随机平滑可能无法证明高维图像的$\ell_\infty$鲁棒性

我们给出了一个关于随机平滑在p>2时难以实现对$\ell_p$球中半径为$\epsilon$的攻击的认证对抗鲁棒性的困难性结果。尽管对于$\ell_2$情形使用高斯分布的随机平滑已被充分理解，但对于是否存在适用于p>2情形的噪声分布仍知之甚少。这已被Cohen等人（2019）作为一个开放问题提出，并包含许多重要范式，如$\ell_\infty$威胁模型。本工作中，我们证明：任何在$\mathbb{R}^d$上提供对所有基分类器的p>2的$\ell_p$鲁棒性的噪声分布$\mathcal{D}$必须满足$\mathbb{E}\eta_i^2=\Omega(d^{1-2/p}\epsilon^2(1-\delta)/\delta^2)$（对向量$\eta\sim\mathcal{D}$中99%的特征（像素）而言），其中$\epsilon$为鲁棒半径，$\delta$为最高分班级与次高分班级之间的分数差。因此，对于像素值限定在$[0,255]$中的高维图像，所需噪声最终将主导图像中的有用信息，导致平凡的平滑分类器。