1.一种基于图像隐写的后门攻击方法，其特征在于，包括：S1、构建图像隐写网络和图像变换网络；

所述图像隐写网络为可逆神经网络，所述图像隐写网络用于将干净图像中嵌入触发器，并得到有毒图像；所述图像变换网络用于将所述有毒图像进行图像变换；

S2、将所述有毒图像进行空间变换后得到第一触发器；

S3、将经过空间变换的所述有毒图像反向输入攻击网络，还原得到第二触发器；

S4、根据所述第一触发器和所述第二触发器的距离损失构建所述图像隐写网络的隐写损失函数；

S5、对所述图像隐写网络进行迭代训练；

S6、通过所述有毒图像进行后门攻击；

所述图像隐写网络由16个可逆神经块组成，有正向过程 和反向过程 ，正向过程为： ；反向过程为： )；

在正向过程中，输入干净图像c和触发器t，输出有毒图像p和潜在噪声z，在反向过程中，输入经过图像变换后的有毒图像 和随机采样的随机噪声 ；

第k个可逆神经网络的反向运算过程如下：

其中，为反向过程输出的干净图像，为反向过程输出的触发器图像， 为可逆神经块反向过程恢复的图像， 为可逆神经块反向过程恢复的潜在噪声；

所述图像隐写网络的第k个可逆神经块的正向运算过程为：其中，、和 分别代表3个拥有相同结构但是不同参数的CNN模块， 表示第k个可逆神经块的干净图像输出， 表示k‑1个可逆神经块的图像输出， 为第k个可逆神经块的触发器图像输出， ， ， 为权重参数。

2.根据权利要求1所述的一种基于图像隐写的后门攻击方法，其特征在于，所述隐写损失函数包括图像损失函数；

所述图像损失函数为：

其中，c为干净图像；p为有毒图像， 为所述干净图像和所述有毒图像之间的 损失。

3.根据权利要求2所述的一种基于图像隐写的后门攻击方法，其特征在于，所述隐写损失函数还包括触发器损失函数：所述触发器损失函数为：

其中，t代表触发器，F( )代表空间变化层的空间变化函数，t’代表进行图像变换后的第一触发器，t 代表经过隐写网络还原出来的第二触发器。

~

4.根据权利要求3所述的一种基于图像隐写的后门攻击方法，其特征在于，所述隐写损失函数还包括小波变换损失函数；

所述小波变换损失函数为

其中，H( )LL代表提取图像小波变换的高频区域。

5.根据权利要求4所述的一种基于图像隐写的后门攻击方法，其特征在于，所述隐写损失函数为：其中， 、 以及 分别代表图像损失函数 、触发器损失函数 以及小波变换损失函数 的权重参数。

6.根据权利要求1所述的一种基于图像隐写的后门攻击方法，其特征在于，S5之后，还包括：对所述图像变换网络进行迭代训练；

所述图像变换网络的损失函数为：

其中， 为所述干净图像 和所述有毒图像 之间的 损失， 为所述第一触发器和所述第二触发器之间的 损失， 为权重参数。

7.根据权利要求1所述的一种基于图像隐写的后门攻击方法，其特征在于，所述图像隐写网络和所述图像变换网络之间进行交替训练，所述图像隐写层训练1个iteration，所述图像变换层训练5个iteration。

8.一种基于图像隐写的后门攻击系统，其特征在于，用于执行如权利要求1至7任一项所述的基于图像隐写的后门攻击方法。