王滨，陈靓，钱亚冠，郭艳凯，邵琦琦，王佳敏

面向对抗样本攻击的移动目标防御

王滨1,2,3，陈靓1，钱亚冠1，郭艳凯1，邵琦琦1，王佳敏1

（1. 浙江科技学院大数据学院，浙江 杭州 310023； 2. 浙江大学电气工程学院，浙江 杭州 310058；3. 海康威视数字技术有限公司网络与信息安全实验室，浙江 杭州 310058）

深度神经网络已被成功应用于图像分类，但研究表明深度神经网络容易受到对抗样本的攻击。提出一种移动目标防御方法，通过Bayes-Stackelberg博弈策略动态切换模型，使攻击者无法持续获得一致信息，从而阻断其构建对抗样本。成员模型的差异性是提高移动目标防御效果的关键，将成员模型之间的梯度一致性作为度量，构建新的损失函数进行训练，可有效提高成员模型之间的差异性。实验结果表明，所提出的方法能够提高图像分类系统的移动目标防御性能，显著降低对抗样本的攻击成功率。

对抗样本；移动目标防御；Bayes-Stackelberg博弈

1 引言

随着人工智能的发展，基于深度神经网络（DNN）的图像分类技术被成功应用到多种任务中，如手写字体识别[1]、自动监控的对象分类[2]和自动驾驶[3]等。最近的研究表明，DNN存在严重的安全脆弱性，即在输入图像上添加一些精心设计的、不被人眼察觉的扰动，可欺骗DNN错误分类。这种添加了恶意扰动的样本被称为对抗样本[4]。对抗样本的出现限制了DNN在安全敏感领域的广泛应用。为了更好地防御对抗样本，研究人员提出对抗训练防御方法[5]，将对抗样本注入训练数据，从而增强DNN的鲁棒性。……