《電子技術(shù)應(yīng)用》
您所在的位置：首頁(yè) > 其他 > 设计应用 > 一种利用类别显著性映射生成对抗样本的方法
一种利用类别显著性映射生成对抗样本的方法
信息技术与网络安全
叶启松，戴旭初
(中国科学技术大学 网络空间安全学院，安徽 合肥230026)
摘要： 如果对抗样本的迁移性越强，则其攻击结构未知的深度神经网络模型的效果越好，所以设计对抗样本生成方法的一个关键在于提升对抗样本的迁移性。然而现有方法所生成的对抗样本，与模型的结构和参数高度耦合，从而难以对结构未知的模型进行有效攻击。类别显著性映射能够提取出样本的关键特征信息，而且在不同网络模型中有较高的相似度。基于显著性映射的这一特点，在样本生成过程中，引入类别显著性映射进行约束，实验结果表明，该方法生成的对抗样本具有较好的迁移性。
中圖分類號(hào)： TP181
文獻(xiàn)標(biāo)識(shí)碼： A
DOI： 10.19358/j.issn.2096-5133.2021.06.002
引用格式： 葉啟松，戴旭初. 一種利用類別顯著性映射生成對(duì)抗樣本的方法[J].信息技術(shù)與網(wǎng)絡(luò)安全，2021，40(6)：9-14.
An adversarial example generation method based on class activation map
Ye Qisong，Dai Xuchu
(School of Cyberspace Security，University of Science and Technology of China，Hefei 230026，China)
Abstract： The adversarial examples, if their transferability is stronger, will be more effective to attack models with unknown structure. Therefore, a key to design adversarial examples generation method is to improve the transferability of adversarial examples. However, the existing method for generating adversarial examples are highly coupled with the structure and parameters of the local model, which make the generated adversarial examples difficult to attack other models. The class activation map can extract the key feature information of the example, and it has high similarity in different neural network models. Based on this observation, the class activation map is used to constrain the process of example generation. Experimental results show that the adversarial examples generated by this method have good transferability.
Key words : deep learning；security；adversarial example；transferability

0 引言

深度學(xué)習(xí)技術(shù)在計(jì)算機(jī)視覺(jué)、語(yǔ)音識(shí)別、自然語(yǔ)言處理等各個(gè)領(lǐng)域有著廣泛的應(yīng)用，然而有研究表明，深度神經(jīng)網(wǎng)絡(luò)具有一定的脆弱性[1]，該脆弱性使得深度神經(jīng)網(wǎng)絡(luò)容易受到攻擊，這一問(wèn)題引起了廣泛的重視。對(duì)抗樣本攻擊是攻擊深度神經(jīng)網(wǎng)絡(luò)的主要方法，該方法通過(guò)對(duì)原樣本添加微小的、不可察覺(jué)的擾動(dòng)生成對(duì)抗樣本，使得深度神經(jīng)網(wǎng)絡(luò)對(duì)該樣本做出錯(cuò)誤的預(yù)測(cè)。

對(duì)抗樣本的遷移性指針對(duì)結(jié)構(gòu)已知的深度神經(jīng)網(wǎng)絡(luò)模型生成的對(duì)抗樣本，能使得結(jié)構(gòu)未知的深度神經(jīng)網(wǎng)絡(luò)模型對(duì)該樣本做出錯(cuò)誤預(yù)測(cè)。如果對(duì)抗樣本有更好的遷移性，其就能更好地攻擊結(jié)構(gòu)和參數(shù)未知的模型，這也是利用對(duì)抗樣本進(jìn)行攻擊的主要應(yīng)用場(chǎng)景。攻擊者在擁有深度神經(jīng)網(wǎng)絡(luò)模型的結(jié)構(gòu)和參數(shù)信息的前提下進(jìn)行的對(duì)抗樣本攻擊，稱為在白盒條件下的對(duì)抗樣本攻擊?，F(xiàn)有的白盒條件下的對(duì)抗樣本攻擊方法雖然有較高的攻擊成功率，但是其生成的對(duì)抗樣本的遷移性較差，在主要的應(yīng)用場(chǎng)景中并不適用。遷移性差的主要原因在于，這類方法所生成的對(duì)抗樣本與模型的結(jié)構(gòu)和參數(shù)高度耦合，其擾動(dòng)難以對(duì)結(jié)構(gòu)和參數(shù)不同的其他模型進(jìn)行有效的干擾。遷移性差的這一缺點(diǎn)在目標(biāo)神經(jīng)網(wǎng)絡(luò)引入了防御方法時(shí)表現(xiàn)得更為明顯。





本文詳細(xì)內(nèi)容請(qǐng)下載：http://www.ihrv.cn/resource/share/2000003593




作者信息：

葉啟松，戴旭初

(中國(guó)科學(xué)技術(shù)大學(xué) 網(wǎng)絡(luò)空間安全學(xué)院，安徽 合肥230026)


此內(nèi)容為AET網(wǎng)站原創(chuàng)，未經(jīng)授權(quán)禁止轉(zhuǎn)載。

相關(guān)內(nèi)容