对抗样本的方法，包括：

获取第一对抗样本，所述第一对抗样本的标签与第一自然样本不同；

使第一对抗样本接近第一自然样本，直至第一对抗样本与第一自然样本之间的相似程度满足条件并且第一对抗样本的标签与第一自然样本不同；

将新的第一对抗样本确定为第一自然样本的对抗样本。

本说明书实施例的第二方面，提供了一种模型评估方法，包括：

根据若干数量的自然样本，确定模型的第一性能指标；

根据若干数量的对抗样本，确定模型的第二性能指标；

将第一性能指标与第二性能指标进行融合，得到复合性能指标，所述复合性能指标用于评估模型的对抗训练效果。

本说明书实施例的第三方面，提供了一种用于生成第一自然样本的对抗样本的装置，包括：

获取模块，用于获取第一对抗样本，所述第一对抗样本的标签与第一自然样本不同；

接近模块，用于使第一对抗样本接近第一自然样本，直至第一对抗样本与第一自然样本之间的相似程度满足条件并且第一对抗样本的标签与第一自然样本不同；

确定单元，用于将新的第一对抗样本确定为第一自然样本的对抗样本。

本说明书实施例的第四方面，提供了一种模型评估装置，包括：

第一确定模块，用于根据若干数量的自然样本，确定模型的第一性能指标；

第二确定模块，用于根据若干数量的对抗样本，确定模型的第二性能指标；

融合模块，用于将第一性能指标与第二性能指标进行融合，得到复合性能指标，所述复合性能指标用于评估模型的对抗训练效果。

本说明书实施例的第五方面，提供了一种计算机设备，包括：

至少一个处理器；

存储有程序指令的存储器，其中，所述程序指令被配置为适于由所述至少一个处理器执行，所述程序指令包括用于执行如第一方面或者第二方面所述方法的指令。

本说明书实施例提供的技术方案，第一对抗样本的标签与第一自然样本不同，使得，在使第一对抗样本接近第一自然样本的时候，无需跨越第一自然样本的决策边界，从而可以获得具有较强攻击性的对抗样本。另外，本说明书实施例提供的技术方案，可以将第一性能指标与第二性能指标进行融合，得到复合性能指标。所述复合性能指标体现了对抗训练后的机器学习模型在自然样本和对抗样本上的性能，可以全面地表示机器学习模型的对抗训练效果。

附图说明

为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，下面描述中的附图仅仅是本说明书中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1a为自然样本的示意图；

图1b为扰动数据的示意图；

图1c为对抗样本的示意图；

图2为本说明书实施例中用于生成第一自然样本的对抗样本的方法的流程示意图；

图3a为基于梯度的方法生成对抗样本的示意图；

图3b为本说明书实施例生成对抗样本的示意图；

图3c为本说明书实施例生成对抗样本的示意图；

图4为本说明书实施例中进行迭代处理的流程示意图；

图5为本说明书实施例中模型评估方法的流程示意图；

图6为本说明书实施例中用于生成第一自然样本的对抗样本的装置的结构示意图；

图7为本说明书实施例中模型评估装置的结构示意图；

图8为本说明书实施例中计算机设备的结构示意图。

具体实施方式

下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本说明书一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都应当属于本说明书保护的范围。

对抗样本（Adversarial Example），指在自然样本中添加了细微的扰动数据后所形成的样本。所述细微的扰动数据难以被人类所感知，在添加扰动数据后不会影响到自然样本的整体表现效果。所述对抗样本能够使机器学习模型以高置信度给出与自然样本不同的输出。其中，自然样本是与对抗样本相对的概念。在自然样本中没有添加细微的扰动数据。所述自然样本可以通过采集得到，或者，还可以由机器学习模型生成。例如，所述自然样本可以由生成式对抗网络（GAN）生成。所述对抗样本和所述自然样本可以为相同类型的数据。例如，所述对抗样本和所述自然样本均可以为图像数据、声音数据、指纹数据、位置数据等。

例如，图1a为自然样本的示意图，所述自然样本为熊猫图像。图1b为扰动数据的示意图，所述扰动数据为噪声图像。图1c为对抗样本的示意图，所述对抗样本是根据熊猫图像和噪声数据生成的。图1c在人类看起来仍然为熊猫图像。但是在将图1c所示的图像输入至机器学习模型后，会被识别为长臂猿。

所述机器学习模型可以包括神经网络模型、逻辑回归模型、决策树模型等。

对抗训练（Adversarial Training），是指利用对抗样本训练机器学习模型。在实际应用中，可以仅利用对抗样本训练机器学习模型。或者，还可以利用自然样本和对抗样本共同训练机器学习模型。通过所述对抗训练，可以提高机器学习模型对于对抗攻击的鲁棒性。

为了评估机器学习模型的对抗训练效果，可以生成具有较强攻击性的对抗样本；可以利用对抗样本攻击对抗训练后的机器学习模型，得到用于表示对抗训练效果的性能指标。

在相关技术中，可以采用基于梯度的方法生成对抗样本，所述基于梯度的方法可以包括快速梯度符号下降法（Fast Gradient Sign Method）、映射式梯度下降法（ProjectGradient Descent）等。具体的，可以以自然样本为初始对抗样本。尽管初始对抗样本与自然样本之间的差异较小，然而初始对抗样本无法使机器学习模型以高置信度给出与自然样本不同的输出。因而可以将所述初始对抗样本作为当前对抗样本，对当前对抗样本进行多次迭代。在每一次迭代过程中，可以计算当前对抗样本的梯度，沿着梯度方向移动当前对抗样本，得到更新后的当前对抗样本。在迭代结束后，可以将当前对抗样本作为所述自然样本的最终对抗样本。所述最终对抗样本可以使机器学习模型以高置信度给出与自然样本不同的输出。

上述相关技术中，是以自然样本自身为初始对抗样本，通过多次迭代，获得最终对抗样本。由于是以自然样本自身为初始对抗样本，因而针对机器学习模型，初始对抗样本位于自然样本的决策区域（Decision Region）内，最终对抗样本位于自然样本的决策区域外。这样，在多次迭代过程中，需要跨越自然样本的决策边界（Decision Boundary），造成容易获得局部较优的对抗样本，难以获得全局较优的对抗样本。因此，基于梯度的方法，难以获得具有较强攻击性的对抗样本。在此基础上，若利用基于梯度的方法所生成的对抗样本，评估机器学习模型的对抗训练效果，有可能高估机器学习模型对于对抗攻击的鲁棒性。

另外，在相关技术中，可以根据多个自然样本生成相应的多个对抗样本；可以利用所述多个对抗样本攻击对抗训练后的机器学习模型，得到攻击成功率（Attack SuccessRate，ASR）。所述攻击成功率用于评估机器学习模型的对抗训练效果。但是，所述攻击成功率仅体现了对抗训练后的机器学习模型在对抗样本上的性能，没有体现对抗训练后的机器学习模型在自然样本上的性能。因此，攻击成功率无法全面地表示机器学习模型的对抗训练效果。

本说明书实施例提供一种用于生成第一自然样本的对抗样本的方法。所述用于生成第一自然样本的对抗样本的方法可以应用于计算机设备。所述计算机设备可以包括单个计算机设备，或者，还可以包括包含多个计算机设备的分布式集群。请一并参阅图2、图3a、图3b和图3c。所述用于生成第一自然样本的对抗样本的方法可以包括以下步骤。

步骤S21：获取第一对抗样本，所述第一对抗样本的标签与第一自然样本不同。

在一些实施例中，所述标签可以用于标识样本的类型。具体的，所述第一对抗样本的标签可以用于标识第一对抗样本的类型，所述第一自然样本的标签可以用于标识第一自然样本的类型。所述第一对抗样本的标签与所述第一自然样本的标签不同。例如，所述标签可以用于标识动物类型，所述第一对抗样本的标签可以为猫，所述第一自然样本的标签可以为狗。

在一些实施例中，可以从训练集中获取自然样本作为第一自然样本。所述训练集可以包括一个或多个自然样本，每个自然样本对应有标签。所述训练集可以用于训练机器学习模型。当然，还可以采用其它方法获取第一自然样本，本说明书实施例对此并不做具体限定。

在一些实施例中，所述第一对抗样本可以理解为第一自然样本的初始对抗样本。所述第一对抗样本的标签与第一自然样本的标签不同。使得，对于机器学习模型，第一自然样本的初始对抗样本位于第一自然样本的决策区域外，第一自然样本的最终对抗样本也位于第一自然样本的决策区域外。这样在后续的迭代过程中，便无需跨越第一自然样本的决策边界。

可以获取第二自然样本作为第一对抗样本，所述第二自然样本的标签与第一自然样本的标签不同。在实际应用中，可以从测试集中获取自然样本作为第一对抗样本。所述测试集可以包括一个或多个自然样本，每个自然样本对应有标签。所述测试集可以用于对机器学习模型的性能进行测试。或者，还可以从候选集中获取自然样本作为第一对抗样本。所述候选集可以包括一个或多个自然样本，每个自然样本对应有标签。所述候选集可以用于提供能够被用作初始对抗样本的自然样本。当然，还可以获取预先生成的对抗样本作为第一对抗样本。所述对抗样本可以采用任意的方式预先生成。例如，所述对抗样本可以采用基于梯度的方法预先生成。至于所述对抗样本的标签，可以通过将所述对抗样本输入至机器学习模型得到。

步骤S23：使第一对抗样本接近第一自然样本，直至第一对抗样本与第一自然样本之间的相似程度满足条件并且第一对抗样本的标签与第一自然样本不同。

在一些实施例中，通过步骤S21获得的第一对抗样本，与第一自然样本之间的差异较大。为此，可以使第一对抗样本接近第一自然样本，以减小第一对抗样本与第一自然样本之间的差异，直至第一对抗样本与第一自然样本之间的相似程度满足条件并且第一对抗样本的标签与第一自然样本不同。所述条件可以包括：第一对抗样本与第一自然样本之间的距离数据小于或等于阈值。其中，所述距离数据用于度量第一对抗样本与第一自然样本之间的差异程度。所述距离数据可以包括第一对抗样本与第一自然样本之间的差值数据、欧式距离数据、余弦相似度数据等。所述距离数据可以为一个数值，或者，还可以为包含多个数值的矩阵。具体的，在所述距离数据为一个数值时，所述距离数据小于或等于阈值，可以是该数值小于或等于阈值。在所述距离数据为包含多个数值的矩阵时，所述距离数据小于或等于阈值，可以是矩阵中的各数值均小于或等于阈值。

在一些实施例中，可以采用任意适当的方式使第一对抗样本接近第一自然样本。

例如，可以直接调整第一对抗样本的大小，以减小第一对抗样本与第一自然样本之间的差异。再比如，考虑到直接调整第一对抗样本的大小，具有较强的盲目性（例如在一些情况下有可能增大第一对抗样本与第一自然样本之间的差异）。因而需要多次尝试，才能使新的第一对抗样本与第一自然样本之间的差异有所减小。为此，可以生成扰动数据，所述扰动数据用于使第一对抗样本接近第一自然样本；可以根据扰动数据和第一对抗样本，生成第二对抗样本；可以根据第二对抗样本与第一自然样本之间标签的异同，确定新的第一对抗样本。这样第一对抗样本的调整具有较强的方向性，从而提高了效率。

可以执行一次所述使第一对抗样本接近第一自然样本的步骤，使得，第一对抗样本与第一自然样本之间的相似程度满足条件并且第一对抗样本的标签与第一自然样本不同。或者，还可以迭代执行多次所述使第一对抗样本接近第一自然样本的步骤，使得，第一对抗样本与第一自然样本之间的相似程度满足条件并且第一对抗样本的标签与第一自然样本不同。

请参阅图4，每一次迭代处理可以包括以下步骤。

步骤S231：生成扰动数据，所述扰动数据用于使第一对抗样本接近第一自然样本。

在一些实施例中，可以生成服从预设数学分布的随机数数据；可以判断随机数数据是否能够使第一对抗样本接近第一自然样本；可以根据判断结果，确定扰动数据。

所述预设数学分布可以包括高斯分布、均匀分布等。通过判断随机数数据是否能够使第一对抗样本接近第一自然样本，可以判断随机数数据是否有助于减小第一对抗样本与第一自然样本之间的差异。若随机数数据能够使第一对抗样本接近第一自然样本，表示随机数数据有助于减小第一对抗样本与第一自然样本之间的差异，则可以将随机数数据确定为扰动数据。若随机数数据不能够使第一对抗样本接近第一自然样本，表示随机数数据无助于减小第一对抗样本与第一自然样本之间的差异，则可以将预设数据确定为扰动数据。其中，所述预设数据可以为经验数据，或者，还可以通过机器学习的方式获得。

可以计算第一对抗样本与第一自然样本之间的差值数据；可以判断差值数据与随机数数据的正负号是否相同。若差值数据与随机数数据的正负号相同，表示随机数数据有助于减小第一对抗样本与第一自然样本之间的差异，则可以将随机数数据确定为扰动数据。若差值数据与随机数数据的正负号不相同，表示随机数数据无助于减小第一对抗样本与第一自然样本之间的差异，则可以将预设数据确定为扰动数据。其中，所述正负号可以用于区分正数和负数。差值数据与随机数数据的正负号相同，可以包括以下至少之一：差值数据与随机数数据的正负号均为正号、差值数据与随机数数据的正负号均为负号。差值数据与随机数数据的正负号不同，可以包括以下至少之一：差值数据的正负号为正号并且随机数数据的正负号为负号、差值数据的正负号为负号并且随机数数据的正负号为正号。

当然，还可以采用其它方式判断随机数数据是否能够使第一对抗样本接近第一自然样本，本说明书实施例对此并不做具体限定。例如，可以计算第一对抗样本与第一自然样本之间的欧式距离数据、曼哈顿距离数据、余弦相似度数据等距离数据。若随机数数据小于所述距离数据，表示随机数数据有助于减小第一对抗样本与第一自然样本之间的差异。若随机数数据大于所述距离数据，表示随机数数据无助于减小第一对抗样本与第一自然样本之间的差异。

值得说明的是，所述随机数数据可以为一个数值，或者，还可以为包含多个数值的矩阵。所述预设数据可以为一个数值，或者，还可以为包含多个数值的矩阵。所述预设数据的数值可以为0、0.1、-0.02等。在所述预设数据为包含多个数值的矩阵时，所述预设数据中的各数值可以全部相同、部分相同或者全部不同。所述扰动数据可以为一个数值，或者，还可以为包含多个数值的矩阵。所述差值数据可以为一个数值，或者，还可以为包含多个数值的矩阵。

例如，所述差值数据可以为一个数值，所述随机数数据可以为一个数值，所述预设数据可以为一个数值。若差值数据与随机数数据的正负号相同，可以将随机数数据确定为扰动数据。若差值数据与随机数数据的正负号不同，可以将预设数据确定为扰动数据。

另举一例，所述差值数据可以为包含多个数值的矩阵（以下称为第一矩阵），所述随机数数据可以为包含多个数值的矩阵（以下称为第二矩阵），所述预设数据可以为一个数值，所述扰动数据可以为包含多个数值的矩阵（以下称为第三矩阵）。那么，判断差值数据与随机数数据的正负号是否相同，可以是判断第一矩阵与第二矩阵中相同位置处的数值的正负号是否相同。将随机数数据确定为扰动数据，可以是将第二矩阵中一个或多个位置处的数值确定为第三矩阵中相同位置处的数值。将预设数据确定为扰动数据，可以是将预设数据确定为第三矩阵中一个或多个位置处的数值。具体的，例如，针对第一矩阵中每个位置处的数值，若第一矩阵中该位置处的数值与第二矩阵中相同位置处的数值的正负号相同，可以将第二矩阵中该位置处的数值确定为第三矩阵中相同位置处的数值；若第一矩阵中该位置处的数值与第二矩阵中相同位置处的数值的正负号不同，可以将预设数据确定为第三矩阵中相同位置处的数值。其中，所述相同位置处的数值，可以是指具有相同二维坐标的数值。所述二维坐标可以是由矩阵的行数和列数所形成的坐标。

步骤S233：根据扰动数据和第一对抗样本，生成第二对抗样本。

在一些实施例中，可以将扰动数据叠加到第一对抗样本上，得到第二对抗样本。具体的，可以将扰动数据与第一对抗样本进行诸如相加、或者相乘等数学运算，得到第二对抗样本。

在一些实施例中，可以直接将扰动数据叠加到第一对抗样本上。或者，还可以根据迭代次数确定迭代步长；可以根据迭代步长，将扰动数据叠加到第一对抗样本上。所述迭代步长与迭代次数反相关。所述迭代次数可以为所述使第一对抗样本接近第一自然样本的执行次数。这样在迭代初期，迭代步长较大，有利于加快收敛速度。随着迭代次数的增加，迭代步长逐步减小，有利于提高计算精度，避免造成较优对抗样本的遗漏。

例如，可以根据公式

计算迭代步长。其中，

为迭代步长，i为迭代次数，

为预设的系数。

可以用于调整收敛速度。具体的，较大的

可以加快收敛速度，较小的

可以减小收敛速度。当然，本领域技术人员可以理解的是，以上公式仅为示例，在实际应用中还可以采用其它的公式计算迭代步长。例如，可以根据公式

确定迭代步长。

在实际应用中，可以先将迭代步长叠加到扰动数据上，然后再将叠加有迭代步长的扰动数据叠加到第一对抗样本上。或者，也可以先将扰动数据叠加到第一对抗样本上，然后再将迭代步长叠加到叠加有扰动数据的第一对抗样本上。本说明书实施例对此并不做具体限定。

步骤S235：根据第二对抗样本与第一自然样本之间标签的异同，确定新的第一对抗样本。

在一些实施例中，若第二对抗样本的标签与第一自然样本的标签不同，表示第二对抗样本满足要求（对抗样本需要使机器学习模型以高置信度给出与自然样本不同的输出），可以将第二对抗样本确定为新的第一对抗样本。这样，所述第二对抗样本可以作为新的第一对抗样本用于下一次迭代处理。若第二对抗样本的标签与第一自然样本的标签相同，表示第二对抗样本不满足要求，可以保持第一对抗样本为新的第一对抗样本。这样，所述第一对抗样本可以作为新的第一对抗样本用于下一次迭代处理。其中，第二对抗样本的标签，可以通过将第二对抗样本输入至机器学习模型得到。另外，第二对抗样本的标签与第一对抗样本的标签可以相同，或者，也可以不同。本说明书实施例对此并不做具体限定。

在一些实施例中，还可以计算新的第一对抗样本与第一自然样本之间的相似程度。若新的第一对抗样本与第一自然样本之间的相似程度不满足条件，则可以进行下一次的迭代处理。若新的第一对抗样本与第一自然样本之间的相似程度满足条件，则可以结束迭代过程。

步骤S25：将新的第一对抗样本确定为第一自然样本的对抗样本。

在一些实施例中，通过步骤S21，可以获得新的第一对抗样本；可以将新的第一对抗样本确定为第一自然样本的最终对抗样本。所述最终对抗样本可以用于对机器学习模型进行对抗训练。或者，所述最终对抗样本还可以用于评估机器学习模型的对抗训练效果。

在一些实施例中，可以将第一自然样本的标签确定为所述最终对抗样本的标签，以便利用所述最终对抗样本及其对应标签对机器学习模型进行对抗训练，或者，利用所述最终对抗样本及其对应的标签评估机器学习模型的对抗训练效果。

以下介绍本说明书实施例的一个场景示例。

在本场景示例中，所述第一自然样本可以为图像数据（以下称为第一图像数据）。所述第一对抗样本可以为图像数据（以下称为第二图像数据）。所述第一图像数据和所述第二图像数据的色彩空间可以为RGB色彩空间。所述第一图像数据可以包括分别与颜色通道R、颜色通道G、颜色通道B相对应的RA、GA、BA等三个矩阵。所述第二图像数据可以包括分别与颜色通道R、颜色通道G、颜色通道B相对应的RB、GB、BB等三个矩阵。

在本场景示例中，可以对第一对抗样本进行至少一次迭代处理，直至矩阵RB与矩阵RA之间的距离数据小于或等于阈值、矩阵GB与矩阵GA之间的距离数据小于或等于阈值、并且矩阵BB与矩阵BA之间的距离数据小于或等于阈值。每一次迭代处理可以包括以下步骤。

可以生成服从预设数学分布的第一随机数数据，所述第一随机数数据可以为包含多个数值的矩阵。可以计算矩阵RA与矩阵RB之间的第一差值数据，所述第一差值数据可以为包含多个数值的矩阵。那么，针对第一随机数数据中每个位置处的数值，若第一随机数数据中该位置处的数值与第一差值数据中相同位置处的数值的正负号相同，可以将第一随机数数据中该位置处的数值确定为第一扰动数据中相同位置处的数值，若第一随机数数据中该位置处的数值与第一差值数据中相同位置处的数值的正负号不同，可以将预设数据0确定为第一扰动数据中相同位置处的数值。相类似地，可以生成服从预设数学分布的第二随机数数据，所述第二随机数数据可以为包含多个数值的矩阵。可以计算矩阵GA与矩阵GB之间的第二差值数据，所述第二差值数据可以为包含多个数值的矩阵。那么，针对第二随机数数据中每个位置处的数值，若第二随机数数据中该位置处的数值与第二差值数据中相同位置处的数值的正负号相同，可以将第二随机数数据中该位置处的数值确定为第二扰动数据中相同位置处的数值，若第二随机数数据中该位置处的数值与第二差值数据中相同位置处的数值的正负号不同，可以将预设数据0确定为第二扰动数据中相同位置处的数值。相类似地，可以生成服从预设数学分布的第三随机数数据，所述第三随机数数据可以为包含多个数值的矩阵。可以计算矩阵BA与矩阵BB之间的第三差值数据，所述第三差值数据可以为包含多个数值的矩阵。那么，针对第三随机数数据中每个位置处的数值，若第三随机数数据中该位置处的数值与第三差值数据中相同位置处的数值的正负号相同，可以将第三随机数数据中该位置处的数值确定为第三扰动数据中相同位置处的数值，若第三随机数数据中该位置处的数值与第三差值数据中相同位置处的数值的正负号不同，可以将预设数据0确定为第三扰动数据中相同位置处的数值。

可以将第一扰动数据与矩阵RB相加，得到第二对抗样本中与颜色通道R相对应的矩阵；可以将第二扰动数据与矩阵GB相加，得到第二对抗样本中与颜色通道G相对应的矩阵；可以将第三扰动数据与矩阵BB相加，得到第二对抗样本中与颜色通道B相对应的矩阵。

若第二对抗样本的标签与第一自然样本不同，可以将第二对抗样本确定为新的第一对抗样本。若第二对抗样本的标签与第一自然样本相同，可以保持第一对抗样本为新的第一对抗样本。可以计算新的第一对抗样本与第一自然样本之间的相似程度。若新的第一对抗样本与第一自然样本之间的相似程度不满足条件，则可以进行下一次的迭代处理。若新的第一对抗样本与第一自然样本之间的相似程度满足条件，则可以结束迭代过程。

在本场景示例中，在迭代结束后，可以将当前新的第一对抗样本确定为第一自然样本的最终对抗样本。所述最终对抗样本可以为图像数据（以下称为第三图像数据）。

所述第三图像数据在在人类看起来与第一图像数据相类似。但是，所述第三图像数据能够使机器学习模型以高置信度给出与第一图像数据不同的输出。

本说明书实施例的的方法，可以获取第一对抗样本，所述第一对抗样本的标签与第一自然样本不同；使第一对抗样本接近第一自然样本，直至第一对抗样本与第一自然样本之间的相似程度满足条件并且第一对抗样本的标签与第一自然样本不同；可以将新的第一对抗样本确定为第一自然样本的对抗样本。由于第一对抗样本的标签与第一自然样本不同，使得，在使第一对抗样本接近第一自然样本的时候，无需跨越第一自然样本的决策边界，从而可以获得具有较强攻击性的对抗样本。

以下以图3a、图3b和图3c为例，详细描述本说明书实施例的技术效果。值得说明的是，图3a、图3b和图3c仅为了描述技术效果，并不构成对本说明书实施例的不当限定。

图3a为基于梯度的方法生成对抗样本的示意图。在图3a中，机器学习模型为二分类模型。所述机器学习模型的决策区域可以包括两个：猫的决策区域、狗的决策区域。第一自然样本的标签为猫，第一自然样本位于猫的决策区域。在图3a中，是以第一自然样本为初始对抗样本，通过多次迭代，得到最终对抗样本。由于所述最终对抗样本需要使机器学习模型以高置信度给出与第一自然样本不同的输出，因而所述最终对抗样本需要位于狗的决策区域。这样在所述多次迭代的过程中，便需要跨越决策边界。

图3b为本说明书实施例生成对抗样本的示意图。在图3b中，是以第二自然样本为初始对抗样本，通过多次迭代，从而得到最终对抗样本。所述第二自然样本的标签与第一自然样本不同，所述第二自然样本的标签为狗，所述第二自然样本位于狗的决策区域。由于所述最终对抗样本也位于狗的决策区域。使得，在所述多次迭代的过程中，无需跨越决策边界。

图3c为本说明书实施例生成对抗样本的示意图。在图3c中，迭代步长与迭代次数反相关。在迭代初期，迭代步长较大，有利于加快收敛速度。随着迭代次数的增加，迭代步长逐步减小，有利于提高计算精度，避免造成较优对抗样本的遗漏。

本说明书实施例提供一种模型评估方法。所述模型评估方法可以应用于计算机设备。所述计算机设备可以包括单个计算机设备，或者，还可以包括包含多个计算机设备的分布式集群。请参阅图5。所述模型评估方法可以包括以下步骤。

步骤S51：根据若干数量的自然样本，确定模型的第一性能指标。

步骤S53：根据若干数量的对抗样本，确定模型的第二性能指标。

步骤S55：将第一性能指标与第二性能指标进行融合，得到复合性能指标，所述复合性能指标用于评估模型的对抗训练效果。

在一些实施例中，所述若干数量具体可以为一个或多个。所述对抗样本可以根据图2所对应实施例的方法生成，或者，还可以根据其它方法生成。例如，所述对抗样本还可以根据基于梯度的方法生成。另外，步骤S53中的所述对抗样本可以为步骤S51中所述自然样本的对抗样本。当然，步骤S53中的所述对抗样本还可以为其它自然样本的对抗样本。

在一些实施例中，所述模型可以包括神经网络模型、逻辑回归模型等机器学习模型。所述模型可以为经过对抗训练后的机器学习模型。所述模型与图2所对应实施例中的模型可以相同或不同。所述第一性能指标和所述第二性能指标可以为相同类型的性能指标。例如，所述第一性能指标和所述第二性能指标可以均为精度（Accuracy）、召回率（Recall）、精确率（Precision）、或者F1分数（F1-Score）等。

所述自然样本可以对应有标签。可以将自然样本输入至模型；可以根据模型的输出和所述自然样本的标签，计算第一性能指标。所述对抗样本可以对应有标签。可以将对抗样本输入至模型；可以根据模型的输出和所述对抗样本的标签，计算第二性能指标。

在一些实施例中，可以根据第一性能指标和第二性能指标，计算算术平均数作为复合性能指标。例如，所述第一性能指标可以表示为P1，所述第二性能指标可以表示为P2，可以计算

作为复合性能指标。或者，算数平均数无法反映第一性能指标和第二性能指标之间的差异。例如，差异较大的一对P1和P2，与差异较小的一对P1和P2，算数平均数有可能是一致的。具体的，例如，在P1=0.5、并且P2=0.5的情况下，可以计算得到算术平均数0.5。在P1=0.1、并且P2=0.9的情况下，也可以计算得到算术平均数0.5。为此，还可以计算第一性能指标和第二性能指标的差值数据；可以根据差值数据和第一性能指标，计算几何平均数作为复合性能指标。具体的，例如，所述第一性能指标可以表示为P1，所述第二性能指标可以表示为P2。可以计算

作为复合性能指标。其中，P=P1-P2。这样所述复合性能指标可以反映第一性能指标和第二性能指标之间的差异。

本说明书实施例的模型评估方法，可以将第一性能指标与第二性能指标进行融合，得到复合性能指标。所述复合性能指标体现了对抗训练后的机器学习模型在自然样本和对抗样本上的性能，因而可以全面地表示机器学习模型的对抗训练效果。

本说明书实施例还提供一种用于生成第一自然样本的对抗样本的装置。所述用于生成第一自然样本的对抗样本的装置可以应用于计算机设备。所述计算机设备可以包括单个计算机设备，或者，还可以包括包含多个计算机设备的分布式集群。请参阅图6，所述用于生成第一自然样本的对抗样本的装置包括以下单元。

获取模块61，用于获取第一对抗样本，所述第一对抗样本的标签与第一自然样本不同；

接近模块63，用于使第一对抗样本接近第一自然样本，直至第一对抗样本与第一自然样本之间的相似程度满足条件并且第一对抗样本的标签与第一自然样本不同；

确定单元65，用于将新的第一对抗样本确定为第一自然样本的对抗样本。

本说明书实施例还提供一种模型评估装置。所述模型评估装置可以应用于计算机设备。所述计算机设备可以包括单个计算机设备，或者，还可以包括包含多个计算机设备的分布式集群。请参阅图7，所述模型评估装置包括以下单元。

第一确定模块71，用于根据若干数量的自然样本，确定模型的第一性能指标；

第二确定模块73，用于根据若干数量的对抗样本，确定模型的第二性能指标；

融合模块75，用于将第一性能指标与第二性能指标进行融合，得到复合性能指标，所述复合性能指标用于评估模型的对抗训练效果。

下面介绍本说明书计算机设备的一个实施例。图8是该实施例中计算机设备的硬件结构示意图。如图8所示，该计算机设备可以包括一个或多个（图中仅示出一个）处理器、存储器和传输模块。当然，本领域普通技术人员可以理解，图8所示的硬件结构仅为示意，其并不对上述计算机设备的硬件结构造成限定。在实际中该计算机设备还可以包括比图8所示更多或者更少的组件单元；或者，具有与图8所示不同的配置。

所述存储器可以包括高速随机存储器；或者，还可以包括非易失性存储器，例如一个或者多个磁性存储装置、闪存或者其他非易失性固态存储器。当然，所述存储器还可以包括远程设置的网络存储器。所述存储器可以用于存储应用软件的程序指令或模块，例如本说明书图2或图5所对应实施例的程序指令或模块。

所述处理器可以按任何适当的方式实现。例如，所述处理器可以采取例如微处理器或处理器以及存储可由该（微）处理器执行的计算机可读程序代码（例如软件或固件）的计算机可读介质、逻辑门、开关、专用集成电路（Application Specific IntegratedCircuit，ASIC）、可编程逻辑控制器和嵌入微控制器的形式等等。所述处理器可以读取并执行所述存储器中的程序指令或模块。

所述传输模块可以用于经由网络进行数据传输，例如经由诸如互联网、企业内部网、局域网、移动通信网等网络进行数据传输。

本说明书还提供计算机存储介质的一个实施例。所述计算机存储介质包括但不限于随机存取存储器（Random Access Memory, RAM）、只读存储器（Read-Only Memory,ROM）、缓存（Cache）、硬盘（Hard Disk Drive, HDD）、存储卡（Memory Card）等等。所述计算机存储介质存储有计算机程序指令。在所述计算机程序指令被执行时实现：本说明书图2或图5所对应实施例的程序指令或模块。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同或相似的部分互相参见即可，每个实施例重点说明的都是与其它实施例的不同之处。尤其，对于装置实施例、计算机设备实施例、以及计算机存储介质实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。另外，可以理解的是，本领域技术人员在阅读本说明书文件之后，可以无需创造性劳动想到将本说明书列举的部分或全部实施例进行任意组合，这些组合也在本说明书公开和保护的范围内。

在20世纪90年代，对于一个技术的改进可以很明显地区分是硬件上的改进（例如，对二极管、晶体管、开关等电路结构的改进）还是软件上的改进（对于方法流程的改进）。然而，随着技术的发展，当今的很多方法流程的改进已经可以视为硬件电路结构的直接改进。设计人员几乎都通过将改进的方法流程编程到硬件电路中来得到相应的硬件电路结构。因此，不能说一个方法流程的改进就不能用硬件实体模块来实现。例如，可编程逻辑器件（Programmable Logic Device, PLD）（例如现场可编程门阵列（Field Programmable GateArray，FPGA））就是这样一种集成电路，其逻辑功能由用户对器件编程来确定。由设计人员自行编程来把一个数字系统“集成”在一片PLD 上，而不需要请芯片制造厂商来设计和制作专用的集成电路芯片。而且，如今，取代手工地制作集成电路芯片，这种编程也多半改用“逻辑编译器（logic compiler）”软件来实现，它与程序开发撰写时所用的软件编译器相类似，而要编译之前的原始代码也得用特定的编程语言来撰写，此称之为硬件描述语言（Hardware Description Language，HDL），而HDL 也并非仅有一种，而是有许多种，如ABEL（Advanced Boolean Expression Language）、AHDL（Altera Hardware DescriptionLanguage）、Confluence、CUPL（Cornell University Programming Language）、HDCal、JHDL（Java Hardware Description Language）、Lava、Lola、MyHDL、PALASM、RHDL（RubyHardware Description Language）等，目前最普遍使用的是VHDL（Very-High-SpeedIntegrated Circuit Hardware Description Language）与Verilog。本领域技术人员也应该清楚，只需要将方法流程用上述几种硬件描述语言稍作逻辑编程并编程到集成电路中，就可以很容易得到实现该逻辑方法流程的硬件电路。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到本说明书可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本说明书的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备（可以是个人计算机，服务器，或者网络设备等）执行本说明书各个实施例或者实施例的某些部分所述的方法。

本说明书可用于众多通用或专用的计算机系统环境或配置中。例如：个人计算机、服务器计算机、手持设备或便携式设备、平板型设备、多处理器系统、基于微处理器的系统、置顶盒、可编程的消费电子设备、网络PC、小型计算机、大型计算机、包括以上任何系统或设备的分布式计算环境等等。

本说明书可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本说明书，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

Claims (15)

1.一种用于生成第一自然样本的对抗样本的方法，包括：

获取第一对抗样本，所述第一对抗样本的标签与第一自然样本不同；

使第一对抗样本接近第一自然样本，直至第一对抗样本与第一自然样本之间的相似程度满足条件并且第一对抗样本的标签与第一自然样本不同；

将新的第一对抗样本确定为第一自然样本的对抗样本。

2.根据权利要求1所述的方法，所述获取第一对抗样本，包括：

获取第二自然样本作为第一对抗样本，所述第二自然样本的标签与第一自然样本不同。

3.根据权利要求1所述的方法，所述条件包括：

第一对抗样本与第一自然样本之间的距离数据小于或等于阈值。

4.根据权利要求1所述的方法，所述使第一对抗样本接近第一自然样本，包括：

生成扰动数据，所述扰动数据用于使第一对抗样本接近第一自然样本；

根据扰动数据和第一对抗样本，生成第二对抗样本；

根据第二对抗样本与第一自然样本之间标签的异同，确定新的第一对抗样本。

5.根据权利要求4所述的方法，所述生成扰动数据，包括：

生成服从预设数学分布的随机数数据；

判断随机数数据是否能够使第一对抗样本接近第一自然样本；

根据判断结果，确定扰动数据。

6.根据权利要求5所述的方法，所述判断随机数数据是否能够使第一对抗样本接近第一自然样本，包括：

计算第一对抗样本与第一自然样本之间的差值数据；

判断差值数据与随机数数据的正负号是否相同。

7.根据权利要求5或6所述的方法，所述确定扰动数据，包括：

若是，将随机数数据确定为扰动数据；或者，若否，将预设数据确定为扰动数据。

8.根据权利要求4所述的方法，所述确定新的第一对抗样本，包括：

若第二对抗样本的标签与第一自然样本不同，将第二对抗样本确定为新的第一对抗样本；或者，若第二对抗样本的标签与第一自然样本相同，保持第一对抗样本为新的第一对抗样本。

9.根据权利要求4所述的方法，所述生成第二对抗样本，包括：

根据迭代次数确定迭代步长，所述迭代步长与所述迭代次数反相关，所述迭代次数为所述使第一对抗样本接近第一自然样本的执行次数；

根据迭代步长，将扰动数据叠加到第一对抗样本上，从而生成第二对抗样本。

10.一种模型评估方法，包括：

根据若干数量的自然样本，确定模型的第一性能指标；

根据若干数量的对抗样本，确定模型的第二性能指标；

将第一性能指标与第二性能指标进行融合，得到复合性能指标，所述复合性能指标用于评估模型的对抗训练效果。

11.根据权利要求10所述的方法，所述第一性能指标和所述第二性能指标包括精度；

所述对抗样本根据权利要求1-9中任一项所述的方法生成。

12.根据权利要求10所述的方法，所述将第一性能指标与第二性能指标进行融合，包括：

计算第一性能指标和第二性能指标的差值数据；

根据差值数据和第一性能指标，计算几何平均数作为复合性能指标。

13.一种用于生成第一自然样本的对抗样本的装置，包括：

获取模块，用于获取第一对抗样本，所述第一对抗样本的标签与第一自然样本不同；

接近模块，用于使第一对抗样本接近第一自然样本，直至第一对抗样本与第一自然样本之间的相似程度满足条件并且第一对抗样本的标签与第一自然样本不同；

确定单元，用于将新的第一对抗样本确定为第一自然样本的对抗样本。

14.一种模型评估装置，包括：

第一确定模块，用于根据若干数量的自然样本，确定模型的第一性能指标；

第二确定模块，用于根据若干数量的对抗样本，确定模型的第二性能指标；

融合模块，用于将第一性能指标与第二性能指标进行融合，得到复合性能指标，所述复合性能指标用于评估模型的对抗训练效果。

15.一种计算机设备，包括：

至少一个处理器；

存储有程序指令的存储器，其中，所述程序指令被配置为适于由所述至少一个处理器执行，所述程序指令包括用于执行根据权利要求1-12中任一项所述方法的指令。

Images