(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111189287.3 (22)申请日 2021.10.12 (71)申请人 清华大学 地址 100084 北京市海淀区双清路3 0号清 华大学 (72)发明人 孙茂松　岂凡超　刘知远　 (74)专利代理 机构 北京路浩知识产权代理有限 公司 11002 代理人 王宇杨 (51)Int.Cl. G06K 9/62(2022.01) G06N 20/00(2019.01) G06F 40/58(2020.01) G06F 40/194(2020.01) G06F 16/35(2019.01)G06F 16/332(2019.01) (54)发明名称 文本对抗 攻击方法、 装置、 设备和存 储介质 (57)摘要 本发明提供一种文本对抗攻击方法、 装置、 设备和存储介质， 包括： 将原始文本输入到预置 的文本风格迁移模型中， 得到风格各不相同的多 个改述文本， 所述多个改述文本与所述原始文本 的语义和分类标签相同； 将所述多个改述文本依 次输入到 预置的目标受害模型， 得到对应的多个 模型输出结果； 根据所述多个模 型输出结果和所 述原始文本判断所述多个改述文本的对抗攻击 是否成功， 得到对抗攻击成功的第一改述文本； 根据所述第一改述文本获取文本对抗攻击的对 抗样本。 本发 明的技术方案可以简单快速地得到 对抗样本 。 权利要求书2页 说明书9页 附图3页 CN 114004283 A 2022.02.01 CN 114004283 A 1.一种文本对抗 攻击方法， 其特 征在于， 将原始文本输入到预置的文本风格迁移模型中， 得到风格各不相同的多个改述文本， 所述多个改述文本与所述原 始文本的语义和分类标签相同； 将所述多个改述文本依次输入到预置的目标受害模型， 得到对应的多个模型输出结 果； 根据所述多个模型输出结果和所述原始文本判断所述多个改述文本的对抗攻击是否 成功， 得到对抗 攻击成功的第一改述文本； 根据所述第一改述文本获取文本对抗 攻击的对抗样本 。 2.根据权利要求1所述的方法， 其特征在于， 所述根据所述第 一改述文本获取文本对抗 攻击的对抗样本， 包括： 根据第一改述文本与原始文本的相似度以及第一改述文本的困惑度获取对抗样本分 数； 选取对抗样本分数最高的第一改述文本作为所述对抗样本 。 3.根据权利要求1所述的方法， 其特征在于， 所述目标受害模型为分类模型， 所述根据 所述多个模型输出结果和所述原始文本判断所述多个改述文本的对抗攻击是否成功， 包 括： 在改述文本对应的模型输出结果表征的类别与 所述原始文本的类别不一致 时， 确定对 抗攻击成功。 4.根据权利要求1所述的方法， 其特征在于， 所述根据第 一改述文本与原始文本的相似 度以及第一改述文本的困惑度获取对抗样本分数， 包括： 根据以下公式获取对抗样本分数 S： S＝p×Sim(a， o) ‑q×PPL(a) 其中， a表示第一改述文本， o表示原始文本， Sim(a， o)表示第一改述文本与原始文本的 相似度， P PL(a)表示第一改述文本的基于所述目标受害模型的文本困惑度， p和q为超参数。 5.根据权利要求3所述的方法， 其特 征在于， 所述目标受害模型的训练方法包括： 获取第一训练集， 所述第一训练集包括文本训练数据和对应的分类数据； 采用所述文本训练数据以所述分类数据为训练标签对初始受害模型进行训练， 直到所 述初始受害模型收敛， 得到所述目标受害模型。 6.根据权利要求1所述的方法， 其特征在于， 所述文本风格迁移模型包括编码器和多个 解码器， 所述将原始文本输入到预置的文本风格迁移模型中， 得到风格各不相同的多个改 述文本， 包括： 将所述原始文本输入至所述编码器， 获得所述编码器输出的与 所述原始文本对应的编 码向量； 将所述编码向量输入所述多个解码器处 理获得所述多个改述文本 。 7.根据权利要求1所述的方法， 其特征在于， 所述目标受害模型包括自动问答模型或机 器翻译模型。 8.一种文本对抗 攻击装置， 其特 征在于， 包括： 风格迁移单元， 用于将原始文本输入到预置的文本风格迁移模型中， 得到风格各不相 同的多个改述文本， 所述多个改述文本与所述原 始文本的语义和分类标签相同；权　利　要　求　书 1/2 页 2 CN 114004283 A 2输入单元， 用于将所述多个改述文本依次输入到预置的目标受害模型， 得到对应的多 个模型输出 结果； 判断单元， 用于根据 所述多个模型输出结果和所述原始文本判断所述多个改述文本的 对抗攻击是否成功， 得到对抗 攻击成功的第一改述文本； 获取单元， 用于根据所述第一改述文本获取文本对抗 攻击的对抗样本 。 9.一种电子设备， 包括存储器、 处理器及存储在所述存储器上并可在所述处理器上运 行的计算机程序， 其特征在于， 所述处理器执行所述程序时实现如权利要求1至7任一项所 述的方法的步骤。 10.一种非暂态计算机可读存储介质， 其上存储有计算机程序， 其特征在于， 所述计算 机程序被处 理器执行时实现如权利要求1至7任一项所述的方法的步骤。权　利　要　求　书 2/2 页 3 CN 114004283 A 3