检索结果-南通市图书馆

针对对抗性样本的深度学习保护技术研究与实现

维普期刊数据库

同方期刊数据库评论

在线全文

学校读者我要写书评

暂无评论

针对对抗性样本的深度学习保护技术研究与实现

作者：何致远电子科技大学

学位级别：硕士

深度学习可以从原始输入特征中以更高和更抽象的层次表示来提取数据的复杂性,从而实现各种功能。这使得深度学习在各种领域中取得了重大进展:图像分类、对象识别、对象检测、语音识别、语言翻译和语音合成等。在大数据、硬件加速和学习... 详细信息

深度学习可以从原始输入特征中以更高和更抽象的层次表示来提取数据的复杂性,从而实现各种功能。这使得深度学习在各种领域中取得了重大进展:图像分类、对象识别、对象检测、语音识别、语言翻译和语音合成等。在大数据、硬件加速和学习算法的推动下,深度学习为不断增长的实际应用和系统提供了支持。智能语音助手,推荐系统和自动驾驶等系统正成为生活中不可或缺的部分。尽管在众多应用程序中都取得了巨大的成功,但最近的研究发现深度学习模型容易受到精心设计的输入样本的攻击。这些样本被称为对抗性样本,对抗性样本可以欺骗深度学习模型,但对人类的判断影响很小。为了更好的研究对抗性样本并有效的降低对抗性样本的危害,本文将重点关注于针对对抗性样本的保护技术的研究与实现。主要涉及基于细粒度检测的多版本防御技术,基于数据可解释性的主动防御优化方法和基于关键节点的对抗性攻击和防御方法的研究三个方面。首先,针对目前防御方法无法防御所有的对抗性样本攻击的问题,提出了基于细粒度检测的多版本对抗性防御方法。研究了典型的对抗性样本攻击的攻击性能和攻击特点,设计了一种基于范数的对抗性样本分类和定级规则,将现有的对抗性攻击分为六种类型。测试针对这六种对抗性样本攻击的十种典型防御方法的防御性能,并且推荐了针对每种类型对抗性攻击的最优防御方法。然后,针对对抗性样本被动防御方法的高时间成本问题,提出了一种基于数据可解释性的防御方法以低时间成本抵抗对抗性攻击。根据输入样本的可视化结果,提取其分类关键区域。在分类关键区域上进行了一系列输入转换。通过初步实验对基于数据可解释性的防御方法进行了评估,证明了该防御方法的有效性。最后,研究了使用关键神经元节点来加强对抗性样本攻击和防御。通过对对抗性扰动在深度神经网络模型的单层和多层中的传播进行建模,观察到关键神经元节点在扰动传播中起主要作用。基于此观察,提出基于关键神经元节点的非目标攻击和目标攻击,并进一步设计了基于关键神经元的对抗训练方法。通过实验对基于关键神经元节点的攻击和防御方法进行了评估,证明了这些方法的有效性。

关键词：对抗性样本对抗性攻击对抗性防御可解释性

基于神经元激活频率分析的测试用例优先级排序技术与对抗性样本预警

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

基于神经元激活频率分析的测试用例优先级排序技术与对抗性样本预...

作者：张凯北京工业大学

学位级别：硕士

深度学习系统越来越多的被部署在自动驾驶、医疗诊断等安全极其重要的应用中。为了确保深度学习系统的安全性,必须对深度学习系统进行系统的测试或形式化的验证。由于可扩展性的问题,形式化验证的方法很难得到广泛的采用,测试仍然是确... 详细信息

深度学习系统越来越多的被部署在自动驾驶、医疗诊断等安全极其重要的应用中。为了确保深度学习系统的安全性,必须对深度学习系统进行系统的测试或形式化的验证。由于可扩展性的问题,形式化验证的方法很难得到广泛的采用,测试仍然是确保深度学习系统安全性的主要方法之一。由于深度学习系统的输入空间非常巨大,为了确保测试的充分性,必须收集尽可能多的测试数据,这使得测试的成本和对测试用例进行标记的成本非常昂贵。为了减少测试成本,提高测试效率,本文对神经网络中神经元激活模式进行了经验研究,着重分析了神经元激活频率与数据类别之间的联系。基于此提出频繁激活神经元的概念,并将其应用到深度学习系统测试用例优先级排序以及对抗性样本预警中。测试用例优先级排序方法是基于训练集得到的神经元激活模式以及测试用例激活的神经元,计算每个测试用例激活的神经元与其所属类别的激活模式之间的相似度,相似度较低的测试用例更有可能暴露出深度学习系统错误,因此应该被赋予较高优先级。本文在三个主流的数据集上构建了多种不同结构模型验证方法的性能。实验结果表明,那些具有高优先级的测试用例更有可能被分类错误,同时也发现排序后的测试用例可迁移至同一数据集训练得到的其他模型上使用,并具有较高的检测效率。

关键词：深度神经网络测试用例优先级特征提取对抗性样本

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

防御性深度学习的对抗性样本生成研究

防御性深度学习的对抗性样本生成研究

作者：雷洪电子科技大学

学位级别：硕士

深度神经网络正在从基础研究到实际商业应用上发展,例如人脸识别、车牌识别、语音识别、文本翻译、姿态识别、目标检测等。然而,深度神经网络容易受到对抗性样本的攻击,这种攻击通过对输入图像添加简单的扰动来使模型分类错误。这一现... 详细信息

深度神经网络正在从基础研究到实际商业应用上发展,例如人脸识别、车牌识别、语音识别、文本翻译、姿态识别、目标检测等。然而,深度神经网络容易受到对抗性样本的攻击,这种攻击通过对输入图像添加简单的扰动来使模型分类错误。这一现象引起了学术和行业研究人员的关注,许多研究讨论了对深度神经网络分类器损害的新型攻击方法。这些攻击方法的增加促使了研究人员探索出缓解这些攻击方法的防御方法,也就是对抗性样本的防御策略。对抗性样本的防御提高了在不同应用中深度神经网络的可靠性。攻防相克,此消彼长,本文重点研究针对防御性深度学习模型的对抗性样本研究,主要涉及基于卷积神经网络的迭代训练攻击技术,基于多层感知机的对抗性补丁生成技术和基于Transformer的对抗性样本生成技术的研究。首先,针对对抗性训练的防御方法,提出了基于卷积神经网络的迭代训练攻击方法。研究了对抗性样本基于梯度迭代的攻击和对抗性网络生成对抗性样本的方法,改进并设计了最易扰动损失函数和卷积生成网络结构。在原来训练模型攻击方式下,提出了批量迭代训练的搜索算法。对当前局部最优解无法训练更新到全局最优解的问题进行分析,推荐使用了随机重启的算法。在MNIST和CIFAR10数据集的攻击实验中,攻击成功率超过同类方法4.02%和24.12%。然后,针对输入重构器转换的防御方法,提出了一种基于多层感知机的对抗性补丁生成方法。对抗性补丁是指对图像进行少量修改,以使机器学习模型产生错误分类结果的攻击方法,在本文中,对抗性补丁通过对抗性样本的生成技术来实现。本文主要研究了对抗性补丁对于输入重构器的影响,改进了生成对抗性补丁的算法和损失函数。通过多层感知机的结构,对输入图像特征提取了对抗性扰动信息,对抗性补丁的输入有效躲避了输入重构器的转换。最后,针对对抗性检测的防御方法,提出了基于Transformer结构的对抗性样本生成方法,借鉴了视觉分类任务中Transformer的结构,设计了Transformer对于对抗性样本生成的编码方法和图片输入位置嵌入方法。针对对抗性检测防御设计了基于Transformer的对抗性样本攻击算法,通过消融攻击实验和对抗性检测防御模型的实验评估了该方法的有效性,ADT在Safety Net的VGG模型的攻击实验上攻击成功率达到了97.4%。

关键词：深度神经网络防御模型对抗性样本对抗性攻击

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

基于再生网络的对抗性样本防御方法研究

基于再生网络的对抗性样本防御方法研究

作者：王天港哈尔滨工业大学

学位级别：硕士

随着人工智能的发展,人类社会无比依赖神经网络。其可帮助完成图像识别、语音识别、内容审核、智能推荐等任务,具有准确率高、速度快、成本低等优点。近年的研究表明,攻击者沿着使损失函数增加的方向,在测试样本上添加肉眼难以察觉的细... 详细信息

随着人工智能的发展,人类社会无比依赖神经网络。其可帮助完成图像识别、语音识别、内容审核、智能推荐等任务,具有准确率高、速度快、成本低等优点。近年的研究表明,攻击者沿着使损失函数增加的方向,在测试样本上添加肉眼难以察觉的细微扰动,可使神经网络预测完全出错。新生成的样本称为对抗性样本,其严重冲击了神经网络模型的安全性,因此急需开展防御方法研究,帮助模型正确预测。针对此问题,本文主要内容如下:第一,研究对抗性样本的成因及分布,调查对抗性样本生成方法的原理及流程,分析对抗性防御方法机理及效果,为之后研究做铺垫。第二,提出基于再生网络的对抗鲁棒性提升方法,以正确分类对抗性样本。此方法分数据与模型两模块分别处理,数据层面上比较选择高效的特征压缩方法,完成数据降噪。模型层面提出基于再生网络的防御模型,结合再生网络思想完成模型训练,结合随机平滑完成样本预测。并使用常见的图像分类数据集对各模块进行消融实验,证明各模块的重要性。并测试组合后的防御方法分类效果,通过与其他防御方法对比,证明此方法有效性。第三,设计并实现对抗性样本防御实验平台,提供选择数据集、设置对抗性样本生成方法、设置特征压缩方法、上传或训练防御模型、设置模型预测方法功能,并将测试结果以准确率的形式呈现给用户。结果表明,本文提出的基于再生网络防御方法可大幅提升模型对抗鲁棒性,正确预测对抗性样本。实现的实验平台可满足使用者需求,完成对抗性防御的研究。

关键词：对抗性样本特征压缩再生网络随机平滑

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

面向语音识别的对抗性样本安全问题研究

面向语音识别的对抗性样本安全问题研究

作者：鲁广哈尔滨工业大学

学位级别：硕士

深度学习技术的兴起,使以深度神经网络作为计算核心的语音识别得到了迅速发展。语音识别的高准确性及便利性吸引智能设备提供商,各种智能终端开始广泛地配备语音输入接口。然而,此前的研究表明,基于深度学习的语音识别系统容易受到恶意... 详细信息

深度学习技术的兴起,使以深度神经网络作为计算核心的语音识别得到了迅速发展。语音识别的高准确性及便利性吸引智能设备提供商,各种智能终端开始广泛地配备语音输入接口。然而,此前的研究表明,基于深度学习的语音识别系统容易受到恶意添加的微小扰动攻击。这种刻意制作的扰动添加到原始语音中生成的音频被称为语音对抗性样本,可致使语音识别模型错误输出,且不易被发现。为了提高语音识别系统的安全性,对语音对抗性样本安全问题的研究刻不容缓。本文首先对已提出的语音对抗性样本进行实验探究,发现其对语音重采样过程中产生的噪声和语音时序移位变换鲁棒性不足,甚至完全失去对抗性。因此,本文基于期望变化框架针对语音重采样中最常见的语音的噪声叠加和语音移位分别设计了鲁棒的语音对抗样本生成算法。其次,此前研究所针对的目标深度神经网络为循环神经网络,而目前将卷积神经网络应用于语音识别已成为趋势。因而,本文亦用鲁棒的语音对抗样本生成方法攻击基于卷积神经网络的语音识别系统,以验证本文方法的有效性。最后,为更深入分析研究语音对抗性样本安全问题,本文搭建了语音对抗性样本安全此时平台,平台集成了基于循环神经网络和卷积神经网络的语音识别模型。基于此平台,本文设置了一系列实验探究了不同参数对语音对抗性样本的鲁棒性、信噪比、生成成功率等的影响。实验表明,本文提出的鲁棒的语音对抗性样本生成方法能够有效攻击基于循环神经网络和卷积神经网路的语音识别系统,且生成的对抗性样本同时具有对噪声和语音移位的鲁棒性。此外,本文基于测试平台对语音对抗性样本进行了较全面的实验探究,得到了一些结论。

关键词：信息安全语音识别对抗性样本深度学习

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

音频对抗性样本的检测方法研究

音频对抗性样本的检测方法研究

作者：王子恒西安电子科技大学

学位级别：硕士

语音识别系统因为其较高的准确性和便捷的交互性已经深入到人类的日常生活中。例如,车载语音助手、家庭智能音箱、同声传译器和智能手机语音助手等等。但大量研究证明,语音识别系统容易遭受音频对抗性样本的影响。音频对抗性样本是将人... 详细信息

语音识别系统因为其较高的准确性和便捷的交互性已经深入到人类的日常生活中。例如,车载语音助手、家庭智能音箱、同声传译器和智能手机语音助手等等。但大量研究证明,语音识别系统容易遭受音频对抗性样本的影响。音频对抗性样本是将人类难以察觉的噪声扰动添加到正常的语音样本中而形成,能够欺骗语音识别模型将语音信息被错误的转录为攻击者想要的文本内容。例如,将用户的指令“手机锁屏”错误地识别为“上传个人信息”。研究人员针对对抗性攻击提出了许多基于音频信息修改的防御方案,但这些方案大多忽略了复杂的自适应攻击的威胁。当攻击者掌握了防御的逻辑与算法的细节时,可以将这些防御知识加入到制作对抗性样本的过程中,从而生成能够绕过防御的自适应对抗样本。为了更好地保障用户在使用语音识别技术时的安全以及语音识别技术在未来的发展,本文对自适应对抗样本的检测展开了研究。通过对现有的防御研究调研以及分析自适应对抗样本的特点,提出了针对自适应对抗样本的检测方案:基于随机方法的自适应对抗样本检测方案(Random MethodBased Adaptive Adversarial Example Detection,RM-AAED)。不同的音频修改方法在修改语音信息时丢失信息的逻辑是不同的,因此被不同音频修改方法修改的语音信息之间存在一定的差异性。此方案根据这一特点,提出了当某一种音频修改方法被攻击者使用复杂的自适应对抗样本绕过,可以使用其他的的音频修改方法来对语音进行信息重建,从而破坏自适应对抗样本的转录。为了增加音频修改方法的可选择性,本文提出了两种对抗性样本检测方法。(1)基于音频格式转换的对抗性样本检测方案(Audio Format Conversion-Based Adversarial Example Detection,AFC-AED)。该方案通过无损压缩转换到有损压缩的方法,破坏对抗性样本的转录,实现对抗性样本的检测。(2)基于神经网络驱动的音频编解码器的对抗性样本检测方案(Neural Network-Driven Audio Codec-Based Adversarial Example Detection,NNDAC-AED)。该方案利用编码器和量化的方法剔除语音不重要的信息,并利用神经网络重建音频。重建音频的过程中,信息的损失会破坏对抗性样本中的扰动,从而导致对抗性样本转录错误。实验数据表明,AFC-AED方案能够达到平均88.3%的对抗性样本检测成功率,NNDAC-AED方案实现了平均90.2%的检测成功率,RM-AAED方案针对自适应对抗样本的检测可以达到平均80%、最高93.5%的检测成功率。接着,为了进一步提高检测自适应对抗样本的能力,提出了一个灵活统一的自适应对抗样本检测框架(Flexible and Unified Adaptive Adversarial Example Detection,FU-AAED)。该框架主要提出了两大模块,实现了扩大音频信息修改的随机性和提高了检测的可靠性。(1)提出了基于随机参数的自适应对抗样本检测方案(Random Parameters-Based Adaptive Adversarial Example Detection,RP-AAED)。通过研究分析,音频修改函数存在多个有效参数,即在有效参数下,音频修改函数可以在不破坏良性样本转录的情况下,破坏对抗性样本的转录。同一种音频转换函数在不同的有效参数下对语音信息的损失存在一定的差异,因此利用不同的参数对语音信息的损失不同,可以对自适应对抗样本进行检测。同时,通过将RP-AAED方案与RM-AAED方案进行融合,形成了随机性更强的音频修改方法,提高了破坏对抗性扰动的能力。(2)提出了音频修改方法组与和投票机制的方法。通过随机组合多个(>2)音频修改方法同时对对抗性样本进行检测,并通过投票确定最终的检测结果。该模块能够在提高检测能力的同时,提高检测的可靠性。实验数据表明,FU-AAED框架在不少于三个音频修改方法参与自适应对抗性样本检测与投票的情况下,可以达到平均89%、最高95.7%的检测准确率。同时对于简单的对抗性攻击,也能够达到最高97.4%的检测成功率。

关键词：语音识别对抗性样本自适应攻击音频信息修改

路径规划中的价值迭代网络对抗性样本生成研究

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

路径规划中的价值迭代网络对抗性样本生成研究

作者：刘京京北京交通大学

学位级别：硕士

当前,机器学习领域内的研究大多关注如何对机器学习的算法、模型进行优化,而忽略了模型的安全性问题。尽管在输入理想的样本时,这些模型有着近乎完美的表现,但在实际环境中,这些模型在训练阶段和模型推理阶段都有可能受到对抗性样本攻... 详细信息

当前,机器学习领域内的研究大多关注如何对机器学习的算法、模型进行优化,而忽略了模型的安全性问题。尽管在输入理想的样本时,这些模型有着近乎完美的表现,但在实际环境中,这些模型在训练阶段和模型推理阶段都有可能受到对抗性样本攻击。本文以机器人路径规划问题为对抗性攻击的应用场景,强化学习模型价值迭代网络(ValueIteration Network,VIN)为攻击目标,进行对抗性样本生成方法的研究。本研究以VIN模型实现的机器人路径规划为基础,分别提出了在黑盒和白盒两种场景下的对抗性样本生成方法。基于黑盒场景,分析了 VIN模型进行路径规划的样本,提出了黑盒场景下的对抗性样本生成方法。文中提出了攻击点威胁值的定义并给出了计算规则,综合了可攻击点与原路径、终点、以及原路径拐点之间的距离三条因素量化计算规则。在仅添加一个攻击点的情况下,黑盒场景下提出的对抗性样本生成方法的准确率为34.54%。基于白盒场景,提出了单步攻击和多步攻击两种对抗性样本生成方法。在单步攻击方法中,通过分析VIN模型的价值矩阵、寻路失败样本的特征和添加攻击点前后价值矩阵的变化,得出攻击点发现方法。方法中综合了价值矩阵和原路径的双重影响,找出添加干扰后可能使模型寻路陷入困境的攻击点。在仅添加一个攻击点的情况下,单步攻击方法的准确率为65.71%。在多步攻击方法中,首先不断的输入对抗性样本,向模型发起寻路请求,推测出可攻击点与样本价值矩阵的内在关联。然后根据可攻击点的特征,将样本划分栅格并计算区域价值平滑度,缩小可攻击点选取范围。多步攻击生成对抗性样本方法的准确率可达92.53%。本研究的主要贡献为:基于黑盒和白盒两种场景,提出了针对VIN路径规划模型生成对抗性样本的方法,模拟了 VIN在模型推理阶段受到恶意攻击的情况。实验结果表明本文所生成的对抗性样本会使VIN模型出现寻路错误,这证明了 VIN确实存在着安全性的问题,并且本文所提出的对抗性样本生成方法确实有效。

关键词：强化学习对抗性样本模型安全价值迭代网络路径规划

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

点云对抗性样本生成的研究与实现

点云对抗性样本生成的研究与实现

作者：边晨电子科技大学

学位级别：硕士

深度神经网络已经在自动驾驶、机器人和虚拟现实等领域的感知任务中展现出令人印象深刻的成功。然而,这些网络容易受到敌意攻击,导致目标系统行为异常。针对深度神经网络的攻击主要有两种手段:对抗性样本攻击和神经网络后门攻击。随着... 详细信息

深度神经网络已经在自动驾驶、机器人和虚拟现实等领域的感知任务中展现出令人印象深刻的成功。然而,这些网络容易受到敌意攻击,导致目标系统行为异常。针对深度神经网络的攻击主要有两种手段:对抗性样本攻击和神经网络后门攻击。随着深度学习和激光雷达等3D传感器的结合,点云深度学习被越来越广泛地应用于各种安全关键应用。不幸的是,点云神经网络也受到恶意示例攻击的严重威胁,这会增加安全关键场景中的风险,并可能导致严重的安全事故。首先,本文提出了一种快速生成3D点云对抗性样本的方法。该方法包括自组织映射图编码网络和双流程解码网络。自组织映射图编码网络使用自组织映射图将原始点云分组,提取全局特征,并将其合并为一个向量,以快速有效地将点云编码为全局特征。双流程解码网络使用卷积分支和全连接分支生成对抗性样本,并将其合并以生成最终的对抗性样本。这种方法可以快速恢复点云的全局要素为三维点云,并在恢复过程中引入对抗性损失,使恢复后的三维点云能够欺骗分类器。此外,该方法几乎不依赖于受害者网络,可以更广泛地应用于不同网络。然后,本文提出了一种针对点云深度学习后门攻击的点云对抗样本方法。类似于对图像分类网络的后门攻击,本文的攻击方法旨在让3D点云分类器在训练期间学习将带有触发器的样本误分类为攻击者所设置的目标类别。当测试数据中包含带有触发器的样本时,网络会将其错误分类为攻击者所设定的类别。本文方法对触发器嵌入的形状点云密度和空间位置进行了优化,以实现更好的攻击性能。最后,基于提出的点云对抗性样本生成方法,设计了一套软硬件协同的点云对抗性样本生成系统。该系统包括点云采集模块、对抗性样本生成模块、计算负载调度模块和对抗性样本输出模块。针对边缘计算可能无法快速生成对抗性样本的问题,我们提出了计算负载调度模块来解决这个问题。最后,我们还添加了一个测试对抗性样本性能的对抗性样本测试模块,该系统可以独立采集数据并在边缘端快速输出点云对抗性样本。综上所诉,本文主要研究了点云深度神经网络的安全问题,包括神经网络的对抗性样本和后门攻击,以及点云对抗性样本生成算法的系统部署和实现。本文的研究成果在点云对抗性样本的生成和点云后门攻击方面具有一定的参考价值,并为点云对抗性样本的实际使用和系统部署提供了一定的参考意见。

关键词：计算机视觉深度神经网络对抗性样本后门攻击

基于对抗性样本检测与还原的安全图像分类器的研究与实现

在线全文

同方学位论文库

学校读者我要写书评

暂无评论

基于对抗性样本检测与还原的安全图像分类器的研究与实现

作者：陈俊航广东技术师范大学

学位级别：硕士

神经网络等机器学习模型在一系列的分类任务中表现突出,其应用也日益广泛。但是有研究表明,神经网络等模型的安全性是很脆弱的,其分类结果易受对抗性样本的影响,即会以很高的概率出现错误分类的情况,产生逃逸攻击并进一步对安全造成威... 详细信息

神经网络等机器学习模型在一系列的分类任务中表现突出,其应用也日益广泛。但是有研究表明,神经网络等模型的安全性是很脆弱的,其分类结果易受对抗性样本的影响,即会以很高的概率出现错误分类的情况,产生逃逸攻击并进一步对安全造成威胁。根据分类器模型和数据集的特性,有许多生成对抗性样本的方法,为了防御尽可能多种类型的对抗性样本,本文在前人的基础上提出了针对不同类型的对抗性样本的防御框架,以构建安全的图像分类器。本文分析了国内外的相关研究成果,研究了神经网络框架,探讨了对抗性样本攻击与防御方法。常见的MagNet和FeatureSqueezing等方法,是在样本进入到分类器之前增加自编码器作为过滤装置,并利用不同类型的样本在经过自编码器(AutoEncoder,AE)和分类器之后所产生的差异性以检测对抗性样本,但是检测出来的对抗性样本并不做进一步的处理。为了克服它的不足,本文提出了一种框架,利用对抗性样本和正常样本在经过变分自编码器(Variational AutoEncoder,VAE)的隐藏层时所产生的散度的差异作为检测的指标,并进一步改变对抗性样本的散度,从而重构出正常的样本,以提高分类器的准确率。框架由变分自编码器和卷积神经网络(Convolutional Neural Network,CNN)两种神经网络模型组成,VAE作为检测器和还原器被放在CNN之前,CNN作为分类器用于样本的分类。检测的方法是基于正常样本和对抗性样本散度的区别,利用VAE来检测对抗性样本;而还原的方法是通过VAE改变对抗性样本的散度以去除对抗性扰动,并将其重构为正常样本。该框架不仅能用于对抗性样本的检测,并能够进一步将对抗性样本还原成正常样本,提高了分类器的准确率,防止了逃逸攻击。实验结果表明,训练后的VAE能够帮助CNN正确分类,最优的ROC-AUC能达到0.94,表明该框架能够区分对抗性样本和正常样本,并能够将对抗性样本还原为正常样本,使得对抗性样本经过还原操作后再输入到分类器的分类准确率有了2%-10%的提高,实现了一个安全的图像分类器。

关键词：神经网络变分自编码器对抗性样本