CN114444690B - 一种基于任务扩增的迁移攻击方法 - Google Patents
一种基于任务扩增的迁移攻击方法 Download PDFInfo
- Publication number
- CN114444690B CN114444690B CN202210100372.6A CN202210100372A CN114444690B CN 114444690 B CN114444690 B CN 114444690B CN 202210100372 A CN202210100372 A CN 202210100372A CN 114444690 B CN114444690 B CN 114444690B
- Authority
- CN
- China
- Prior art keywords
- gradient
- tasks
- randomly
- query
- image
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
- 238000000034 method Methods 0.000 title claims abstract description 45
- 230000005012 migration Effects 0.000 title claims abstract description 24
- 238000013508 migration Methods 0.000 title claims abstract description 24
- 230000003416 augmentation Effects 0.000 title claims abstract description 9
- 230000003321 amplification Effects 0.000 claims abstract description 11
- 238000003199 nucleic acid amplification method Methods 0.000 claims abstract description 11
- 230000008569 process Effects 0.000 claims abstract description 7
- 238000005457 optimization Methods 0.000 claims description 16
- 230000009466 transformation Effects 0.000 claims description 5
- 208000037170 Delayed Emergence from Anesthesia Diseases 0.000 claims description 4
- 238000005070 sampling Methods 0.000 claims description 3
- 238000004364 calculation method Methods 0.000 claims description 2
- 230000002708 enhancing effect Effects 0.000 claims description 2
- 238000011426 transformation method Methods 0.000 claims 2
- 238000002360 preparation method Methods 0.000 claims 1
- 238000000844 transformation Methods 0.000 claims 1
- 230000003313 weakening effect Effects 0.000 claims 1
- 238000013528 artificial neural network Methods 0.000 description 7
- 230000006870 function Effects 0.000 description 3
- 238000003909 pattern recognition Methods 0.000 description 3
- 235000000332 black box Nutrition 0.000 description 2
- 238000004422 calculation algorithm Methods 0.000 description 2
- 230000000694 effects Effects 0.000 description 2
- 230000010354 integration Effects 0.000 description 2
- 230000009021 linear effect Effects 0.000 description 2
- 230000001131 transforming effect Effects 0.000 description 2
- 230000003042 antagnostic effect Effects 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 238000013016 damping Methods 0.000 description 1
- 230000007123 defense Effects 0.000 description 1
- 238000002474 experimental method Methods 0.000 description 1
- 238000011478 gradient descent method Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 238000011160 research Methods 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
- 238000012418 validation experiment Methods 0.000 description 1
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
- G06N3/00—Computing arrangements based on biological models
- G06N3/02—Neural networks
- G06N3/08—Learning methods
- G06N3/084—Backpropagation, e.g. using gradient descent
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
- G06N3/00—Computing arrangements based on biological models
- G06N3/02—Neural networks
- G06N3/04—Architecture, e.g. interconnection topology
Landscapes
- Engineering & Computer Science (AREA)
- Theoretical Computer Science (AREA)
- Physics & Mathematics (AREA)
- Data Mining & Analysis (AREA)
- General Health & Medical Sciences (AREA)
- Biomedical Technology (AREA)
- Biophysics (AREA)
- Computational Linguistics (AREA)
- Life Sciences & Earth Sciences (AREA)
- Evolutionary Computation (AREA)
- Artificial Intelligence (AREA)
- Molecular Biology (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- General Physics & Mathematics (AREA)
- Mathematical Physics (AREA)
- Software Systems (AREA)
- Health & Medical Sciences (AREA)
- Image Analysis (AREA)
Abstract
一种基于任务扩增的迁移攻击方法。对于每张干净样本，迭代地生成对应的对抗样本，在每次迭代的过程中，从数据扩增和模型扩增两个方面构造攻击任务，在数据扩增方面，对图片进行随机调整大小和随机填充，在模型扩增方面，通过随机改变模型的部分结构来实现模型扩增，并且为了不影响模型的预测结果，只修改模型的反向传播过程；构造完攻击任务之后，将任务划分为支持集和查询集两个集合，然后根据元学习的核心观念，先在支持集上生成一个暂时的扰动，然后再在查询集上对这个暂时的扰动进行微调，最终的扰动更新由支持集和查询集上的梯度共同决定。能够让对抗扰动在所构造的任务上充分泛化，不会对单一的图像模式或单一的模型过拟合。
Description
技术领域
本发明涉及对抗攻击，具体是涉及一种基于任务扩增的迁移攻击方法。
背景技术
尽管深度神经网络广泛应用于各个领域，且表现出良好的性能，但仍有研究证明深度神经网络易受到对抗样本的影响，即在干净的图片上添加一个精心设计的人眼无法察觉的扰动就能够误导神经网络。显然，当深度神经网络应用于像自动驾驶、人脸识别这样对安全性能十分敏感的场景时，会有严重的安全隐患。为了提升深度神经网络的安全性能，研究对抗样本的生成成为至关重要的任务。
根据对模型的可知程度，对抗攻击可以分为白盒攻击和黑盒攻击，而黑盒攻击可以进一步地分为基于查询的攻击(query-based attack)和基于迁移的攻击(transfer-based attack)。基于查询的攻击通过迭代地查询受害者模型的输出结果来不断优化对抗扰动，这样虽能达到很高的攻击成功率但却会带来更多的资源消耗且易被发觉。与之不同的，迁移攻击在白盒代理模型上生成对抗样本，然后直接迁移到受害者模型上，这样更加高效且更不易被察觉。原则上，对抗样本的迁移性建立在代理模型和受害者模型十分类似的理想情况下。然而，实际上由于两者的结构并不相同，使得生成的对抗扰通常对代理模型过拟合，故而迁移成功率仍然不尽人意。
对于基于迁移的攻击方法，由于可以得到代理模型的所有信息，通常都基于梯度来生成对抗样本。快速梯度符号方法(Fast Gradient Sign Method)(参考文献Goodfellow,I.J.；Shlens,J.；and Szegedy,C.2015.Explaining and harnessingadversarial examples.In International Conference on LearningRepresentations.)是经典的白盒攻击方法，只用一步更新来生成对抗样本：
它的迭代版本为I-FGSM(参考文献Kurakin,A.；Goodfellow,I.；Bengio,S.；etal.2016.Adversarial examples in the physical world.In InternationalConference on Learning Representations.)，通过迭代的方式，将每次的梯度符号乘上一个小的步长：
其中，能够保证对抗样本xadv落在x的∈球内。I-FGSM是一种更加有效的白盒攻击方法，但是却容易过拟合代理模型。基于此，已经有很多工作意在生成更加泛化的对抗样本，主要可以分为三大类别：梯度优化、变换输入以及修改模型。
梯度优化的方法通常使用常见的优化算法来更新扰动，如MI(参考文献Dong,Y.；Liao,F.；Pang,T.；Su,H.；Zhu,J.；Hu,X.；and Li,J.2018.Boosting adversarial attackswith momentum.In IEEE Conference on Computer Vision and Pattern Recognition.)引入动量进行优化，将每次迭代使用的梯度与动量结合，让以往的梯度方向和当前的梯度方向共同指导迭代过程中的更新方向；除了使用动量进行优化，还有使用Nesterov进行优化的NI(参考文献Lin,J.；Song,C.；He,K.；Wang,L.；and Hopcroft,J.E.2020.Nesterovaccelerated gradient and scale invariance for adversarial attacks.InInternational Conference on Learning Representations.)。这类方法虽有效，但却受限于优化步数，因此提升空间有限。
变换输入的方法通常对输入的图片进行一些可微的变化，来增强泛化性。DI(参考文献Xie,C.；Zhang,Z.；Zhou,Y.；Bai,S.；Wang,J.；Ren,Z.；and Yuille,A.L.2019.Improving transferability of adversarial examples with inputdiversity.In IEEE Conference on Computer Vision and Pattern Recognition.)每次迭代时使用简单的随机变换调整大小和随机填充的变换方式来扩增数据；TI(参考文献Dong,Y.；Pang,T.；Su,H.；and Zhu,J.2019.Evading defenses to transferableadversarial examples by translationinvariant attacks.In IEEE Conference onComputer Vision and Pattern Recognition.)根据平移不变性的原理把计算一系列图像可微变换的梯度简化为一个应用在梯度上的预定义卷积核；SI(参考文献Lin,J.；Song,C.；He,K.；Wang,L.；and Hopcroft,J.E.2020.Nesterov accelerated gradient and scaleinvariance for adversarial attacks.In International Conference on LearningRepresentations.)根据缩放不变形的原理，对每次迭代的图片进行多次缩放。由于需要求解图像的梯度，所以这类方法只能使用可微的变换，而可微的变换往往都比较简单，虽可以提升泛化性，但仍然会因为变换不充分而导致过拟合。
为了避免过拟合于代理模型，一些方法尝试调整模型来提高对抗样本的泛化性。最直接的方法便是模型集成，即直接用多个模型生成对抗样本，更进一步地可利用元学习的方法来提升性能。但是现实中很难得到大量的代理模型，并且模型集成的方法需要耗费大量的计算资源。故而更多的方法专注于在单一的模型上生成对抗样本。幽灵网络(GhostNetworks)(参考文献Li,Y.；Bai,S.；Zhou,Y.；Xie,C.；Zhang,Z.；and Yuille,A.2020.Learning transferable adversarial examples via ghost networks.In AAAIConference on Artificial Intelligence.)对网络进行随机跳连或随机dropout来生成大量模型。由于深度神经网络在浅层特征上有着较强的共性，ILA(Intermediate LevelAttack)(参考文献Huang,Q.；Katsman,I.；He,H.；Gu,Z.；Belongie,S.；and Lim,S.-N.2019.Enhancing adversarial example transferability with an intermediatelevel attack.In IEEE International Conference on Computer Vision.)去掉了代理模型的后面几层网络，仅使用前面几层的网络来生成对抗样本，但这类方法太过依赖于中间层的选取，对于深层代理模型，在挑选中间层上需要耗费大量的精力。还有些方法仅改变模型的反向过程，这样并不会影响模型的预测结果，但却可以决定对抗样本的生成。SGM(Skip Connections Matter)(参考文献Wu,D.；Wang,Y.；Xia,S.-T.；Bailey,J.；and Ma,X.2020.Skip connections matter:On the transferability of adversarial examplesgenerated with resnets.In International Conference on LearningRepresentations.)引入一个衰减因子来弱化残差模块的梯度，LinBP(LinearBackpropagation)(参考文献Guo,Y.；Li,Q.；and Chen,H.2020.Backpropagatinglinearly improves transferability of adversarial examples.In Advances inNeural Information Processing Systems.)在反向过程中则直接跳过某些非线性激活层。
现有方法在白盒场景下能够达到接近100％的攻击成功率，但迁移到受害者模型上时，攻击成功率大大降低，其原因在于生成的对抗样本对白盒的代理模型过拟合。为了解决这一问题，需要生成的对抗样本具有较强的泛化能力，不仅不能过拟合于单一的图像形式，也不能过拟合于单一的模型结构。
发明内容
本发明的目的在于针对现有技术存在的上述迁移攻击的低成功率等问题，提供能够得到高迁移成功率的对抗样本,能构造出具有较强泛化性的不同模型,性能良好的一种基于任务扩增的迁移攻击方法。将攻击一组特定数据和模型视为一个任务，通过数据扩增和模型扩增的方式构造许多不同的任务，并期望生成的对抗样本在不同任务上都能够起作用，采用元学习的核心思想在所构造的任务上更新对抗扰动。
本发明包括以下步骤：
1)对于图像库中的图像，随机选取一张图像作为输入；
2)在模型反向时为每一层引入一个衰减系数，通过引入不同的衰减系数来实现模型扩增，以最小化当前图像的梯度为优化目标，多次更新得到一组衰减系数的最优解；
3)以一定概率对衰减因子最优解进行随机加减，得到多组衰减因子；
4)以一定概率使用随机调整大小和随机填充的变换方式，生成多张图像；
5)将一组衰减系数和一张图像视为一项任务，组合后得到多个任务并将所有任务随机划分到支持集和查询集两个集合中；
6)从支持集中选取一部分任务，用这些任务来生成一个暂时扰动，并记录支持梯度；
7)将步骤6)中生成的暂时扰动加到查询集中，并记录查询梯度；
8)重复步骤6)和7)，得到平均支持梯度和平均查询梯度，并重复步骤1)。
在步骤1)中，当前迭代数为0时，图像为从图像库中选取的原始图像，在此之后所使用的图像为上一次迭代时的图像与上一次迭代时得到的对抗扰动的叠加。
在步骤2)中，由于本发明意在通过修改一个单一的代理模型，来得到多个不同的模型，为了不影响模型的预测结果从而又引起反向时梯度的变化，故而仅修改模型的反向传播过程；根据“深度神经网络的对抗脆弱性来源于网络的线性性质”的假说，在模型反向传播时为每一层引入一个衰减因子，弱化残差模块的梯度，增强修改后模型的线性程度；记一组衰减因子为γ＝[γ1，γ2，...，γL]T∈[0，1]L，其中γi表示第i层残差层的衰减因子；据此，可以将残差模块的反向时的梯度G重写为：
zi+1＝zi+γi·fi+1(zi)+C，
其中，zi表示第(i+1)层残差层的输入，fi表示第i个残差模块，C是一个常量，其值为(1-γi)·fi+1(zi)；再结合“平缓的损失情况有助于模型的鲁棒性”的观点，衰减因子的优化目标为最小化梯度的l-2范数；显然，使用多组不同的衰减因子，就可以得到多个不同的模型，且使用优化过后的衰减因子能够得到泛化性更强的模型；考虑到优化过程的计算开销，本发明采用先优化后随机的方式，先优化目标函数，得到一组最优解衰减因子，以该组衰减因子为起点，再此基础上随机加减后得到多组衰减因子；为了得到多组更加泛化的模型，本发明使用MGS来优化衰减因子，相比于单纯的随机梯度下降的方法，MGS能够引入更多的不确定性，有助于扩增的模型的泛化能力；使用MGS优化衰减因子的步骤如下：
a)从高斯分布中随机采样n组衰减因子更新值，即
b)把随机更新值加到当前衰减因子上，将目标函数的增长程度作为该组更新值的权重：
c)对所有采样的更新值加权求和，得到更新量：
d)重复步骤a)多次后得到一组优化后的衰减因子γ*。
在步骤3)中，根据步骤2)所得到的衰减因子γ*，以一定的概率在其基础上进行随机加减，得到多组衰减因子，可视为多个不同模型。
在步骤4)中，以一定的概率对图像进行变换，变换形式为随机调整大小和随机填充；对于一张大小为W×W的图像，先将图像大小随机调整为W′×W′，W′∈[W，W/0.875]，然后在调整后图像的边缘进行0值填充，填充后使得图像宽高都为W/0.875；多次变换便可得到多张不同的图像。
在步骤5)中，将步骤3)和步骤4)扩增出的衰减因子和图像进行分组，以一组衰减因子一张图像作为一个任务，将其组合可得到许多任务；为了让对抗样本能够更加适应所有构造出的任务，本发明利用元学习的主要思想来迭代地优化扰动；故将构造出的任务划分为支持集和查询集，为元学习阶段的优化做准备；支持集中的任务数量需大于查询集中的任务数量。
在步骤6)中，先从查询集中随机抽取一个子集Si，所抽取的子集Si中的任务数与查询集相同，计算这些任务的平均梯度，即：
其中，gspt为支持集的支持梯度；之后，根据支持梯度，利用快速梯度符号的方法，可以得到一个暂时的扰动δ′：
δ'＝∈·sign(gspt)
其中，∈为攻击时的最大扰动。
在步骤7)中，为了提升步骤6)中暂时扰动的泛化性，本发明利用查询集对其进行微调，这样可以让其适应更多任务；与步骤6)的做法类似，把暂时扰动加到查询集中所有任务的图像中后，再计算查询集中所有任务的平均梯度，即查询集中的查询梯度：
在步骤8)中，不断重复步骤6)和步骤7)，直到支持集和查询集达到最大利用程度，可以得到支持集中所有任务的平均支持梯度和通过查询集微调得到的平均查询梯度迭代时最终的更新扰动仅由平均支持梯度和平均查询梯度决定：
本发明的优点如下：
通过本发明所提出的方案，能够得到高迁移成功率的对抗样本；本发明基于元学习的思想，从数据增强和模型扩增两方面来泛化对抗样本，使得对抗样本在迁移到与代理模型不同的黑盒模型上时仍能够保证良好的攻击性能；同时，本发明仅以单一的代理模型为基础，仅修改网络的反向过程，能够构造出具有较强泛化性的不同模型，这种策略可以被扩展为一种模型扩增的方法；此外，本发明的良好性能不仅体现在实验所用数据集上，在攻击现实生活中的搜索引擎时也达到了比现有方法更加成功的效果。
附图说明
图1为本发明实施例的整体框架。
具体实施方式
以下实施例将对本发明作详细的说明。
图1为本发明实施例的整体框架，本发明实施例包括以下步骤：
1)对于图像库中的图像，随机选取一张图像作为输入，当前迭代数为0时，图像为从图像库中选取的原始图像，在此之后所使用的图像为上一次迭代时的图像与上一次迭代时得到的对抗扰动的叠加；
2)在模型反向时为每一层引入一个衰减系数，通过引入不同的衰减系数来实现模型扩增，以最小化当前图像的梯度为优化目标，多次更新得到一组衰减系数的最优解。更新步骤如下：
a)从高斯分布中随机采样n组衰减因子更新值，即
b)把随机更新值加到当前衰减因子上，将目标函数的增长程度作为该组更新值的权重：
c)对所有采样的更新值加权求和，得到更新量：
d)重复步骤a)多次后得到一组优化后的衰减因子最优解γ*；
3)以一定概率对衰减因子最优解γ*进行随机加减，得到多个模型；
4)以一定概率使用随机调整大小和随机填充的变换方式，生成多张图像；
5)将一组衰减因子和一张图像视为一项任务，组合后得到多个任务并将所有任务随机划分到支持集和查询集两个集合中；
6)从查询集中随机抽取一个子集Si，所抽取的子集Si中的任务数与查询集相同，计算这些任务的平均梯度再根据支持梯度得到暂时扰动δ'＝∈·sign(gspt)；
7)把暂时扰动加到查询集中所有任务的图像中后，计算查询集中所有任务的平均梯度
8)重复步骤6)和步骤7)，直到支持集和查询集达到最大利用程度，得到支持集中所有任务的平均支持梯度和通过查询集微调得到的平均查询梯度/>并用它们来更新本次迭代的扰动/>并重复步骤1)。
本发明在经典的图像分类数据集NIPS 2017比赛数据集上做了对应的相关的验证性实验如表1所示。
表1
表1展示NIPS 2017比赛数据集中分别以ResNet-50和DenseNet-121为代理模型来生成对抗样本后再迁移到另外12个受害者模型上的迁移成功率，以及在迁移到黑盒模型上的平均成功率，对比了现有的大部分经典的基于迁移的攻击算法，可以看出本发明所提出的方案在所有黑盒受害者模型上均达到最好的效果。
Claims (8)
1.一种基于任务扩增的迁移攻击方法，其特征在于包括以下步骤：
1)对于图像库中的图像，随机选取一张图像作为输入；
2)在模型反向时为每一层引入一个衰减系数，通过引入不同的衰减系数来实现模型扩增，以最小化当前图像的梯度为优化目标，多次更新得到一组衰减系数的最优解；
所述得到一组衰减系数的最优解的具体方法为：在模型反向传播时为每一层引入一个衰减因子，弱化残差模块的梯度，增强修改后模型的线性程度；
记一组衰减因子为γ＝[γ1，γ2，...，γL]T∈[0，1]L，其中，γi表示第i层残差层的衰减因子；据此，将残差模块的反向时的梯度G重写为：
zi+1＝zi+γi·fi+1(zi)+C，
其中，zi表示第(i+1)层残差层的输入，fi表示第i个残差模块，C是一个常量，其值为(1-γi)·fi+1(zi)；衰减因子的优化目标为最小化梯度的l-2范数；使用多组不同的衰减因子，得到多个不同的模型，且使用优化过后的衰减因子能够得到泛化性更强的模型；考虑到优化过程的计算开销，采用先优化后随机的方式，先优化目标函数，得到一组最优解衰减因子，以该组衰减因子为起点，随机加减后得到多组衰减因子；
为了得到多组更加泛化的模型，使用MGS来优化衰减因子，具体步骤如下：
(1)从高斯分布中随机采样n组衰减因子更新值，即
(2)把随机更新值加到当前衰减因子上，将目标函数的增长程度作为该组更新值的权重：
(3)对所有采样的更新值加权求和，得到更新量：
(4)重复步骤(1)多次后得到一组优化后的衰减因子γ*；
3)以一定概率对衰减因子最优解进行随机加减，得到多组衰减因子；
所述以一定概率对衰减因子最优解进行随机加减，得到多组衰减因子，是根据步骤2)所得到的衰减因子γ*，以一定的概率在其基础上进行随机加减，得到多组衰减因子，视为多个不同模型；
4)以一定概率使用随机调整大小和随机填充的变换方式，生成多张图像；
5)将一组衰减系数和一张图像视为一项任务，组合后得到多个任务并将所有任务随机划分到支持集和查询集两个集合中；
6)从支持集中选取一部分任务，用这些任务来生成一个暂时扰动，并记录支持梯度；
7)将步骤6)中生成的暂时扰动加到查询集中，并记录查询梯度；
8)重复步骤6)和7)，得到平均支持梯度和平均查询梯度，并重复步骤1)。
2.如权利要求1所述一种基于任务扩增的迁移攻击方法，其特征在于在步骤1)中，所述随机选取一张图像作为输入的具体方法为：当前迭代数为0时，图像为从图像库中选取的原始图像，在此之后所使用的图像为上一次迭代时的图像与上一次迭代时得到的对抗扰动的叠加。
3.如权利要求1所述一种基于任务扩增的迁移攻击方法，其特征在于在步骤4)中，所述以一定概率使用随机调整大小和随机填充的变换方式，生成多张图像，是以一定的概率对图像进行变换，变换形式为随机调整大小和随机填充；对于一张大小为W×W的图像，先将图像大小随机调整为W′×W′，W′∈[W，W/0.875]，然后在调整后图像的边缘进行0值填充，填充后使得图像宽高都为W/0.875，多次变换便可得到多张不同的图像。
4.如权利要求1所述一种基于任务扩增的迁移攻击方法，其特征在于在步骤5)中，所述将一组衰减系数和一张图像视为一项任务，组合后得到多个任务并将所有任务随机划分到支持集和查询集两个集合中的具体步骤为：将步骤3)和步骤4)扩增出的衰减因子和图像进行分组，以一组衰减因子一张图像作为一个任务，将其组合可得到许多任务；为了让对抗样本能够更加适应所有构造出的任务，利用元学习的主要思想来迭代地优化扰动；将构造出的任务划分为支持集和查询集，为元学习阶段的优化做准备。
5.如权利要求4所述一种基于任务扩增的迁移攻击方法，其特征在于所述支持集中的任务数量需大于查询集中的任务数量。
6.如权利要求1所述一种基于任务扩增的迁移攻击方法，其特征在于在步骤6)中，所述从支持集中选取一部分任务，用这些任务来生成一个暂时扰动，并记录支持梯度的具体步骤为：先从查询集中随机抽取一个子集Si，所抽取的子集Si中的任务数与查询集相同，计算这些任务的平均梯度，即：
其中，gspt为支持集的支持梯度；之后，根据支持梯度，利用快速梯度符号的方法，得到一个暂时的扰动δ′：
δ′＝∈·sign(gspt)
其中，∈为攻击时的最大扰动。
7.如权利要求1所述一种基于任务扩增的迁移攻击方法，其特征在于在步骤7)中，所述将步骤6)中生成的暂时扰动加到查询集中，并记录查询梯度的具体步骤为：首先为了提升步骤6)中暂时扰动的泛化性，利用查询集对其进行微调，使其适应更多任务；与步骤6)的做法类似，将暂时扰动加到查询集中所有任务的图像中后，再计算查询集中所有任务的平均梯度，即查询集中的查询梯度：
8.如权利要求1所述一种基于任务扩增的迁移攻击方法，其特征在于在步骤8)中，所述得到平均支持梯度和平均查询梯度的具体步骤为：不断重复步骤6)和步骤7)，直到支持集和查询集达到最大利用程度，得到支持集中所有任务的平均支持梯度和通过查询集微调得到的平均查询梯度/>迭代时最终的更新扰动仅由平均支持梯度和平均查询梯度决定：
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202210100372.6A CN114444690B (zh) | 2022-01-27 | 2022-01-27 | 一种基于任务扩增的迁移攻击方法 |
| PCT/CN2022/089783 WO2023142282A1 (zh) | 2022-01-27 | 2022-04-28 | 一种基于任务扩增的迁移攻击方法及装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202210100372.6A CN114444690B (zh) | 2022-01-27 | 2022-01-27 | 一种基于任务扩增的迁移攻击方法 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN114444690A CN114444690A (zh) | 2022-05-06 |
| CN114444690B true CN114444690B (zh) | 2024-06-07 |
Family
ID=81369347
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202210100372.6A Active CN114444690B (zh) | 2022-01-27 | 2022-01-27 | 一种基于任务扩增的迁移攻击方法 |
Country Status (2)
| Country | Link |
|---|---|
| CN (1) | CN114444690B (zh) |
| WO (1) | WO2023142282A1 (zh) |
Families Citing this family (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN118038343B (zh) * | 2024-04-12 | 2024-06-11 | 北京智芯微电子科技有限公司 | 智能电网对抗图像生成方法、装置、存储介质及终端设备 |
| CN118506125A (zh) * | 2024-05-16 | 2024-08-16 | 大湾区大学(筹) | 一种对抗样本生成方法和装置 |
Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108256473A (zh) * | 2018-01-17 | 2018-07-06 | 北京绽放时代科技有限公司 | 用于数据扩增的方法、装置和系统、计算机可读存储介质 |
| CN113487015A (zh) * | 2021-07-07 | 2021-10-08 | 中国人民解放军战略支援部队信息工程大学 | 基于图像亮度随机变换的对抗样本生成方法及系统 |
Family Cites Families (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US10956719B2 (en) * | 2018-11-30 | 2021-03-23 | Qualcomm Incorporated | Depth image based face anti-spoofing |
| CN110276377B (zh) * | 2019-05-17 | 2021-04-06 | 杭州电子科技大学 | 一种基于贝叶斯优化的对抗样本生成方法 |
| US11455515B2 (en) * | 2019-09-24 | 2022-09-27 | Robert Bosch Gmbh | Efficient black box adversarial attacks exploiting input data structure |
| CN112199543B (zh) * | 2020-10-14 | 2022-10-28 | 哈尔滨工程大学 | 一种基于图像检索模型的对抗样本生成方法 |
| CN113343771B (zh) * | 2021-05-12 | 2022-04-15 | 武汉大学 | 一种基于自适应元学习的人脸防伪方法 |
-
2022
- 2022-01-27 CN CN202210100372.6A patent/CN114444690B/zh active Active
- 2022-04-28 WO PCT/CN2022/089783 patent/WO2023142282A1/zh unknown
Patent Citations (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN108256473A (zh) * | 2018-01-17 | 2018-07-06 | 北京绽放时代科技有限公司 | 用于数据扩增的方法、装置和系统、计算机可读存储介质 |
| CN113487015A (zh) * | 2021-07-07 | 2021-10-08 | 中国人民解放军战略支援部队信息工程大学 | 基于图像亮度随机变换的对抗样本生成方法及系统 |
Non-Patent Citations (1)
| Title |
|---|
| 面向低维工控网数据集的对抗样本攻击分析;周文;张世琨;丁勇;陈曦;;计算机研究与发展;20200413(第04期);第70-79页 * |
Also Published As
| Publication number | Publication date |
|---|---|
| CN114444690A (zh) | 2022-05-06 |
| WO2023142282A1 (zh) | 2023-08-03 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| Zeng et al. | Large-scale JPEG image steganalysis using hybrid deep-learning framework | |
| Cui et al. | Fast and practical neural architecture search | |
| CN114444690B (zh) | 一种基于任务扩增的迁移攻击方法 | |
| CN111507384B (zh) | 一种黑盒深度模型对抗样本生成方法 | |
| Jiang et al. | Training binary neural network without batch normalization for image super-resolution | |
| CN111047054A (zh) | 一种基于两阶段对抗知识迁移的对抗样例防御方法 | |
| TWI765264B (zh) | 處理影像超解析度的裝置及方法 | |
| CN114240951B (zh) | 一种基于查询的医学图像分割神经网络的黑盒攻击方法 | |
| CN112580728B (zh) | 一种基于强化学习的动态链路预测模型鲁棒性增强方法 | |
| CN112085050A (zh) | 基于pid控制器的对抗性攻击与防御方法及系统 | |
| JP6935868B2 (ja) | 画像認識装置、画像認識方法、およびプログラム | |
| CN116188874A (zh) | 一种图像对抗样本生成方法及系统 | |
| CN112734643A (zh) | 一种基于级联网络的轻量图像超分辨率重建方法 | |
| CN113487015A (zh) | 基于图像亮度随机变换的对抗样本生成方法及系统 | |
| Huang et al. | Steganography embedding cost learning with generative multi-adversarial network | |
| CN118351371A (zh) | 一种基于对抗训练和元学习的小样本图像分类方法及系统 | |
| Kumar et al. | Image Deconvolution using Deep Learning-based Adam Optimizer | |
| CN117765296A (zh) | 一种基于Swin Transformer生成对抗网络的图像生成方法 | |
| Luo et al. | Adjustable memory-efficient image super-resolution via individual kernel sparsity | |
| CN116824232A (zh) | 一种数据填充式的深度神经网络图像分类模型对抗训练方法 | |
| CN112529047A (zh) | 一种基于梯度屏蔽的对抗样本生成方法 | |
| CN109523478B (zh) | 图像去网格方法、存储介质 | |
| CN115952493A (zh) | 一种黑盒模型的逆向攻击方法、攻击装置以及存储介质 | |
| Kung | XNAS: a regressive/progressive NAS for deep learning | |
| Malini et al. | Nadam Bound: A Novel Approach Of Subsuming Nesterov Momentum And Dynamic Bounding Into Adaptive Moment Estimation To Enhance The Detection Accuracy Of Deep Learning In Real World Steganalysis |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant |