缓解 X-MAS（X 减移动平均样本）上的大对抗扰动

我们提出一种方案，通过从 $X$ $+$ $\epsilon$ 中减去估计扰动 $\hat{\epsilon}$ 并向 $X$ $-$ $\epsilon$ 中加入 $\hat{\epsilon}$，来缓解对抗样本 $X_{adv}$ ($=$ $X$ $\pm$ $\epsilon$，$X$ 为良性样本）上的对抗扰动 $\epsilon$。估计扰动 $\hat{\epsilon}$ 来自 $X_{adv}$ 与其移动平均结果 $W_{avg}*X_{adv}$ 之间的差值，其中 $W_{avg}$ 是系数为 1 的 $N \times N$ 移动平均核。通常，图像的相邻样本彼此接近，因此我们可以令 $X$ $\approx$ $W_{avg}*X$（将此关系命名为 X-MAS[X minus Moving Averaged Samples]）。这样做，我们可以使估计扰动 $\hat{\epsilon}$ 落在 $\epsilon$ 的范围内。该方案还扩展到通过将被缓解的对抗样本 $X_{adv}$ $\pm$ $\hat{\epsilon}$ 配置为新的待缓解对抗样本来进行多级缓解。多级缓解使 $X_{adv}$ 比原始未缓解扰动更接近 $X$ 且扰动更小（即被缓解），方法是将移动平均对抗样本 $W_{avg} * X_{adv}$（若 $X$ $\approx$ $W_{avg}*X$ 则其扰动小于 $X_{adv}$）设为边界条件，多级缓解不可跨越（即减小的 $\epsilon$ 不能低于、增大的 $\epsilon$ 不能超出）。通过多级缓解，即使对抗样本的扰动很大（即 $\epsilon$ $>$ $16$），我们也能获得高预测准确率。所提方案使用基于 FGSM（Fast Gradient Sign Method）的攻击在 ImageNet 数据集上训练的 ResNet-50 上生成的对抗样本进行评估。