通过随机平滑实现针对图像变换的认证防御

我们将随机平滑扩展至涵盖参数化变换（如旋转、平移）并在参数空间（如旋转角）中认证鲁棒性。这尤其具挑战性，因为插值与圆整效应意味着图像变换不可复合，进而阻碍了对扰动图像的直接认证（不同于基于 $\ell^p$ 范数的认证）。我们通过引入三类不同防御应对该挑战，每类具有源自用于界定插值误差的方法的不同保证（启发式、分布式与个体式）。重要的是，我们展示了个体证书可借助统计误差界或图像变换的高效在线逆计算获得。我们在 https://github.com/eth-sri/transformation-smoothing 提供了所有方法的实现。