张世辉,张晓微,宋丹丹,路佳琪

(1.燕山大学 信息科学与工程学院,河北 秦皇岛 066004;2.燕山大学 河北省计算机虚拟技术与系统集成重点实验室,河北 秦皇岛 066004)

0 引言

目前,人工智能领域的安全问题广受关注[1-2]。深度学习作为人工智能的一个重要分支,在图像分类[3]、语音识别[4]、生物科学[5]和目标检测[6]等领域具有广泛应用。在深度学习带来极大便利的同时,研究者发现深度学习模型极易受到对抗样本的攻击[7-8]。攻击方通过对原始样本进行人类视觉系统不易察觉的修改,从而生成可诱导深度学习模型误分类的对抗样本,使得深度学习在高安全性需求场景中的部署和应用面临巨大挑战。因此,关于对抗样本生成问题的研究具有重要的现实意义和学术价值。

现有对抗样本生成方法根据目标网络信息的已知程度,可分为基于白盒的对抗样本生成方法和基于黑盒的对抗样本生成方法。其中,基于白盒的对抗样本生成方法[9-12]已知目标网络的结构和参数,该类方法主要通过求解目标网络的梯度信息生成扰动,并将生成的扰动添加至原始输入样本进而生成对抗样本。本文所提对抗样本生成方法主要面向黑盒模型,因此下面侧重于基于黑盒的对抗样本生成方法的描述。

在实际应用场景中,攻击方除目标网络的输入输出结果外通常无法获得其他信息,故基于黑盒的对抗样本生成方法可代表更一般的应用场景。2018 年,Dong 等人[13]将动量项整合至……