刘枭天，郝晓燕，马 垚，于 丹，陈永乐

(太原理工大学 信息与计算机学院，山西 晋中 030600)

0 引 言

目前，投毒防御是对机器学习模型在训练阶段遭受攻击的主要防御方式，针对数据投毒攻击的通用防御方法主要有两种，一是Diakonikolas等[1]提出的Sever，该算法使用基础学习器实现投毒防御；二是Chen等[2]提出的De-Pois，通过比较模型之间的预测差异，实现投毒防御。已有的通用防御方法主要存在的问题如下：①均难以保证数据集不被污染，需要在保证数据集“干净”的前提下进行防御；②均难以对未知模型进行防御。

针对机器学习数据集安全方面的问题，考虑对数据集中的样本进行检测，剔除数据集中的恶意样本，从而保证数据集的“干净”。在数据集制作过程中，一些离群点、异常值，即扰动较大的恶意样本可以通过数据清洗等方式剔除出去，但只添加极少扰动的样本——投毒样本却仍存在于数据集中。在数据投毒攻击领域，投毒样本经模型训练后，改变了模型分类边界，从而降低模型的预测准确率，由于投毒样本中添加的扰动很小，投毒样本原有的特征并没有大幅度改变。受此启发，将投毒样本的原生特征与人为特征分离后，提高模型对样本原生特征的训练权重，即可实现样本的正确分类。

基于此，本文设计一种投毒样本原生特征的提取方法，采用耦合infoGAN结构实现样本原生特征与人为特征的分离与提取；构建了一个重构投毒样本的原生特征的网络框架，实现对投毒样本的检测及对机器学习模型的防御。……