一种面向艺术图像分类的对抗迁移攻击方法

本发明属于计算机视觉安全，具体涉及一种面向艺术图像分类的对抗迁移攻击方法。

背景技术：

1、随着深度学习技术的快速发展，卷积神经网络在图像分类任务中取得了显著成功，被广泛应用于艺术图像分类领域，用于识别绘画风格、艺术家流派、艺术介质等视觉特征。然而，艺术图像分类系统在实际应用中面临着对抗攻击的安全威胁，攻击者可以通过对输入图像施加精心设计的微小扰动，诱使深度神经网络产生错误分类，从而严重损害艺术图像分类系统的可靠性与安全性。

2、对抗攻击技术自goodfellow等人提出快速梯度符号法（fast gradient signmethod, fgsm）以来，经历了从单步方法到多步迭代方法的发展。投影梯度下降法(projected gradient descent, pgd）将迭代式攻击推广为通用对抗攻击框架，通过多步小幅度梯度更新并投影至扰动约束范围内，有效提升了攻击强度。动量迭代法（momentumiterative methods, mim）引入动量机制，融合历史梯度方向以稳定更新方向，减弱局部噪声梯度震荡。上述方法均为白盒攻击方法，要求攻击者能够获取目标模型的完整梯度信息，而在实际对抗场景中，目标模型的结构与参数往往不可知。

3、为此，迁移攻击技术应运而生，其核心思路为：允许攻击者首先在可访问梯度的替代模型上生成对抗样本，再将其直接用于攻击未知结构的目标黑盒模型。该方法无需大量访问目标系统接口，在实际场景中具有更强的可实施性。迁移攻击能够成立的根本原因在于：不同模型虽然结构不同，但往往习得部分共享的判别模式和脆弱方向。针对迁移攻击需求，研究者提出了输入多样化策略（diversity input, di）、平移不变策略（translationinvariant, ti）、尺度增强等方法，其中组合攻击方法（diverse input–translationinvariant–momentum iterative, dtmi）通过综合输入多样化、平移不变和动量迭代三大策略成为当前迁移攻击的强基线。

4、特征攻击技术将对抗攻击从仅作用于模型最终输出扩展到中间层激活响应，通过扰动关键激活模式来影响模型判别。中间层特征包含更多纹理、结构、部件等信息，部分高层特征在不同模型间具有更强的共享性，直接对这些特征进行干预有助于提升迁移效果。现有特征攻击主要分为约束特征相似性或特征偏离、局部区域引导攻击以及特征增强与特征去耦几类做法。然而，艺术图像分类具有其特殊性：自然图像的分类主要依赖物体类别与场景语义，而艺术图像更依赖纹理组织、笔触变化、色彩关系与风格结构等中高层的视觉线索。现有迁移攻击方法在艺术图像分类场景下存在明显局限：一方面，仅依赖输出层分类损失的攻击方式容易使扰动过度贴合源替代模型的私有脆弱方向，削弱了跨模型迁移效果；另一方面，现有特征攻击方法对中间层特征的利用不够充分，未能有效定位与目标对抗类别预测最相关的关键区域，导致攻击的精准性和迁移能力受限。

技术实现思路

1、为解决上述技术问题，本发明提供了一种面向艺术图像分类的对抗迁移攻击方法。

2、本发明所述的一种面向艺术图像分类的对抗迁移攻击方法，包括以下步骤：

3、步骤1、获取原始艺术图像样本、替代模型和目标对抗类别，其中所述替代模型为在艺术图像数据集上微调的卷积神经网络，用于对艺术图像进行分类识别；所述目标对抗类别为期望目标模型将原始艺术图像样本误分类成的指定类别，且与原始艺术图像样本的真实类别不一致；

4、步骤2、在所述替代模型的多个中间层中，计算目标对抗类别损失关于各中间层特征图的梯度响应，并根据所述梯度响应构造目标特征掩码，标识对目标预测有正向贡献的关键区域；

5、步骤3、以自适应概率触发特征混合操作，根据替代模型上的当前攻击成功率动态调整自适应概率；

6、步骤4、当触发所述特征混合操作时，根据所述目标特征掩码执行特征混合：对于掩码值为1的关键区域，使用干净样本的中间层特征；对于掩码值为0的其他区域，使用对抗样本的中间层特征；当未触发所述特征混合操作时，直接使用对抗样本的中间层特征；

7、步骤5、采用直通式梯度传播机制进行反向传播，其中在触发特征混合的中间层，绕过混合操作的梯度断点，直接使用损失关于混合特征的梯度替代关于对抗特征的梯度；

8、步骤6、基于所述梯度采用动量迭代优化方式更新对抗扰动，并将更新后的对抗样本投影回预设的扰动约束范围；

9、步骤7、重复步骤2至步骤6，直至达到预设的迭代次数，得到原始艺术图像样本对应的对抗样本。

10、进一步地，所述步骤2中，目标特征掩码构造方法为在替代模型的中间层中定位与目标预测最相关的关键区域，为后续特征层干预提供精准的作用靶点。

11、具体的，给定替代模型、输入样本和目标对抗类别，选取若干具有代表性的中间层，计算目标对抗类别损失关于该层特征图的梯度响应，其计算公式为：

12、，

13、其中，表示第层特征图各位置对目标预测的梯度响应，f表示替代模型，表示输入样本，表示目标对抗类别，表示分类损失函数，表示输入样本经模型第层后的中间层特征图，，为偏导符号。梯度响应的大小反映了不同位置对目标预测的敏感程度，越大说明该位置特征对目标预测影响越显著。

14、计算贡献度的方法可以间接地解决基于梯度的迁移攻击方法无法提取目标类特征的问题。数值越大的区域则表示特征图对应的区域在模型输出目标类的贡献度越大。

15、构造二值掩码，取梯度响应为正的位置标记为关键区域，其计算公式为：

16、，

17、其中，为指示函数，为与特征图同维度的二值张量。掩码值为1表示该位置对目标预测有正向贡献（关键区域），掩码值为0表示对目标预测无贡献或者反向贡献。在后续特征混合过程中，关键区域使用干净特征引导，以保留稳定的目标相关激活；其他区域则保留对抗特征自身响应。

18、进一步地，本发明的自适应概率调度机制（auto-p）是控制特征混合强度的自适应机制，其核心作用是平衡两种失效风险：当特征混合强度过高时，对抗样本的前向传播中混入过多干净特征，导致替代模型的梯度信号向真实标签方向偏移，攻击失效；当特征混合强度过低时，对抗特征主导前向过程，扰动过度拟合替代模型的私有脆弱方向，跨模型迁移能力受限。auto-p通过动态调整混合触发概率，在二者之间保持自适应平衡。

19、步骤3中自适应概率的调整方式包括：

20、设当前批次的误分类样本数为，总样本数为，预设成功率为阈值，当时，表明当前攻击成功率较低，此时提高混合触发概率p，借助干净特征的引导作用避免扰动过度拟合替代模型；当时，表明攻击成功率偏高，此时降低混合触发概率p，以避免对抗样本过度偏向真实标签；其中，初始概率，，，步长为0.01。

21、在攻击初期，成功率较低时通过高混合概率借助干净特征引导，防止扰动过早过拟合替代模型；在攻击中后期，成功率提升后逐步降低混合概率，避免干净特征过度稀释梯度信号导致攻击失效。

22、进一步地，步骤4中，本发明采用掩码引导的特征混合，其前向传播公式为：

23、，

24、其中，表示混合后的第层特征，表示第层的目标特征掩码，表示干净样本的第层特征，表示对抗样本的第层特征，表示逐元素乘法运算。关键区域（）使用干净特征引导，非关键区域（）保留对抗特征。

25、进一步地，步骤5中，在反向传播阶段，当特征掩码触发混合操作时，采用直通式梯度传播机制（straight-through, st）。该机制的核心在于：前向传播与反向传播采用不同的数据路径，在保持特征混合效果的同时确保梯度正确回传至输入层。具体地：依据步骤4中计算的前向传播公式，并根据链式求导法则，损失函数关于对抗特征的标准反向传播梯度为：

26、，

27、当掩码（即关键区域）时，有，表明关键区域的对抗特征无法接收梯度信号，梯度在该位置被完全阻断，形成“梯度断点”。这导致扰动在关键区域无法得到有效更新，攻击效果受限。

28、针对上述梯度断点问题，本发明的直通式梯度传播机制在反向传播阶段忽略掩码的影响，直接用损失关于混合特征的梯度替代关于对抗特征的梯度，即：

29、，

30、其物理含义是：前向传播阶段仍按照公式执行标准的特征混合（关键区域用干净特征替换），使前向特征分布得到改善；反向传播阶段则绕过该混合操作，直接将梯度传回给对抗特征，使所有空间位置（包括关键区域和非关键区域）上的梯度均能正常回传至输入层。

31、进一步地，步骤6中，动量迭代优化的更新公式为：

32、，

33、其中，表示第次迭代的累积动量，表示动量衰减系数，表示梯度，表示分类损失，表示步长，表示投影操作，表示以原始样本为中心、为半径的扰动约束范围。

34、动量更新机制通过在每轮梯度更新中引入上一轮梯度的加权项，能够有效避免当前扰动优化陷入局部最优点。该方式利用历史梯度的方向信息，引导优化过程跨越局部极小区域，从而获得全局或次优解，增强对抗样本在多模型间的泛化能力。

35、进一步地，在所述步骤2至步骤6的迭代过程中，在每次迭代开始前对当前对抗样本进行输入增强操作，所述输入增强包括以下至少一种：

36、（1）随机水平翻转；

37、（2）在图像宽/高的±5%范围内随机平移；

38、（3）对亮度、对比度、饱和度进行±10%范围内的随机扰动。

39、本发明所述的有益效果为：

40、1）本发明所述方法通过目标特征掩码在替代模型中间层精准定位与目标预测最相关的关键区域，为攻击过程提供稳定的特征选择依据，使扰动更新方向在输出层损失引导之外，额外获得目标表征层面的锚定效应；

41、2）通过自适应概率调度机制，根据替代模型上的当前攻击成功率动态调整特征混合强度，在攻击初期防止扰动过拟合替代模型，在攻击后期避免梯度信号被干净特征过度稀释，有效平衡替代模型收敛性与跨模型迁移泛化能力；

42、3）通过掩码引导的干净/对抗特征选择性混合，在关键区域部分保留干净样本的中间层表示，改善前向特征分布，间接增强扰动在替代模型上的信号质量；保留关键区域干净特征的本质是在特征空间层面施加"迁移性正则化"，抑制扰动向替代模型私有脆弱方向过度演化；

43、4）通过直通式梯度传播确保在特征混合过程中梯度能够正确回传至输入层，避免梯度断点导致的更新失效，保证对抗扰动的有效优化；

44、5）通过轻量级输入增强进一步提升对抗方向在局部颜色变化和细微空间扰动下的稳定性，避免强随机增强对中间层特征引导作用的过度稀释。