CN115952458A - 一种内容伪造攻击检测方法、装置以及设备 - Google Patents

Abstract

本说明书实施例公开了内容伪造攻击检测方法。包括：确定训练得到的端云一体模型，端云一体模型包括端侧特征编码器、端侧伪造攻击分类器、云端特征编码器、云端伪造攻击分类器，是根据相应的分类损失和端侧稀疏约束训练得到的；确定拆分部署了端云一体模型的客户端和云端；在客户端上获得待检测内容，通过端侧特征编码器对待检测内容进行编码，得到端侧特征，输入端侧伪造攻击分类器进行分类，得到第一分类结果；若确定需要云端也参与检测，则将端侧特征转换后从客户端传输至云端，通过云端特征编码器进行编码，得到云端特征，输入云端伪造攻击分类器进行分类，得到第二分类结果；根据分类结果判断待检测内容是否属于伪造攻击。

Description

一种内容伪造攻击检测方法、装置以及设备

技术领域

本说明书涉及机器学习技术领域，尤其涉及一种内容伪造攻击检测方法、装置以及设备。

背景技术

近年来，内容安全问题重新成为了学术界和工业界关注的一个重要课题。而deepfakes攻击是目前内容安全领域威胁最大的攻击方式之一。

具体来说，deepfakes通过训练深度学习模型进行内容伪造。借助强大的深度学习技术，deepfakes产生的伪造内容几乎可以以假乱真。

基于此，如何有效地检测deepfakes攻击是内容安全领域必须解决的一个问题。

发明内容

本说明书一个或多个实施例提供一种内容伪造攻击检测方法、装置、设备以及存储介质，用以解决如下技术问题：如何有效地检测deepfakes攻击。

为解决上述技术问题，本说明书一个或多个实施例是这样实现的：

本说明书一个或多个实施例提供的一种内容伪造攻击检测方法，包括：

确定训练得到的端云一体模型，所述端云一体模型包括端侧特征编码器、端侧伪造攻击分类器、云端特征编码器、云端伪造攻击分类器，所述端云一体模型是根据相应的分类损失和端侧稀疏约束训练得到的；

确定拆分部署了所述端云一体模型的客户端和云端，所述端侧特征编码器、所述端侧伪造攻击分类器部署于所述客户端，所述云端特征编码器、所述云端伪造攻击分类器部署于所述云端；

在所述客户端上获得待检测内容，通过所述端侧特征编码器对所述待检测内容进行编码，得到端侧特征，输入所述端侧伪造攻击分类器进行分类，得到第一分类结果；

若确定需要所述云端也参与检测，则将所述端侧特征转换后从所述客户端传输至所述云端，通过所述云端特征编码器进行编码，得到云端特征，输入所述云端伪造攻击分类器进行分类，得到第二分类结果；

根据所述第一分类结果和/或所述第二分类结果，判断所述待检测内容是否属于伪造攻击。

本说明书一个或多个实施例提供的一种内容伪造攻击检测装置，包括：

模型确定模块，确定训练得到的端云一体模型，所述端云一体模型包括端侧特征编码器、端侧伪造攻击分类器、云端特征编码器、云端伪造攻击分类器，所述端云一体模型是根据相应的分类损失和端侧稀疏约束训练得到的；

部署确定模块，确定拆分部署了所述端云一体模型的客户端和云端，所述端侧特征编码器、所述端侧伪造攻击分类器部署于所述客户端，所述云端特征编码器、所述云端伪造攻击分类器部署于所述云端；

端侧检测模块，在所述客户端上获得待检测内容，通过所述端侧特征编码器对所述待检测内容进行编码，得到端侧特征，输入所述端侧伪造攻击分类器进行分类，得到第一分类结果；

云端检测模块，若确定需要所述云端也参与检测，则将所述端侧特征转换后从所述客户端传输至所述云端，通过所述云端特征编码器进行编码，得到云端特征，输入所述云端伪造攻击分类器进行分类，得到第二分类结果；

结果判断模块，根据所述第一分类结果和/或所述第二分类结果，判断所述待检测内容是否属于伪造攻击。

本说明书一个或多个实施例提供的一种内容伪造攻击检测设备，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：

确定训练得到的端云一体模型，所述端云一体模型包括端侧特征编码器、端侧伪造攻击分类器、云端特征编码器、云端伪造攻击分类器，所述端云一体模型是根据相应的分类器损失和端侧稀疏约束训练得到的；

确定拆分部署了所述端云一体模型的客户端和云端，所述端侧特征编码器、所述端侧伪造攻击分类器部署于所述客户端，所述云端特征编码器、所述云端伪造攻击分类器部署于所述云端；

在所述客户端上获得待检测内容，通过所述端侧特征编码器对所述待检测内容进行编码，得到端侧特征，输入所述端侧伪造攻击分类器进行分类，得到第一分类结果；

若确定需要所述云端也参与检测，则将所述端侧特征转换后从所述客户端传输至所述云端，通过所述云端特征编码器进行编码，得到云端特征，输入所述云端伪造攻击分类器进行分类，得到第二分类结果；

根据所述第一分类结果和/或所述第二分类结果，判断所述待检测内容是否属于伪造攻击。

本说明书一个或多个实施例提供的一种非易失性计算机存储介质，存储有计算机可执行指令，所述计算机可执行指令设置为：

确定训练得到的端云一体模型，所述端云一体模型包括端侧特征编码器、端侧伪造攻击分类器、云端特征编码器、云端伪造攻击分类器，所述端云一体模型是根据相应的分类器损失和端侧稀疏约束训练得到的；

确定拆分部署了所述端云一体模型的客户端和云端，所述端侧特征编码器、所述端侧伪造攻击分类器部署于所述客户端，所述云端特征编码器、所述云端伪造攻击分类器部署于所述云端；

在所述客户端上获得待检测内容，通过所述端侧特征编码器对所述待检测内容进行编码，得到端侧特征，输入所述端侧伪造攻击分类器进行分类，得到第一分类结果；

若确定需要所述云端也参与检测，则将所述端侧特征转换后从所述客户端传输至所述云端，通过所述云端特征编码器进行编码，得到云端特征，输入所述云端伪造攻击分类器进行分类，得到第二分类结果；

根据所述第一分类结果和/或所述第二分类结果，判断所述待检测内容是否属于伪造攻击。

本说明书一个或多个实施例采用的上述至少一个技术方案能够达到以下有益效果：通过将端侧特征编码器、端侧伪造攻击分类器、云端特征编码器、云端伪造攻击分类器作为一个整体即端云一体模型进行训练，再拆分成两部分，其中一部分部署在客户端，剩下的部分部署在云端，然后通过中间结果的传输，在端云两侧协同完成整个推理过程，在整体训练时采用了端侧端侧稀疏约束，有效地控制了端侧特征的数据规模，降低了客户端的检测压力，还能够对端侧特征相应地转换后再传输至云端处理，由云端适应于自身能力重新编码后再检测，如此处理，充分利用了端云两侧各自的长处，避免了各自的短处，兼顾了对端侧的数据隐私性保护，能够更有效地检测deepfakes攻击。

附图说明

为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本说明书一个或多个实施例提供的一种内容伪造攻击检测方法的总体思路示意图；

图2为本说明书一个或多个实施例提供的一种内容伪造攻击检测方法的流程示意图；

图3为本说明书一个或多个实施例提供的一种应用场景下，图2中的方法的一种实施方案示意图；

图4为本说明书一个或多个实施例提供的一种内容伪造攻击检测装置的结构示意图；

图5为本说明书一个或多个实施例提供的一种内容伪造攻击检测设备的结构示意图。

具体实施方式

本说明书实施例提供一种内容伪造攻击检测方法、装置、设备以及存储介质。

为了使本技术领域的人员更好地理解本说明书中的技术方案，下面将结合本说明书实施例中的附图，对本说明书实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本说明书实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

deepfakes：指通过文本、音频、图像等内容生成方案，生成虚假的不符合事实的内容，用于发布到内容平台或冒充身份认证等。多模态deepfakes可能对舆论或安全造成巨大的误导作用。

deepfakes攻击检测：指利用深度学习、机器学习等技术检测指定内容中是否包含deepfakes内容。

deepfakes是目前业界用到的一个词，为了便于理解，在上面的背景介绍以及下面的一些实施例中，会直接使用该词，不过，为了避免该词的字面对其真正想表达的含义带来的局限性，在下面的一些实施例中也使用更直白的描述，来替代该词，即用“内容伪造”，来更广泛地表示包含了通常理解下的deepfakes在内的一些伪造行为。

申请人将自己尝试过的deepfakes攻击检测方案根据部署环境分为两种类型。第一种类型是纯云端deepfakes攻击检测方案，这类方案将训练得到的deepfakes攻击检测模型部署在云端服务器，在推理阶段，客户端将内容数据上传到云端，然后云端的模型根据输入，输出对应的deepfakes攻击检测结果，由于云端的强大计算能力，这类方案可以达到较好的检测性能，但是，这类方案需要上传原始内容，严重依赖网络情况，且有隐私泄漏风险。第二种类型是纯本地deepfakes攻击检测方案，这类方案将训练得到的deepfakes攻击检测模型部署到客户端(比如，智能手机等终端设备上)，客户端采集到内容后直接输入到本地模型，然后输出deepfakes攻击检测结果，这类方案由于不涉及数据传输，因此不依赖网络。但是受限于端侧的算力，检测性能较差。

为了解决上述问题，本申请提出了基于端云一体推理的高效的deepfakes攻击检测方案。先看该方案的总体思路，参见图1。图1为本说明书一个或多个实施例提供的一种内容伪造攻击检测方法的总体思路示意图。

该总体思路包括如下四部分：

端云一体模型训练：从精度和效率两方面训练端云一体的deepfakes攻击检测模型。

特征压缩模型训练：利用编解码器结构对中间结果进行进一步的压缩，降低对传输带宽的要求，以及提高隐私安全性。

模型部署和更新：将端云一体模型分成两部分，一部分部署在客户端，一部分部署在云端，针对待检测内容进行协同推理，该部署方案可以灵活更新，降低更新成本。

deepfakes攻击检测：利用上述训练得到的模型，进行deepfakes攻击检测。

需要说明的是，模型的训练阶段是预先执行的，在训练好的模型实际上线使用时，所执行的即是deepfakes攻击检测的过程，通过下面的图2主要说明上线使用的过程，再适时地穿插介绍预先执行的模型训练过程。

图2为本说明书一个或多个实施例提供的一种内容伪造攻击检测方法的流程示意图。该流程可以在风控相关设备上执行，比如，内容审核服务器(比如，视频分享、直播、新闻、论坛等平台的服务器)、人脸识别智能终端(比如，人脸识别自动售货机、人脸识别收银机等)、电子支付风控服务器等。流程中的某些输入参数或者中间结果允许人工干预调节，以帮助提高准确性。

图2中的流程包括以下步骤：

S202：确定训练得到的端云一体模型，所述端云一体模型包括端侧特征编码器、端侧伪造攻击分类器、云端特征编码器、云端伪造攻击分类器，所述端云一体模型是根据相应的分类损失和端侧稀疏约束训练得到的。

在本说明书一个或多个实施例中，“端云”中的“端”指的是客户端，处于用户一侧，也称为端侧，“云”指的是云端，处于服务器一侧。端云一体模型是一体化地进行训练，然后再拆分开来对应部署在客户端和云端的。期望使得端侧伪造攻击分类器、云端伪造攻击分类器分别也具有deepfakes攻击检测能力，则若有需要，还可以额外将这两个分类器单独进行训练，比如在一体化训练后，后续进行小样本微调训练等。

在本说明书一个或多个实施例中，前面提到了从精度和效率两方面训练端云一体模型。

相应的分类损失越小，则伪造攻击检测的精度越高。相应的分类损失比如包括以下一种或多种：端侧伪造攻击分类器对训练样本的分类损失、云端伪造攻击分类器对训练样本

的分类损失、端侧伪造攻击分类器和云端伪造攻击分类器加权后的对训练样本的联合分类5损失。

需要强调的是联合分类损失，以这两个分类器分别的分类结果加权相加后，作为联合分类结果，以联合分类结果与对应的训练标签之间的差距作为联合分类损失，联合分类结果越准确，则联合分类损失越小。如此，使得这两个分类器在训练过程中产生了更多的联

动变化和相互约束，能够更为一体化地趋向于共同的分类精度目标，有助于克服各自可能0陷入的局部最优解陷阱。在实际应用中，由于云端算力更强，可以考虑在计算联合分类损

失时，给予云端伪造攻击分类器的分类结果更高的权重。

端侧相关的数据越稀疏，则伪造攻击检测的效率越高，尤其是对于客户端而言，能够有效降低客户端的计算负担。相应的端侧稀疏约束比如包括以下一种或多种：端侧特征编

码器的多个通道的权重稀疏约束、端侧特征编码器对训练样本编码得到的端侧特征的稀疏5约束。

对于端侧特征编码器的多个通道的权重稀疏约束，期望具有有效权重的通道越少越好，如此，能够尽量简化端侧特征编码器的结构。对于端侧特征编码器对训练样本编码得到的端侧特征的稀疏约束，期望端侧特征的有效维度越少越好，如此，能够降低后续对端侧特

征继续计算所需耗费的计算资源。这些约束可以配合分类损失，作为总损失的一部分，用0总损失训练端云一体模型，使模型向兼顾精度和效率的方向修正直至收敛。

S204：确定拆分部署了所述端云一体模型的客户端和云端，所述端侧特征编码器、所述端侧伪造攻击分类器部署于所述客户端，所述云端特征编码器、所述云端伪造攻击分类器部署于所述云端。

S206：在所述客户端上获得待检测内容，通过所述端侧特征编码器对所述待检测内容5进行编码，得到端侧特征，输入所述端侧伪造攻击分类器进行分类，得到第一分类结果。

在本说明书一个或多个实施例中，待检测内容比如是在客户端上用户待发布的内容(比如，用户提供的文章)，或待用于进行身份认证的内容(比如，用户提供的人脸视频等)等。在待检测内容实际用于实现该用户的目的前，检测待检测内容是否为被伪造的内容，即检测待检测内容是否属于伪造攻击。

0第一分类结果比如是一个概率值(也可以直接是待检测内容是否为被伪造的内容这个

结论本身)，反映了从客户端的推理而言，待检测内容属于伪造攻击的可能性，通过相应的设定阈值进行比较，能够得到客户端的推理结论。

若判断第一分类结果反映了待检测内容属于伪造攻击的可能性高于相应的设定阈值，则可以判断待检测内容属于伪造攻击，在这种情况下，若安全性和效率要求较高，对误判的容忍程度较高，那么，可以考虑直接将客户端的推理结论作为最终结论，而无需云端配合参与推理以进一步核实，则可以直接在客户端上拦截待检测内容，以拒绝相应的用户意图，则也无需执行步骤S208，直接依据第一分类结果即得到最终结论。

S208：若确定需要所述云端也参与检测，则将所述端侧特征转换后从所述客户端传输至所述云端，通过所述云端特征编码器进行编码，得到云端特征，输入所述云端伪造攻击分类器进行分类，得到第二分类结果。

而若判断第一分类结果反映了待检测内容属于伪造攻击的可能性不高于相应的设定阈值，那么表明客户端认为待检测内容是安全的，不过，由于客户端能力有限，有可能被欺骗，因此，在这种情况下，安全起见，可以让云端进一步地推理核实(即，确定需要云端也参与检测)，再下最终结论。

在本说明书一个或多个实施例中，前面提到了客户端隐私问题(这里主要考虑传输过程)和数据传输问题，通过在客户端对原始内容进行编码，避免了原始内容直接暴露给云端，提高了隐私安全性。为了提高传输性能和传输过程可靠性，不将端侧特征直接传输给云端，而是转换后再传输，通过转换降低了传输数据量，而且也进一步加强了客户端隐私保护。

为了实现这样的目的，预先有针对性地训练了特征压缩模型，特征压缩模型除了具有压缩特征的能力以外，还具有相应的解码能力，解码能力用于在压缩后的特征传输至云端后，解码以重建特征。基于此，若确定需要云端参与检测，则可以确定训练得到的特征压缩模型，将端侧特征输入特征压缩模型进行压缩，将压缩得到的转换特征，从客户端传输至云端，通过相应的解码处理进行特征重建，再由云端特征编码器对重建得到的特征进行编码，得到云端特征。

除了压缩处理以外，为了进一步提高传输过程可靠性，提供了一种基于双边扰动的高鲁棒性的特征压缩模型。传统的一些特征压缩模型，只考虑特征的压缩比和恢复后特征的任务性能，却忽略了压缩后的特征可能在传输过程中遇到的信道噪声和信道丢位，有鉴于此，在本申请提供的特征压缩模型中，一方面通过对输入加强扰动增加整体性能，另一方面在压缩后特征进行模拟信道噪声和信道丢位的扰动，合称为双边扰动，提升实际应用下的鲁棒性。

本申请提供的特征压缩模型包括输入扰动器、特征压缩器、信道扰动模拟器、特征解码器，特征压缩模型是根据特征解码器对应的特征重建损失(使端侧特征与重建得到的特征尽量一致)、输入扰动器对应的输入扰动一致性损失(输入扰动前后的特征作为输入时，使输出尽量一致)、信道扰动模拟器对应的信道扰动一致性损失(信道扰动前后的特征作为输入时，使输出尽量一致)训练得到的，这两个一致性损失的使用，能够有效地提高传输过程的抗干扰能力。

特征压缩模型训练完后，在实际使用时无需再自己加干扰，因此，可以使用特征压缩器、特征解码器，将特征压缩器部署于客户端上，使用时将端侧特征输入特征压缩器进行压缩，将特征解码器部署于云端，使用时对于压缩后传输至云端的转换特征，在云端输入特征解码器，通过相应的解码处理进行特征重建。

S210：根据所述第一分类结果和/或所述第二分类结果，判断所述待检测内容是否属于伪造攻击。该步骤即为下最终结论的步骤。

在本说明书一个或多个实施例中，类似地，第二分类结果比如是一个概率值，反映了从云端的推理而言，待检测内容属于伪造攻击的可能性，通过相应的设定阈值进行比较，能够得到云端的推理结论。比如，若判断第二分类结果反映了待检测内容属于伪造攻击的可能性高于相应的设定阈值，则可以考虑推翻客户端之前的积极结论(即云端核实不通过)，判断待检测内容属于伪造攻击，以此作为最终结论。而若第二分类结果也是积极结论，那么相当于客户端和云端的双重检测都通过了，则可以判断待检测内容不属于伪造攻击，以此作为最终结论。

需要说明的是，为了得到最终结论，第一分类结果、第二分类结果还有更多的配合方式，可以根据安全性、效率等方面的实际要求，设定具体的判断逻辑。比如，若第一分类结果是消极结论，也可以让云端进行合适，若第二分类结果也是消极结论，再最终判断待检测内容属于伪造攻击。

通过图2的方法，通过将端侧特征编码器、端侧伪造攻击分类器、云端特征编码器、云端伪造攻击分类器作为一个整体即端云一体模型进行训练，再拆分成两部分，其中一部分部署在客户端，剩下的部分部署在云端，然后通过中间结果的传输，在端云两侧协同完成整个推理过程，在整体训练时采用了端侧端侧稀疏约束，有效地控制了端侧特征的数据规模，降低了客户端的检测压力，还能够对端侧特征相应地转换后再传输至云端处理，由云端适应于自身能力重新编码后再检测，如此处理，充分利用了端云两侧各自的长处，避免了各自的短处，兼顾了对端侧的数据隐私性保护，能够更有效地检测deepfakes攻击。

基于图2的方法，本说明书还提供了该方法的一些具体实施方案和扩展方案，下面继续进行说明。

在本说明书一个或多个实施例中，若训练时，采用了端侧特征编码器的多个通道的权重稀疏约束，那么在该约束下训练后一些通道的权重会降低，那么可以将一些通道进行裁剪，以简化端侧特征编码器。比如，对于根据权重稀疏约束训练过的端侧特征编码器，将其多个通道中权重不高于相应的设定阈值(比如，将该阈值设定为0或较小的一个值)的通道进行裁剪，剪裁后的端侧特征编码器即可以部署于客户端，用于后续推理。

在本说明书一个或多个实施例中，在实际应用中，端云一体模型部署后，在遇到新场景或一些推理失败的检测案例时，可能需要定向优化，在这种情况下，考虑到优化整个模型成本较高，还涉及到端云两侧的部署问题，因此，提供一种能够高效迭代的简化更新方案。具体包括：在已训练的端云一体模型部署后，若需要针对端云一体模型进行优化时，根据端侧特征编码器、云端特征编码器和云端伪造攻击分类器，构建临时简化模型(该临时简化模型中还可以包括特征压缩器)，根据相应的分类器损失，对临时简化模型进行优化训练，在优化训练的过程中，只更新处于云端的模块的权重，从而无需打扰客户端。

根据上面的说明，本说明书一个或多个实施例提供的一种应用场景下，图2中的方法的一种实施方案示意图，如图3所示。

在图3中，包含了两个模型，即端云一体模型、特征压缩模型，这两个模型都是在客户端和云端这两侧拆分部署的。

对于端云一体模型，具体如下：

模型结构：包括四个部分，第一个部分是端侧特征编码器，第二部分是端侧deepfakes分类器(作为上述的端侧伪造攻击分类器)，第三个部分是云端特征编码器，第四个部分是云端deepfakes分类器(作为上述的云端伪造攻击分类器)；

输入输出：端侧特征编码器的输入是原始的内容(比如，作为内容训练样本或待检测内容的图像)，输出是对应的端侧特征；端侧deepfakes分类器的输入是端侧特征，输出是客户端的deepfakes分类结果(比如，上述的第一分类结果)；云端特征编码器的输入是端侧特征或重建的端侧特征，输出是云端特征；云端deepfakes分类器的输入是云端特征，输出是云端的deepfakes分类结果(比如，上述的第二分类结果)；

损失函数：损失函数记作Loss_total＝Loss_cls+Loss_weight-spa+Loss_feat-spa+Loss_ensemble-cls，包括四个部分，第一个部分是分类损失，包括云端和/或端侧的deepfakes分类器的分类损失，第二个部分是端侧特征编码器的权重稀疏约束(比如，采用端侧特征编码器的通道权重的L1范数，使该L1范数尽量小)，第三个部分是端侧特征的稀疏约束(比如，采用端侧特征的L1范数，使该L1范数尽量小)，第四部分是联合分类损失(假定采用0.9:0.1的联合比例，则使(0.9*云端分类结果+0.1*客户端分类结果)尽量准确)；

训练方式：基于上述模型结构和损失函数进行有监督训练，直至模型收敛；

训练后，还针对端侧特征编码器进行剪枝操作，将权重为0的通道进行裁剪，得到裁剪后的端侧特征编码器，用于部署。

对于特征压缩模型，具体如下：

模型结构：包括四个部分，第一个部分是输入扰动器，第二个部分是特征压缩器，第三个部分是信道扰动模拟器，第四个部分是特征解码器，四个部分按照顺序串联组成整个模型；

输入输出：输入扰动器的输入是端侧特征，输出是扰动后的端侧特征；特征压缩器输入是扰动前后的端侧特征，输出是压缩后的对应特征；信道扰动模拟器的输入是压缩后的特征，输出是添加信道扰动后的压缩特征(包括高斯噪声以及信道丢位操作，丢位情况下最高位会被置零，比如，二进制数字111丢位后为二进制数字011；特征解码器的输入是信道扰动前后的压缩特征，输出为重建的端侧特征；

损失函数：损失函数记作Loss_total＝Loss_recon+Loss_dis-cons+Loss_channel-cons，包括三个部分，第一个部分是特征重建损失，第二部分是输入扰动一致性损失，第三部分是信道扰动一致性；

训练方式：基于上述模型结构和损失函数进行有监督训练(由于信道扰动模拟器的云端不可导，因此在计算梯度时忽略此环节的影响)，直至模型收敛；

两个模型训练完毕后，拆分部署。具体地，将剪枝后的端侧特征编码器、端侧deepfakes分类器和特征压缩器部署到客户端；可以将所有训练得到的模块部署到云端(实际推理只应用其中一部分，至少需要部署该部分(图3以云端部分部署为例)，由于模型更新可能需要用到其他部分，因此也可以考虑在云端完整部署)。

训练部署后正式使用时，待检测内容(假定用户想要将该内容发布)在客户端产生，输入端侧特征编码器和端侧deepfakes分类器，得到端侧特征和客户端推理的deepfakes攻击概率p₁；

T₁为相应的设定阈值，若p₁>T₁，则直接判断内容属于deepfakes攻击，对内容进行拦截；否则，将端侧特征输入到特征压缩器，得到压缩特征，将压缩特征通过网络传输到云端；在云端，将压缩特征输入到特征解码器，再经过云端特征编码器、云端deepfakes分类器处理，得到云端推理的deepfakes攻击概率p₂；

T₂为相应的设定阈值，若p₂>T₂，则直接判断内容为deepfakes攻击，对内容进行拦截；否则，判断为正常内容，进行发布。

部署后，后续若还要进行模型优化，则将剪枝后的端侧特征编码器、特征压缩器、特征解码器、云端特征编码器、云端deepfakes分类器串联起来组成临时简化模型；使用分类损失再训练临时简化模型，再训练阶段只更新云端编码器和云端deepfakes分类器的权重，其余模块保持不变，更新完成后只需要更新云端的模型，而无需客户端更新。

基于同样的思路，本说明书一个或多个实施例还提供了上述方法对应的装置和设备，如图4、图5所示。装置和设备能够相应执行上述方法及相关的可选方案。

图4为本说明书一个或多个实施例提供的一种内容伪造攻击检测装置的结构示意图，所述装置包括：

模型确定模块402，确定训练得到的端云一体模型，所述端云一体模型包括端侧特征编码器、端侧伪造攻击分类器、云端特征编码器、云端伪造攻击分类器，所述端云一体模型是根据相应的分类损失和端侧稀疏约束训练得到的；

部署确定模块404，确定拆分部署了所述端云一体模型的客户端和云端，所述端侧特征编码器、所述端侧伪造攻击分类器部署于所述客户端，所述云端特征编码器、所述云端伪造攻击分类器部署于所述云端；

端侧检测模块406，在所述客户端上获得待检测内容，通过所述端侧特征编码器对所述待检测内容进行编码，得到端侧特征，输入所述端侧伪造攻击分类器进行分类，得到第一分类结果；

云端检测模块408，若确定需要所述云端也参与检测，则将所述端侧特征转换后从所述客户端传输至所述云端，通过所述云端特征编码器进行编码，得到云端特征，输入所述云端伪造攻击分类器进行分类，得到第二分类结果；

结果判断模块410，根据所述第一分类结果和/或所述第二分类结果，判断所述待检测内容是否属于伪造攻击。

可选地，所述相应的分类损失包括以下至少一种：所述端侧伪造攻击分类器和所述云端伪造攻击分类器分别对训练样本的分类损失、所述端侧伪造攻击分类器和所述云端伪造攻击分类器加权后的对训练样本的联合分类损失；

所述端侧稀疏约束包括以下至少一种：所述端侧特征编码器的多个通道的权重稀疏约束、所述端侧特征编码器对训练样本编码得到的端侧特征的稀疏约束。

可选地，所述端侧稀疏约束至少包括所述端侧特征编码器的多个通道的权重稀疏约束；

所述装置还包括：

训练裁剪模块412，在所述确定训练得到的端云一体模型之前，对于根据所述权重稀疏约束训练过的所述端侧特征编码器，将其多个通道中权重不高于相应的设定阈值的通道进行裁剪。

可选地，所述结果判断模块410，在所述得到第一分类结果之后，判断所述第一分类结果是否反映了所述待检测内容属于伪造攻击的可能性高于相应的设定阈值；

若是，则判断所述待检测内容属于伪造攻击；

否则，确定需要所述云端也参与检测。

可选地，所述结果判断模块410，判断所述第二分类结果是否反映了所述待检测内容属于伪造攻击的可能性高于相应的设定阈值；

若是，则判断所述待检测内容属于伪造攻击。

可选地，所述云端检测模块408，确定训练得到的特征压缩模型；

将所述端侧特征输入所述特征压缩模型进行压缩；

将所述压缩得到的转换特征，从所述客户端传输至所述云端，通过相应的解码处理进行特征重建，再由所述云端特征编码器对所述重建得到的特征进行编码，得到云端特征。

可选地，所述特征压缩模型包括输入扰动器、特征压缩器、信道扰动模拟器、特征解码器，所述特征压缩模型是根据所述特征解码器对应的特征重建损失、所述输入扰动器对应的输入扰动一致性损失、所述信道扰动模拟器对应的信道扰动一致性损失训练得到的；

所述云端检测模块408，将所述端侧特征输入所述特征压缩器进行压缩；

所述云端检测模块408，在所述云端输入所述特征解码器，通过相应的解码处理进行特征重建。

可选地，还包括：

模型优化模块414，在所述确定训练得到的端云一体模型之后，若需要针对所述端云一体模型进行优化时，根据所述端侧特征编码器、所述端特征编码器和所述云端伪造攻击分类器，构建临时简化模型；

根据相应的分类器损失，对所述临时简化模型进行优化训练，在所述优化训练的过程中，只更新处于所述云端的模块的权重。

图5为本说明书一个或多个实施例提供的一种内容伪造攻击检测设备的结构示意图，所述设备包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：

确定训练得到的端云一体模型，所述端云一体模型包括端侧特征编码器、端侧伪造攻击分类器、云端特征编码器、云端伪造攻击分类器，所述端云一体模型是根据相应的分类器损失和端侧稀疏约束训练得到的；

确定拆分部署了所述端云一体模型的客户端和云端，所述端侧特征编码器、所述端侧伪造攻击分类器部署于所述客户端，所述云端特征编码器、所述云端伪造攻击分类器部署于所述云端；

在所述客户端上获得待检测内容，通过所述端侧特征编码器对所述待检测内容进行编码，得到端侧特征，输入所述端侧伪造攻击分类器进行分类，得到第一分类结果；

若确定需要所述云端也参与检测，则将所述端侧特征转换后从所述客户端传输至所述云端，通过所述云端特征编码器进行编码，得到云端特征，输入所述云端伪造攻击分类器进行分类，得到第二分类结果；

根据所述第一分类结果和/或所述第二分类结果，判断所述待检测内容是否属于伪造攻击。

基于同样的思路，本说明书一个或多个实施例还提供了一种非易失性计算机存储介质，存储有计算机可执行指令，所述计算机可执行指令设置为：

确定训练得到的端云一体模型，所述端云一体模型包括端侧特征编码器、端侧伪造攻击分类器、云端特征编码器、云端伪造攻击分类器，所述端云一体模型是根据相应的分类器损失和端侧稀疏约束训练得到的；

确定拆分部署了所述端云一体模型的客户端和云端，所述端侧特征编码器、所述端侧伪造攻击分类器部署于所述客户端，所述云端特征编码器、所述云端伪造攻击分类器部署于所述云端；

在所述客户端上获得待检测内容，通过所述端侧特征编码器对所述待检测内容进行编码，得到端侧特征，输入所述端侧伪造攻击分类器进行分类，得到第一分类结果；

若确定需要所述云端也参与检测，则将所述端侧特征转换后从所述客户端传输至所述云端，通过所述云端特征编码器进行编码，得到云端特征，输入所述云端伪造攻击分类器进行分类，得到第二分类结果；

根据所述第一分类结果和/或所述第二分类结果，判断所述待检测内容是否属于伪造攻击。

在20世纪90年代，对于一个技术的改进可以很明显地区分是硬件上的改进(例如，对二极管、晶体管、开关等电路结构的改进)还是软件上的改进(对于方法流程的改进)。然而，随着技术的发展，当今的很多方法流程的改进已经可以视为硬件电路结构的直接改进。设计人员几乎都通过将改进的方法流程编程到硬件电路中来得到相应的硬件电路结构。因此，不能说一个方法流程的改进就不能用硬件实体模块来实现。例如，可编程逻辑器件(Programmable Logic Device,PLD)(例如现场可编程门阵列(Field Programmable GateArray，FPGA))就是这样一种集成电路，其逻辑功能由用户对器件编程来确定。由设计人员自行编程来把一个数字系统“集成”在一片PLD上，而不需要请芯片制造厂商来设计和制作专用的集成电路芯片。而且，如今，取代手工地制作集成电路芯片，这种编程也多半改用“逻辑编译器(logic compiler)”软件来实现，它与程序开发撰写时所用的软件编译器相类似，而要编译之前的原始代码也得用特定的编程语言来撰写，此称之为硬件描述语言(Hardware Description Language，HDL)，而HDL也并非仅有一种，而是有许多种，如ABEL(Advanced Boolean Expression Language)、AHDL(Altera Hardware DescriptionLanguage)、Confluence、CUPL(Cornell University Programming Language)、HDCal、JHDL(Java Hardware Description Language)、Lava、Lola、MyHDL、PALASM、RHDL(RubyHardware Description Language)等，目前最普遍使用的是VHDL(Very-High-SpeedIntegrated Circuit Hardware Description Language)与Verilog。本领域技术人员也应该清楚，只需要将方法流程用上述几种硬件描述语言稍作逻辑编程并编程到集成电路中，就可以很容易得到实现该逻辑方法流程的硬件电路。

控制器可以按任何适当的方式实现，例如，控制器可以采取例如微处理器或处理器以及存储可由该(微)处理器执行的计算机可读程序代码(例如软件或固件)的计算机可读介质、逻辑门、开关、专用集成电路(Application Specific Integrated Circuit，ASIC)、可编程逻辑控制器和嵌入微控制器的形式，控制器的例子包括但不限于以下微控制器：ARC625D、Atmel AT91SAM、Microchip PIC18F26K20以及Silicone Labs C8051F320，存储器控制器还可以被实现为存储器的控制逻辑的一部分。本领域技术人员也知道，除了以纯计算机可读程序代码方式实现控制器以外，完全可以通过将方法步骤进行逻辑编程来使得控制器以逻辑门、开关、专用集成电路、可编程逻辑控制器和嵌入微控制器等的形式来实现相同功能。因此这种控制器可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构。或者甚至，可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本说明书时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本领域内的技术人员应明白，本说明书实施例可提供为方法、系统、或计算机程序产品。因此，本说明书实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本说明书实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本说明书是参照根据本说明书实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本说明书可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本说明书，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置、设备、非易失性计算机存储介质实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

以上所述仅为本说明书的一个或多个实施例而已，并不用于限制本说明书。对于本领域技术人员来说，本说明书的一个或多个实施例可以有各种更改和变化。凡在本说明书的一个或多个实施例的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本说明书的权利要求范围之内。

Claims (17)

1.一种内容伪造攻击检测方法，包括：

确定训练得到的端云一体模型，所述端云一体模型包括端侧特征编码器、端侧伪造攻击分类器、云端特征编码器、云端伪造攻击分类器，所述端云一体模型是根据相应的分类损失和端侧稀疏约束训练得到的；

确定拆分部署了所述端云一体模型的客户端和云端，所述端侧特征编码器、所述端侧伪造攻击分类器部署于所述客户端，所述云端特征编码器、所述云端伪造攻击分类器部署于所述云端；

在所述客户端上获得待检测内容，通过所述端侧特征编码器对所述待检测内容进行编码，得到端侧特征，输入所述端侧伪造攻击分类器进行分类，得到第一分类结果；

若确定需要所述云端也参与检测，则将所述端侧特征转换后从所述客户端传输至所述云端，通过所述云端特征编码器进行编码，得到云端特征，输入所述云端伪造攻击分类器进行分类，得到第二分类结果；

根据所述第一分类结果和/或所述第二分类结果，判断所述待检测内容是否属于伪造攻击。

2.如权利要求1所述的方法，所述相应的分类损失包括以下至少一种：所述端侧伪造攻击分类器和所述云端伪造攻击分类器分别对训练样本的分类损失、所述端侧伪造攻击分类器和所述云端伪造攻击分类器加权后的对训练样本的联合分类损失；

所述端侧稀疏约束包括以下至少一种：所述端侧特征编码器的多个通道的权重稀疏约束、所述端侧特征编码器对训练样本编码得到的端侧特征的稀疏约束。

3.如权利要求2所述的方法，所述端侧稀疏约束至少包括所述端侧特征编码器的多个通道的权重稀疏约束；

所述确定训练得到的端云一体模型之前，所述方法还包括：

对于根据所述权重稀疏约束训练过的所述端侧特征编码器，将其多个通道中权重不高于相应的设定阈值的通道进行裁剪。

4.如权利要求1所述的方法，所述得到第一分类结果之后，所述方法还包括：

判断所述第一分类结果是否反映了所述待检测内容属于伪造攻击的可能性高于相应的设定阈值；

若是，则判断所述待检测内容属于伪造攻击；

否则，确定需要所述云端也参与检测。

5.如权利要求1所述的方法，所述根据所述第二分类结果，判断所述待检测内容是否属于伪造攻击，具体包括：

判断所述第二分类结果是否反映了所述待检测内容属于伪造攻击的可能性高于相应的设定阈值；

若是，则判断所述待检测内容属于伪造攻击。

6.如权利要求1所述的方法，所述将所述端侧特征转换后从所述客户端传输至所述云端，通过所述云端特征编码器进行编码，得到云端特征，具体包括：

确定训练得到的特征压缩模型；

将所述端侧特征输入所述特征压缩模型进行压缩；

将所述压缩得到的转换特征，从所述客户端传输至所述云端，通过相应的解码处理进行特征重建，再由所述云端特征编码器对所述重建得到的特征进行编码，得到云端特征。

7.如权利要求6所述的方法，所述特征压缩模型包括输入扰动器、特征压缩器、信道扰动模拟器、特征解码器，所述特征压缩模型是根据所述特征解码器对应的特征重建损失、所述输入扰动器对应的输入扰动一致性损失、所述信道扰动模拟器对应的信道扰动一致性损失训练得到的；

所述将所述端侧特征输入所述特征压缩模型进行压缩，具体包括：

将所述端侧特征输入所述特征压缩器进行压缩；

所述通过相应的解码处理进行特征重建，具体包括：

在所述云端输入所述特征解码器，通过相应的解码处理进行特征重建。

8.如权利要求1所述的方法，所述确定训练得到的端云一体模型之后，所述方法还包括：

若需要针对所述端云一体模型进行优化时，根据所述端侧特征编码器、所述云端特征编码器和所述云端伪造攻击分类器，构建临时简化模型；

根据相应的分类器损失，对所述临时简化模型进行优化训练，在所述优化训练的过程中，只更新处于所述云端的模块的权重。

9.一种内容伪造攻击检测装置，包括：

模型确定模块，确定训练得到的端云一体模型，所述端云一体模型包括端侧特征编码器、端侧伪造攻击分类器、云端特征编码器、云端伪造攻击分类器，所述端云一体模型是根据相应的分类损失和端侧稀疏约束训练得到的；

部署确定模块，确定拆分部署了所述端云一体模型的客户端和云端，所述端侧特征编码器、所述端侧伪造攻击分类器部署于所述客户端，所述云端特征编码器、所述云端伪造攻击分类器部署于所述云端；

端侧检测模块，在所述客户端上获得待检测内容，通过所述端侧特征编码器对所述待检测内容进行编码，得到端侧特征，输入所述端侧伪造攻击分类器进行分类，得到第一分类结果；

云端检测模块，若确定需要所述云端也参与检测，则将所述端侧特征转换后从所述客户端传输至所述云端，通过所述云端特征编码器进行编码，得到云端特征，输入所述云端伪造攻击分类器进行分类，得到第二分类结果；

结果判断模块，根据所述第一分类结果和/或所述第二分类结果，判断所述待检测内容是否属于伪造攻击。

10.如权利要求9所述的装置，所述相应的分类损失包括以下至少一种：所述端侧伪造攻击分类器和所述云端伪造攻击分类器分别对训练样本的分类损失、所述端侧伪造攻击分类器和所述云端伪造攻击分类器加权后的对训练样本的联合分类损失；

所述端侧稀疏约束包括以下至少一种：所述端侧特征编码器的多个通道的权重稀疏约束、所述端侧特征编码器对训练样本编码得到的端侧特征的稀疏约束。

11.如权利要求10所述的装置，所述端侧稀疏约束至少包括所述端侧特征编码器的多个通道的权重稀疏约束；

所述装置还包括：

训练裁剪模块，在所述确定训练得到的端云一体模型之前，对于根据所述权重稀疏约束训练过的所述端侧特征编码器，将其多个通道中权重不高于相应的设定阈值的通道进行裁剪。

12.如权利要求9所述的装置，所述结果判断模块，在所述得到第一分类结果之后，判断所述第一分类结果是否反映了所述待检测内容属于伪造攻击的可能性高于相应的设定阈值；

若是，则判断所述待检测内容属于伪造攻击；

否则，确定需要所述云端也参与检测。

13.如权利要求9所述的装置，所述结果判断模块，判断所述第二分类结果是否反映了所述待检测内容属于伪造攻击的可能性高于相应的设定阈值；

若是，则判断所述待检测内容属于伪造攻击。

14.如权利要求9所述的装置，所述云端检测模块，确定训练得到的特征压缩模型；

将所述端侧特征输入所述特征压缩模型进行压缩；

将所述压缩得到的转换特征，从所述客户端传输至所述云端，通过相应的解码处理进行特征重建，再由所述云端特征编码器对所述重建得到的特征进行编码，得到云端特征。

15.如权利要求14所述的装置，所述特征压缩模型包括输入扰动器、特征压缩器、信道扰动模拟器、特征解码器，所述特征压缩模型是根据所述特征解码器对应的特征重建损失、所述输入扰动器对应的输入扰动一致性损失、所述信道扰动模拟器对应的信道扰动一致性损失训练得到的；

所述云端检测模块，将所述端侧特征输入所述特征压缩器进行压缩；

所述云端检测模块，在所述云端输入所述特征解码器，通过相应的解码处理进行特征重建。

16.如权利要求9所述的装置，还包括：

模型优化模块，在所述确定训练得到的端云一体模型之后，若需要针对所述端云一体模型进行优化时，根据所述端侧特征编码器、所述云端特征编码器和所述云端伪造攻击分类器，构建临时简化模型；

根据相应的分类器损失，对所述临时简化模型进行优化训练，在所述优化训练的过程中，只更新处于所述云端的模块的权重。

17.一种内容伪造攻击检测设备，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够执行：

确定训练得到的端云一体模型，所述端云一体模型包括端侧特征编码器、端侧伪造攻击分类器、云端特征编码器、云端伪造攻击分类器，所述端云一体模型是根据相应的分类器损失和端侧稀疏约束训练得到的；

确定拆分部署了所述端云一体模型的客户端和云端，所述端侧特征编码器、所述端侧伪造攻击分类器部署于所述客户端，所述云端特征编码器、所述云端伪造攻击分类器部署于所述云端；

在所述客户端上获得待检测内容，通过所述端侧特征编码器对所述待检测内容进行编码，得到端侧特征，输入所述端侧伪造攻击分类器进行分类，得到第一分类结果；

若确定需要所述云端也参与检测，则将所述端侧特征转换后从所述客户端传输至所述云端，通过所述云端特征编码器进行编码，得到云端特征，输入所述云端伪造攻击分类器进行分类，得到第二分类结果；

根据所述第一分类结果和/或所述第二分类结果，判断所述待检测内容是否属于伪造攻击。

Images