(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111672727.0 (22)申请日 2021.12.31 (71)申请人 北京瑞莱智慧科技有限公司 地址 100084 北京市海淀区中关村东路1号 院8号楼19层A1901 (72)发明人 田天　其他发明人请求 不公开姓名　 (74)专利代理 机构 北京箴思知识产权代理有限 公司 11913 代理人 李春晖　谭艳 (51)Int.Cl. G06F 21/64(2013.01) G06K 9/62(2022.01) G06V 10/74(2022.01) G06V 10/82(2022.01) G06N 20/00(2019.01)G06N 3/08(2006.01) (54)发明名称 对抗图像生成方法、 装置及存 储介质 (57)摘要 本申请涉及计算机视觉领域， 提供了一种对 抗图像生成方法、 装置及存储介质。 该方法包括： 获取掩码概率分布、 对抗扰动和原始图像； 从所 述掩码概率 分布中采样得到多个第一掩码； 分别 根据所述多个第一掩码， 将所述对抗扰动添加至 所述原始图像， 得到多个候选对抗图像； 分别计 算所述多个候选对抗图像与目标图像的相似度； 根据多个所述相似度， 计算相似度期望； 若所述 相似度期望未达到预设阈值， 则更新所述掩码概 率分布， 直至重新采样生 成的候选对抗图像与目 标图像的相似度期望达到预设阈值， 并基于更新 后的掩码概率分布确定第二掩码， 根据所述第二 掩得到目标对抗图像。 本申请的实施例使用概率 分布来确定稀 疏的掩码， 能够高效地得到稀 疏对 抗图像。 权利要求书2页 说明书17页 附图8页 CN 114297730 A 2022.04.08 CN 114297730 A 1.一种对抗图像生成方法， 包括： 获取掩码概 率分布、 对抗扰动和原 始图像； 从所述掩码概率分布中采样得到多个第 一掩码， 所述第 一掩码用于确定所述对抗扰动 在所述原 始图像上的叠加位置； 分别根据所述多个第一掩码， 将所述对抗扰动添加至所述原始图像， 得到多个候选对 抗图像； 分别计算所述多个候选对抗图像与目标图像的相似度； 根据多个所述相似度， 计算基于所述掩码概率分布采样得到的第一掩码， 将所述对抗 扰动添加至所述原 始图像后得到的候选对抗图像与目标图像的相似度期望； 若所述相似度期望未达到预设阈值， 则更新所述掩码概率分布， 直至基于更新后的掩 码概率分布， 重新采样生成的候选对抗图像与目标图像的相似度期望达到预设阈值， 并基 于更新后的掩码概率分布确定第二掩码， 根据所述第二掩码将所述对抗扰动添加至所述原 始图像， 得到目标对抗图像。 2.如权利要求1所述的对抗图像生成方法， 其中， 所述掩码概率分布包括至少一个无界 参数， 所述无界参数通过 下述步骤获取： 根据掩码概率分布的类型获取至少一个初始参数， 所述至少一个初始参数 唯一确定所 述掩码概 率分布； 若所述至少一个初始参数中存在取值范围不符合预设数值范围的第 一参数， 则将映射 入所述预设数值范围的第一 参数作为所述掩码概 率分布的无界参数； 若所述至少一个初始参数中存在取值范围符合所述预设数值范围的第 二参数， 则将所 述第二参数作为所述掩码概 率分布的无界参数。 3.如权利要求2所述的对抗图像生成方法， 其中， 若所述相似度期望未达到预设阈值， 则更新所述掩码概率分布， 直至基于更新后的掩码概率分布， 重新采样生成的候选对抗图 像与目标图像的相似度期望达到预设阈值， 并基于更新后的掩码概率分布确定第二掩码， 根据所述第二掩码 将所述对抗扰动添加至所述原 始图像， 得到目标对抗图像： 若所述相似度期望未达到预设阈值， 则更新所述掩码概率分布和所述对抗扰动， 直至 基于更新后的掩码概率分布和对抗扰动， 重新采样生成的候选对抗图像与目标图像的相似 度期望达到预设阈值， 并基于更新后的掩码概率分布确定第二掩码， 根据所述第二掩码将 更新后的对抗扰动添加至所述原 始图像， 得到目标对抗图像。 4.如权利要求3所述的对抗图像生成方法， 其中， 所述更新所述掩码概 率分布， 包括： 根据所述相似度期望分别估计所述掩码概 率分布的各个无界参数的第一梯度； 基于各个第一梯度的方向， 更新对应的无界参数； 所述更新所述对抗扰动， 包括： 根据所述相似度期望计算所述对抗扰动的第二梯度； 基于第二梯度的方向， 更新所述对抗扰动。 5.如权利要求4所述的对抗图像生成方法， 其中， 所述掩码概率分布为伯 努利分布， 从 所述掩码概 率分布中采样得到多个第一掩码， 包括： 从伯努利分布Bern(g( θm))中进行k 次采样， 得到k个第 一掩码， 其中， g( ·)＝1/2(tanh (·)+1)为归一化函数， 0＜g( θm)＜1， g( θm)表示伯努利分布中的变量为0或1的概率， θm为所权　利　要　求　书 1/2 页 2 CN 114297730 A 2述无界参数； 根据所述相似度期望估计所述掩码概 率分布的无界参数的第一梯度， 包括： 采用以下 方式估计所述伯努利分布的无界参数θm的梯度： 其中， mj表示当前迭代 轮次从所述掩码概率 分布中采样得到的第j个第一掩码， p为 当前 迭代轮次的对抗扰动， F(mj， p； c)表示按照所述第一掩码将所述对抗扰动叠加至原始图像 后得到的候选对抗图像， 与目标图像的相似度。 6.如权利要求1 ‑5中任一项所述的对抗图像生成方法， 其中， 所述对抗扰动通过预设的 生成式模型获取， 在更新所述对抗扰动时， 通过更新所述生成式模型 的隐变量来更新所述 对抗扰动。 7.如权利要求1 ‑5中任一项所述的对抗图像生成方法， 其中， 所述第一掩码为掩码矩 阵； 所述第一掩码与所述原始图像的尺寸相同， 所述第 一掩码中的每个元素与 所述原始图 像中的每 个像素一一对应； 或 所述第一掩码的尺寸小于所述原始图像的尺寸， 所述第 一掩码中的每个元素与所述原 始图像中的多个相邻像素对应。 8.一种对抗图像生成装置， 包括： 输入输出模块， 被 配置为获取掩码概 率分布、 对抗扰动和原 始图像； 处理模块， 被配置为从所述掩码概率分布中采样得到多个第一掩码， 所述第一掩码用 于确定所述对抗扰动在所述原始图像上 的叠加位置； 以及分别根据所述多个第一掩码， 将 所述对抗扰动添加至所述原始图像， 得到多个候选对抗图像； 以及分别计算所述多个候选 对抗图像与目标图像的相似度； 以及根据多个所述相似度， 计算基于所述掩码概率分布采 样得到的第一掩码， 将所述对抗扰动添加至所述原始图像后得到的候选对抗图像与目标图 像的相似度期望； 以及 若所述相似度期望未达到预设阈值， 则更新所述掩码概率分布， 直至基于更新后的掩 码概率分布， 重新采样生成的候选对抗图像与目标图像的相似度期望达到预设阈值， 并基 于更新后的掩码概率分布确定第二掩码， 根据所述第二掩码将所述对抗扰动添加至所述原 始图像， 得到目标对抗图像。 9.一种计算机可读存储介质， 其包括指令， 当其在计算机上运行时， 使得计算机执行如 权利要求1 ‑7中任一项所述的方法。 10.一种计算设备， 包括存储器， 处理器及存储在存储器上并可在处理器上运行的计算 机程序， 其中， 所述处理器执行所述计算机程序时实现如权利要求1 ‑7中任一项所述的方 法。权　利　要　求　书 2/2 页 3 CN 114297730 A 3