CN114937180A - 对抗样本的生成方法、装置及电子设备 - Google Patents

对抗样本的生成方法、装置及电子设备 Download PDF

Info

Publication number
CN114937180A
CN114937180A CN202210325022.XA CN202210325022A CN114937180A CN 114937180 A CN114937180 A CN 114937180A CN 202210325022 A CN202210325022 A CN 202210325022A CN 114937180 A CN114937180 A CN 114937180A
Authority
CN
China
Prior art keywords
initial
sample
feature map
original image
category
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210325022.XA
Other languages
English (en)
Inventor
田伟娟
王洋
吕中厚
黄英仁
高梦晗
张华正
干逸显
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Baidu Netcom Science and Technology Co Ltd
Original Assignee
Beijing Baidu Netcom Science and Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Baidu Netcom Science and Technology Co Ltd filed Critical Beijing Baidu Netcom Science and Technology Co Ltd
Priority to CN202210325022.XA priority Critical patent/CN114937180A/zh
Publication of CN114937180A publication Critical patent/CN114937180A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/21—Design or setup of recognition systems or techniques; Extraction of features in feature space; Blind source separation
    • G06F18/214—Generating training patterns; Bootstrap methods, e.g. bagging or boosting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/24—Classification techniques
    • G06F18/241—Classification techniques relating to the classification model, e.g. parametric or non-parametric approaches
    • G06F18/2415—Classification techniques relating to the classification model, e.g. parametric or non-parametric approaches based on parametric or probabilistic models, e.g. based on likelihood ratio or false acceptance rate versus a false rejection rate
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/04—Architecture, e.g. interconnection topology
    • G06N3/047—Probabilistic or stochastic networks
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06N—COMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00—Computing arrangements based on biological models
    • G06N3/02—Neural networks
    • G06N3/08—Learning methods

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Data Mining & Analysis (AREA)
  • General Physics & Mathematics (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Artificial Intelligence (AREA)
  • General Engineering & Computer Science (AREA)
  • Evolutionary Computation (AREA)
  • Biomedical Technology (AREA)
  • Mathematical Physics (AREA)
  • General Health & Medical Sciences (AREA)
  • Molecular Biology (AREA)
  • Computing Systems (AREA)
  • Biophysics (AREA)
  • Health & Medical Sciences (AREA)
  • Computational Linguistics (AREA)
  • Software Systems (AREA)
  • Probability & Statistics with Applications (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Evolutionary Biology (AREA)
  • Image Analysis (AREA)
  • Image Processing (AREA)

Abstract

本公开提供了一种对抗样本的生成方法、装置及电子设备，涉及人工智能技术领域，尤其涉及计算机视觉技术。该方法包括：对第一原始图像添加初始扰动，得到初始对抗样本；将第一原始图像输入目标检测模型中，得到第一特征图以及置信度最高的第一类别；将初始对抗样本输入目标检测模型中，得到第二特征图以及置信度最高的第二类别，若第二类别为真实类别，则根据第一特征图和第二特征图更新初始对抗样本，并采用更新后的初始对抗样本迭代执行本步骤，直至第二类别为除真实类别之外的其他类别，则停止迭代并将此时的初始对抗样本确定为与第一原始图像对应的第一对抗样本。该方法增大了对抗样本的生成空间。

Description

对抗样本的生成方法、装置及电子设备
技术领域
本公开涉及人工智能技术领域中的计算机视觉技术，尤其涉及一种对抗样本的生成方法、装置及电子设备。
背景技术
目标检测(Object Detection)的任务是找出图像中感兴趣的目标(物体)，确定它们的类别和位置，由于各类物体有不同的外观、形状和姿态，加上成像时光照、遮挡等因素的干扰，目标检测一直是计算机视觉领域最具有挑战性的问题。
为了确保目标检测器在人工干扰下的鲁棒性，通常是通过在图像中人为添加扰动以形成对抗样本，利用对抗样本对目标检测器实施攻击，并根据攻击结果进一步增强目标检测器的鲁棒性。
现有的对抗样本生成算法普遍采用交叉熵损失刻画对抗样本的输出和图像的真实标签之间的差距，这种方式限制了对抗样本的生成空间。
发明内容
本公开提供了一种增大了对抗样本的生成空间的对抗样本的生成方法、装置及电子设备。
根据本公开的第一方面，提供了一种对抗样本的生成方法，包括：
对第一原始图像添加初始扰动，得到初始对抗样本；
将所述第一原始图像输入目标检测模型中，得到与目标检测的所有类别的置信度相关的第一特征图以及置信度最高的第一类别，所述第一类别为目标的真实类别；
将所述初始对抗样本输入所述目标检测模型中，得到与目标检测的所有类别的置信度相关的第二特征图以及置信度最高的第二类别，若所述第二类别为所述真实类别，则根据所述第一特征图和所述第二特征图更新所述初始对抗样本，并采用更新后的所述初始对抗样本迭代执行本步骤，直至所述第二类别为除所述真实类别之外的其他类别，则停止迭代并将此时的初始对抗样本确定为与所述第一原始图像对应的第一对抗样本。
根据本公开的第二方面，提供了一种对抗样本的生成装置，包括：
扰动模块，用于对第一原始图像添加初始扰动，得到初始对抗样本；
第一输入模块，用于将所述第一原始图像输入目标检测模型中，得到与目标检测的所有类别的置信度相关的第一特征图以及置信度最高的第一类别，所述第一类别为目标的真实类别；
第二输入模块，用于将所述初始对抗样本输入所述目标检测模型中，得到与目标检测的所有类别的置信度相关的第二特征图以及置信度最高的第二类别，若所述第二类别为所述真实类别，则根据所述第一特征图和所述第二特征图更新所述初始对抗样本，并采用更新后的所述初始对抗样本迭代执行本步骤，直至所述第二类别为除所述真实类别之外的其他类别，则停止迭代并将此时的初始对抗样本确定为与所述第一原始图像对应的第一对抗样本。
根据本公开的第三方面，提供了一种电子设备，包括：
至少一个处理器；以及
与所述至少一个处理器通信连接的存储器；其中，
所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行上述第一方面所述的方法。
根据本公开的第四方面，提供了一种存储有计算机指令的非瞬时计算机可读存储介质，所述计算机指令用于使所述计算机执行上述第一方面所述的方法。
根据本公开的第五方面，提供了一种计算机程序产品，所述程序产品包括：计算机程序，所述计算机程序存储在可读存储介质中，电子设备的至少一个处理器可以从所述可读存储介质读取所述计算机程序，所述至少一个处理器执行所述计算机程序使得电子设备执行第一方面所述的方法。
根据本公开的技术方案，增大了对抗样本的生成空间。
应当理解，本部分所描述的内容并非旨在标识本公开的实施例的关键或重要特征，也不用于限制本公开的范围。本公开的其它特征将通过以下的说明书而变得容易理解。
附图说明
附图用于更好地理解本方案，不构成对本公开的限定。其中：
图1是根据本公开实施例提供的一种对抗样本的生成方法的流程示意图；
图2是根据本公开实施例提供的一种对抗样本的生成装置的结构示意图；
图3是用来实现本公开实施例的对抗样本的生成方法的电子设备的示意性框图。
具体实施方式
以下结合附图对本公开的示范性实施例做出说明，其中包括本公开实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本公开的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。
本公开实施例中，将投影梯度下降(Project Gradient Descent，PGD)攻击方法应用于对目标检测算法的攻击中，采用迭代的方式构造扰动，利用原始图像和扰动后的图像在所有类别下的特征图来计算损失，从而增大对抗样本的生成空间，使得对于目标检测模型(目标检测器)的攻击更有效，经过多次迭代，得到对抗样本，将对抗样本输入目标检测模型后得到的是目标被误检的结果，根据该结果可以进一步增强目标检测模型的鲁棒性。
本公开提供一种对抗样本的生成方法、装置及电子设备，应用于人工智能技术领域的计算机视觉领域，具体可以应用在目标检测场景中，以增大对抗样本的生成空间，提高目标检测模型的鲁棒性。
下面，将通过具体的实施例对本公开提供的对抗样本的生成方法进行详细地说明。可以理解的是，下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例不再赘述。
图1是根据本公开实施例提供的一种对抗样本的生成方法的流程示意图。该方法的执行主体为对抗样本的生成装置，该装置可以通过软件和/或硬件的方式实现。如图1所示，该方法包括：
S101、对第一原始图像添加初始扰动，得到初始对抗样本。
对抗样本的目的是为了使目标检测模型对目标的类别识别错误，因此在第一原始图像中添加扰动，本步骤中的初始扰动可以是随机的，可选的，扰动可以通过一个扰动区域参数pert进行添加，构建与第一原始图像x形状相同的扰动区域参数pert，对扰动区域参数pert进行随机初始化，即为初始扰动，将扰动区域参数pert设置为可学习状态，以便于后续对其进行更新。将初始扰动添加在第一原始图像上，得到初始对抗样本x′t，即：
x′t＝x+pert
S102、将第一原始图像输入目标检测模型中，得到与目标检测的所有类别的置信度相关的第一特征图以及置信度最高的第一类别。
其中，第一类别为目标的真实类别。
将第一原始图像输入目标检测模型中，目标检测模型通过提取第一原始图像的第一特征图来识别第一原始图像中的目标的类别，可以理解的是，第一特征图与目标检测的所有类别的置信度相关，目标检测模型可以基于第一特征图确定目标在所有类别下的置信度，并将置信度最高的第一类别输出为目标的类别。并且，对于第一原始图像，目标检测模型可以准确识别目标的类别，也就是目标检测模型输出的第一类别是目标的真实类别。示例的，第一原始图像为一张汽车图像，即这张第一原始图像中目标的真实类别为汽车，将汽车图像输入目标检测模型后，目标检测模型提取汽车图像的第一特征图，基于第一特征图确定置信度最高的第一类别为汽车，则目标检测模型最终输出目标的类别为汽车。
S103、将初始对抗样本输入目标检测模型中，得到与目标检测的所有类别的置信度相关的第二特征图以及置信度最高的第二类别，若第二类别为真实类别，则根据第一特征图和第二特征图更新初始对抗样本，并采用更新后的初始对抗样本迭代执行本步骤，直至第二类别为除真实类别之外的其他类别，则停止迭代并将此时的初始对抗样本确定为与第一原始图像对应的第一对抗样本。
与上个步骤类似的，将初始对抗样本输入目标检测模型中，目标检测模型通过提取初始对抗样本的第二特征图来识别初始对抗样本中的目标的类别，第二特征图同样与目标检测的所有类别的置信度相关，目标检测模型可以基于第二特征图确定目标在所有类别下的置信度。
由于采用对抗样本攻击目标检测模型的目的是为了使目标检测模型对目标的类别识别错误，也就是目标检测模型基于第二特征图所确定的置信度最高的第二类别不是目标的真实类别，因此，在第二类别仍是真实类别时，则表示攻击还未成功，因此，需要基于目标检测模型输出的第一特征图和第二特征图之间的差异更新初始对抗样本，迭代执行本步骤，也就是将更新后的初始对抗样本再输入到目标检测模型中，得到更新后的初始对抗样本对应的第二特征图，在目标检测模型基于第二特征图所确定的置信度最高的第二类别不是目标的真实类别时，即可停止迭代，此时的初始对抗样本即为与第一原始图像对应的第一对抗样本。
本公开实施例的方法，基于目标检测模型输出的特征图进行扰动的更新，由于特征图与目标检测的所有类别的置信度相关，相较于相关技术中仅考虑对抗样本的输出和图像的真实标签之间的差距的方法，本公开实施例的方法，充分利用了对抗样本在目标所属类别(或称为真实类别、真实标签)之外的其他类别信息，增大了对抗样本的生成空间，提高了攻击效果。
在上述实施例的基础上，对如何更新初始对抗样本作进一步说明。
可选的，根据第一特征图和第二特征图确定生成初始对抗样本的损失值；根据损失值更新初始对抗样本。
在一种可行的实现方式中，本公开实施例中的损失函数可以采用KL散度，即，将第一特征图和第二特征图的KL散度确定为损失值。
J(x′t，y)＝KL_loss{softmax(F(x))，softmax(F(x′t))}
其中，J(x′t，y)为损失值，y表示目标检测的所有类别，F(x)表示目标检测模型，softmax(F(x))是将第一原始图像x输入目标检测模型所得到的softmax层的输出，即第一特征图，softmax(F(x′t))是将初始对抗样本x′t输入目标检测模型所得到的softmax层的输出，即第二特征图。利用第一特征图和第二特征图的KL散度，对于对抗样本和第一原始图像的数据分布差异性刻画更有效，增加了对抗攻击的泛化能力，使得对抗样本的视觉过渡性更好。
以下进一步说明如何根据损失值更新初始对抗样本。
可选的，确定损失值关于扰动的梯度的反方向值；根据梯度的反方向值和扰动参数对初始对抗样本进行更新。
其中，损失值关于扰动的梯度的反方向值按照如下公式计算：
Figure BDA0003573075790000061
其中，grad为损失值关于扰动的梯度的反方向值，
Figure BDA0003573075790000062
为损失值关于扰动的梯度，sign()为符号函数。
将梯度的反方向值和扰动参数的乘积添加在初始对抗样本上，并将得到的结果设置在预设范围内，从而得到更新后的初始对抗样本计算公式如下：
x′t+1＝clip{x′t+α*grad，[-ε，ε]}
其中，x′t+1为更新后的初始对抗样本，α为扰动参数，[-ε，ε]为预设范围，ε的值可以根据需要进行设置，clip{}用于将x′t+α*grad的值限制在[-ε，ε]内。
在得到更新后的初始对抗样本后，再次执行S103，如此迭代执行，直至目标检测模型基于第二特征图确定出的置信度最高的第二类别不是目标的真实类别，则停止迭代。以下对迭代过程进行示例说明。
示例的，第一原始图像为一张汽车图像，即这张第一原始图像中目标的真实类别为汽车，对第一原始图像添加初始扰动后，得到初始对抗样本，将初始对抗样本输入目标检测模型，得到第二特征图，目标检测模型基于第二特征图确定置信度最高的第二类别为汽车，则表示攻击还未成功，因此根据第一特征图和第二特征图之间的损失更新初始对抗样本，将更新后的初始对抗样本再输入至目标检测模型，得到更新后的初始对抗样本对应的第二特征图，如此迭代，直至在某一轮迭代中，目标检测模型基于第二特征图所确定的置信度最高的第二类别不是汽车，例如置信度最高的第二类别是飞机，即目标检测模型对目标的类别识别错误，则表示扰动攻击成功，则此时的初始对抗样本即为第一对抗样本。
在生成第一对抗样本的迭代过程中，在每次更新初始对抗样本后，更新后的初始对抗样本和第一原始图像之间的差值即为此次迭代的扰动值pert＝x′t+1-x。而在迭代完成得到第一对抗样本之后，第一对抗样本和第一原始图像之间的差值即为第一对抗样本的扰动值，基于该扰动值还可以继续生成其他对抗样本。
可选的，将第一对抗样本和第一原始图像之间的差值确定为第一对抗样本的扰动值；将扰动值添加在第二原始图像上，得到与第二原始图像对应的第二对抗样本。采用该方法能够快速得到大量原始图像对应的对抗样本，提高效率。
图2是根据本公开实施例提供的一种对抗样本的生成装置的结构示意图。如图2所示，对抗样本的生成装置200包括：
扰动模块201，用于对第一原始图像添加初始扰动，得到初始对抗样本；
第一输入模块202，用于将第一原始图像输入目标检测模型中，得到与目标检测的所有类别的置信度相关的第一特征图以及置信度最高的第一类别，第一类别为目标的真实类别；
第二输入模块203，用于将初始对抗样本输入目标检测模型中，得到与目标检测的所有类别的置信度相关的第二特征图以及置信度最高的第二类别，若第二类别为真实类别，则根据第一特征图和第二特征图更新初始对抗样本，并采用更新后的初始对抗样本迭代执行本步骤，直至第二类别为除真实类别之外的其他类别，则停止迭代并将此时的初始对抗样本确定为与第一原始图像对应的第一对抗样本。
在一种可能的实施方式中，第二输入模块203包括：
确定单元，用于根据第一特征图和第二特征图确定生成初始对抗样本的损失值；
更新单元，用于根据损失值更新初始对抗样本。
在一种可能的实施方式中，确定单元包括:
第一确定子单元，用于将第一特征图和第二特征图的KL散度确定为损失值。
在一种可能的实施方式中，更新单元包括:
第二确定子单元，用于确定损失值关于扰动的梯度的反方向值；
第一更新子单元，用于根据梯度的反方向值和扰动参数对初始对抗样本进行更新。
在一种可能的实施方式中，第一更新子单元用于：
将梯度的反方向值和扰动参数的乘积添加在初始对抗样本上，并将得到的结果设置在预设范围内。
在一种可能的实施方式中，对抗样本的生成装置200还包括：
第三确定子单元，用于将第一对抗样本和第一原始图像之间的差值确定为第一对抗样本的扰动值；
第一扰动子单元，用于将扰动值添加在第二原始图像上，得到与第二原始图像对应的第二对抗样本。
本公开实施例的装置可用于执行上述方法实施例中的对抗样本的生成方法，其实现原理和技术效果类似，此处不再赘述。
根据本公开的实施例，本公开还提供了一种电子设备和存储有计算机指令的非瞬时计算机可读存储介质。
根据本公开的实施例，本公开还提供了一种计算机程序产品，程序产品包括：计算机程序，计算机程序存储在可读存储介质中，电子设备的至少一个处理器可以从可读存储介质读取计算机程序，至少一个处理器执行计算机程序使得电子设备执行上述任一实施例提供的方案。
图3是用来实现本公开实施例的对抗样本的生成方法的电子设备的示意性框图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备和其它类似的计算装置。本文所示的部件、它们的连接和关系、以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本公开的实现。
如图3所示，电子设备300包括计算单元301，其可以根据存储在只读存储器(ROM)302中的计算机程序或者从存储单元308加载到随机访问存储器(RAM)303中的计算机程序，来执行各种适当的动作和处理。在RAM 303中，还可存储设备300操作所需的各种程序和数据。计算单元301、ROM 302以及RAM 303通过总线304彼此相连。输入/输出(I/O)接口305也连接至总线304。
电子设备300中的多个部件连接至I/O接口305，包括：输入单元306，例如键盘、鼠标等；输出单元307，例如各种类型的显示器、扬声器等；存储单元308，例如磁盘、光盘等；以及通信单元309，例如网卡、调制解调器、无线通信收发机等。通信单元309允许设备300通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。
计算单元301可以是各种具有处理和计算能力的通用和/或专用处理组件。计算单元301的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的计算单元、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。计算单元301执行上文所描述的各个方法和处理，例如对抗样本的生成方法。例如，在一些实施例中，对抗样本的生成方法可被实现为计算机软件程序，其被有形地包含于机器可读介质，例如存储单元308。在一些实施例中，计算机程序的部分或者全部可以经由ROM 302和/或通信单元309而被载入和/或安装到设备300上。当计算机程序加载到RAM 303并由计算单元301执行时，可以执行上文描述的对抗样本的生成方法的一个或多个步骤。备选地，在其他实施例中，计算单元301可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行对抗样本的生成方法。
根据本公开的实施例，本公开还提供了一种自动驾驶车辆，包括前述实施例中的电子设备和设置于自动驾驶车辆外部的机械点阵显示屏。可选的，机械点阵显示屏设置于自动驾驶车辆的尾部、侧面或顶部。
本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、复杂可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。
用于实施本公开的方法的程序代码可以采用一个或多个编程语言的任何组合来编写。这些程序代码可以提供给通用计算机、专用计算机或其他可编程数据处理装置的处理器或控制器，使得程序代码当由处理器或控制器执行时使流程图和/或框图中所规定的功能/操作被实施。程序代码可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。
在本公开的上下文中，机器可读介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的程序。机器可读介质可以是机器可读信号介质或机器可读储存介质。机器可读介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。
为了提供与用户的交互，可以在计算机上实施此处描述的系统和技术，该计算机具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给计算机。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。
可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)和互联网。
计算机系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务("Virtual Private Server"，或简称"VPS")中，存在的管理难度大，业务扩展性弱的缺陷。服务器也可以为分布式系统的服务器，或者是结合了区块链的服务器。
应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发申请中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本公开公开的技术方案所期望的结果，本文在此不进行限制。
上述具体实施方式，并不构成对本公开保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本公开的精神和原则之内所作的修改、等同替换和改进等，均应包含在本公开保护范围之内。

Claims (15)

1.一种对抗样本的生成方法，包括：
对第一原始图像添加初始扰动，得到初始对抗样本；
将所述第一原始图像输入目标检测模型中，得到与目标检测的所有类别的置信度相关的第一特征图以及置信度最高的第一类别，所述第一类别为目标的真实类别；
将所述初始对抗样本输入所述目标检测模型中，得到与目标检测的所有类别的置信度相关的第二特征图以及置信度最高的第二类别，若所述第二类别为所述真实类别，则根据所述第一特征图和所述第二特征图更新所述初始对抗样本，并采用更新后的所述初始对抗样本迭代执行本步骤，直至所述第二类别为除所述真实类别之外的其他类别，则停止迭代并将此时的初始对抗样本确定为与所述第一原始图像对应的第一对抗样本。
2.根据权利要求1所述的方法，其中，所述根据所述第一特征图和所述第二特征图更新所述初始对抗样本，包括：
根据所述第一特征图和所述第二特征图确定生成所述初始对抗样本的损失值；
根据所述损失值更新所述初始对抗样本。
3.根据权利要求2所述的方法，其中，所述根据所述第一特征图和所述第二特征图确定生成所述初始对抗样本的损失值，包括:
将所述第一特征图和所述第二特征图的KL散度确定为所述损失值。
4.根据权利要求2或3所述的方法，其中，所述根据所述损失值更新所述初始对抗样本，包括:
确定所述损失值关于扰动的梯度的反方向值；
根据所述梯度的反方向值和扰动参数对所述初始对抗样本进行更新。
5.根据权利要求4所述的方法，其中，所述根据所述梯度的反方向值和扰动参数对所述初始对抗样本进行更新，包括：
将所述梯度的反方向值和扰动参数的乘积添加在所述初始对抗样本上，并将得到的结果设置在预设范围内。
6.根据权利要求1-5任一项所述的方法，还包括：
将所述第一对抗样本和所述第一原始图像之间的差值确定为所述第一对抗样本的扰动值；
将所述扰动值添加在第二原始图像上，得到与所述第二原始图像对应的第二对抗样本。
7.一种对抗样本的生成装置，包括：
扰动模块，用于对第一原始图像添加初始扰动，得到初始对抗样本；
第一输入模块，用于将所述第一原始图像输入目标检测模型中，得到与目标检测的所有类别的置信度相关的第一特征图以及置信度最高的第一类别，所述第一类别为目标的真实类别；
第二输入模块，用于将所述初始对抗样本输入所述目标检测模型中，得到与目标检测的所有类别的置信度相关的第二特征图以及置信度最高的第二类别，若所述第二类别为所述真实类别，则根据所述第一特征图和所述第二特征图更新所述初始对抗样本，并采用更新后的所述初始对抗样本迭代执行本步骤，直至所述第二类别为除所述真实类别之外的其他类别，则停止迭代并将此时的初始对抗样本确定为与所述第一原始图像对应的第一对抗样本。
8.根据权利要求7所述的装置，其中，所述第二输入模块包括：
确定单元，用于根据所述第一特征图和所述第二特征图确定生成所述初始对抗样本的损失值；
更新单元，用于根据所述损失值更新所述初始对抗样本。
9.根据权利要求8所述的装置，其中，所述确定单元包括:
第一确定子单元，用于将所述第一特征图和所述第二特征图的KL散度确定为所述损失值。
10.根据权利要求8或9所述的装置，其中，所述更新单元包括:
第二确定子单元，用于确定所述损失值关于扰动的梯度的反方向值；
第一更新子单元，用于根据所述梯度的反方向值和扰动参数对所述初始对抗样本进行更新。
11.根据权利要求10所述的装置，其中，所述第一更新子单元用于：
将所述梯度的反方向值和扰动参数的乘积添加在所述初始对抗样本上，并将得到的结果设置在预设范围内。
12.根据权利要求7-11任一项所述的装置，还包括：
第三确定子单元，用于将所述第一对抗样本和所述第一原始图像之间的差值确定为所述第一对抗样本的扰动值；
第一扰动子单元，用于将所述扰动值添加在第二原始图像上，得到与所述第二原始图像对应的第二对抗样本。
13.一种电子设备，包括：
至少一个处理器；以及与至少一个处理器通信连接的存储器；
其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器能够执行权利要求1-6中任一项所述的方法。
14.一种存储有计算机指令的非瞬时计算机可读存储介质，所述计算机指令用于使所述计算机执行权利要求1-6中任一项所述的方法。
15.一种计算机程序产品，包括计算机程序，所述计算机程序被处理器执行时实现权利要求1-6中任一项所述的方法。
CN202210325022.XA 2022-03-30 2022-03-30 对抗样本的生成方法、装置及电子设备 Pending CN114937180A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210325022.XA CN114937180A (zh) 2022-03-30 2022-03-30 对抗样本的生成方法、装置及电子设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210325022.XA CN114937180A (zh) 2022-03-30 2022-03-30 对抗样本的生成方法、装置及电子设备

Publications (1)

Publication Number Publication Date
CN114937180A true CN114937180A (zh) 2022-08-23

Family

ID=82863256

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210325022.XA Pending CN114937180A (zh) 2022-03-30 2022-03-30 对抗样本的生成方法、装置及电子设备

Country Status (1)

Country Link
CN (1) CN114937180A (zh)

Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111340180A (zh) * 2020-02-10 2020-06-26 中国人民解放军国防科技大学 指定标签的对抗样本生成方法、装置、电子设备及介质
CN111600835A (zh) * 2020-03-18 2020-08-28 宁波送变电建设有限公司永耀科技分公司 一种基于fgsm对抗攻击算法的检测与防御方法
CN112633306A (zh) * 2019-09-24 2021-04-09 杭州海康威视数字技术股份有限公司 对抗图像的生成方法及装置
CN113537267A (zh) * 2020-11-04 2021-10-22 腾讯科技（深圳）有限公司 对抗样本的生成方法和装置、存储介质及电子设备
US20210365739A1 (en) * 2020-05-19 2021-11-25 Objectvideo Labs, Llc Adversarial masks for false detection removal
CN114169409A (zh) * 2021-11-18 2022-03-11 浪潮(北京)电子信息产业有限公司 一种对抗样本生成方法及装置
US20220092336A1 (en) * 2020-03-26 2022-03-24 Shenzhen Institutes Of Advanced Technology Adversarial image generation method, computer device, and computer-readable storage medium

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN112633306A (zh) * 2019-09-24 2021-04-09 杭州海康威视数字技术股份有限公司 对抗图像的生成方法及装置
CN111340180A (zh) * 2020-02-10 2020-06-26 中国人民解放军国防科技大学 指定标签的对抗样本生成方法、装置、电子设备及介质
CN111600835A (zh) * 2020-03-18 2020-08-28 宁波送变电建设有限公司永耀科技分公司 一种基于fgsm对抗攻击算法的检测与防御方法
US20220092336A1 (en) * 2020-03-26 2022-03-24 Shenzhen Institutes Of Advanced Technology Adversarial image generation method, computer device, and computer-readable storage medium
US20210365739A1 (en) * 2020-05-19 2021-11-25 Objectvideo Labs, Llc Adversarial masks for false detection removal
CN113537267A (zh) * 2020-11-04 2021-10-22 腾讯科技（深圳）有限公司 对抗样本的生成方法和装置、存储介质及电子设备
CN114169409A (zh) * 2021-11-18 2022-03-11 浪潮(北京)电子信息产业有限公司 一种对抗样本生成方法及装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
杨弋鋆;邵文泽;王力谦;葛琦;鲍秉坤;邓海松;李海波;: "面向智能驾驶视觉感知的对抗样本攻击与防御方法综述", 南京信息工程大学学报(自然科学版), no. 06, 28 November 2019 (2019-11-28), pages 31 - 39 *

Similar Documents

Publication Publication Date Title
CN114677565B (zh) 特征提取网络的训练方法和图像处理方法、装置
CN112862006B (zh) 图像深度信息获取模型的训练方法、装置及电子设备
CN112907552A (zh) 图像处理模型的鲁棒性检测方法、设备及程序产品
CN113205041B (zh) 结构化信息提取方法、装置、设备和存储介质
US20220172376A1 (en) Target Tracking Method and Device, and Electronic Apparatus
CN114565513A (zh) 对抗图像的生成方法、装置、电子设备和存储介质
CN113902696A (zh) 图像处理方法、装置、电子设备和介质
CN116403083A (zh) 图像的处理方法、装置、电子设备及存储介质
CN113643260A (zh) 用于检测图像质量的方法、装置、设备、介质和产品
CN113298910A (zh) 生成交通标志线地图的方法、设备和存储介质
CN115797565A (zh) 三维重建模型训练方法、三维重建方法、装置及电子设备
CN114677653A (zh) 模型训练方法、车辆关键点检测方法及相应的装置
CN115359308A (zh) 模型训练、难例识别方法、装置、设备、存储介质及程序
CN114445825A (zh) 文字检测方法、装置、电子设备和存储介质
CN114299242A (zh) 高精地图中图像处理方法、装置、设备以及存储介质
CN112528995B (zh) 用于训练目标检测模型的方法、目标检测方法及装置
CN113920273B (zh) 图像处理方法、装置、电子设备和存储介质
CN114723894B (zh) 一种三维坐标获取方法、装置及电子设备
CN116052288A (zh) 活体检测模型训练方法、活体检测方法、装置和电子设备
CN114119990A (zh) 用于图像特征点匹配的方法、装置及计算机程序产品
CN114937180A (zh) 对抗样本的生成方法、装置及电子设备
CN114093006A (zh) 活体人脸检测模型的训练方法、装置、设备以及存储介质
CN113947146A (zh) 样本数据生成方法、模型训练方法、图像检测方法及装置
CN115641481A (zh) 用于训练图像处理模型和图像处理的方法、装置
CN113935482A (zh) 一种行人再识别网络的训练方法及装置

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination