利用感知脆弱性的扰动预算改进对抗训练

对抗训练 (Adversarial Training, AT) 能有效提高深度神经网络 (Deep Neural Networks, DNNs) 对对抗攻击的鲁棒性。通常，AT 涉及使用在预定义的固定扰动界限内获得的对抗样本来训练 DNN 模型。值得注意的是，用于构建这些对抗样本的各个自然样本表现出不同程度的内在脆弱性，因此，为所有实例构建具有固定扰动半径的对抗样本可能无法充分发挥 AT 的潜力。受此观察启发，我们提出了两种简单且计算成本低廉的感知脆弱性重加权函数，用于为 AT 中使用的对抗样本分配扰动界限，分别命名为边际加权扰动预算 (Margin-Weighted Perturbation Budget, MWPB) 和标准差加权扰动预算 (Standard-Deviation-Weighted Perturbation Budget, SDWPB)。所提出的方法根据对应对自然样本的脆弱性，为单个对抗样本分配扰动半径。实验结果表明，所提出的方法在各种对抗攻击下均能显著提高 AT 算法的鲁棒性。