解读对抗鲁棒性：输入空间决策表面的视角

关于神经网络泛化能力的一个流行假设是，参数空间中损失表面的平坦局部极小导致良好泛化。然而，我们证明参数空间中的损失表面与泛化无明显关系，尤其在对抗设定下。通过可视化参数空间与输入空间中的决策表面，我们转而展示输入空间中决策表面的几何性质与对抗鲁棒性密切相关。我们随后提出一种对抗鲁棒性指标，可在不测试对抗攻击下准确率的情况下评估神经网络的内在鲁棒性属性。受其引导，我们进一步提出鲁棒训练方法。不涉及对抗训练，我们的方法可增强网络针对各类对抗攻击的内在对抗鲁棒性。