多扰动界内的认证对抗鲁棒性
机器学习
2023-04-21 v1 计算机视觉与模式识别
摘要
随机平滑（RS）是一种众所周知的针对对抗攻击的认证防御方法，它通过在推理时对输入施加随机噪声扰动下预测最可能类别来创建平滑分类器。虽然早期工作聚焦于使用从高斯分布采样的噪声对 范数扰动的鲁棒性，但后续工作表明不同的噪声分布也可带来对其他 范数界的鲁棒性。一般而言，特定噪声分布对于防御给定的基于 范数的攻击是最优的。本工作中，我们旨在同时改进针对多个扰动界的认证对抗鲁棒性。为此，我们首先提出一种新颖的认证方案，其有效结合使用不同噪声分布获得的证书，以针对多个扰动界取得最优结果。我们进一步提出一种新颖的训练噪声分布及配套的正则化训练方案，以同时在 与 扰动范数内改进认证。与先前工作相反，我们在相同的自然（干净）准确率下比较不同训练算法的认证鲁棒性，而非在用于训练和认证的固定噪声水平下比较。我们还从经验上否定了以相同噪声量训练和认证分类器可得最佳结果的论点。所提方法在 ACR（平均认证半径）指标上于 与 扰动界均取得改进。
引用
@article{arxiv.2304.10446,
title = {Certified Adversarial Robustness Within Multiple Perturbation Bounds},
author = {Soumalya Nandi and Sravanti Addepalli and Harsh Rangwani and R. Venkatesh Babu},
journal= {arXiv preprint arXiv:2304.10446},
year = {2023}
}