基于 $p$-篡改攻击的学习

最近，Mahloujifar 和 Mahmoody (TCC'17) 利用 Valiant 恶意噪声的一个特例（称为 $p$-篡改）研究了针对学习算法的攻击，其中 adversary 以独立概率 $p$ 更改任何训练样本，但仅限于选择带有正确标签的恶意样本。他们获得了 $p$-篡改攻击，在所谓的定向投毒模型中提高了错误概率，其中 adversary 的目标是增加训练得到的假设在 particular 测试样本上的损失。他们攻击的核心是通过 $p$-篡改偏置任何有界实值函数期望值的高效算法。在这项工作中，我们提出了用于增加有界实值函数期望值的新的偏置攻击。我们改进的偏置攻击直接意味着在定向投毒模型中针对学习器的改进的 $p$-篡改攻击。作为额外收获，我们的攻击伴随着相当简单的分析。我们还研究了在非定向（又称 indiscriminate）设置下，即 adversary 的目标是增加所生成假设（对于随机测试样本）的风险时，在 $p$-篡改攻击下进行 PAC 学习的可能性。我们表明，基本上只要在无攻击的可实现设置下 PAC 学习是可能的，那么在 $p$-篡改投毒攻击下 PAC 学习也是可能的。我们进一步表明，如果 adversary 可以选择（仍限于 $p$ 比例的）被篡改样本并用对抗性选择的样本替换，则一般情况下在“正确标签”对抗噪声下的 PAC 学习是不可能的。我们对这类“有界预算”篡改攻击者的形式化模型受到安全多方计算中（强）自适应腐败概念的启发。