面向认证对抗鲁棒性的随机平滑机制评估

作为一种认证防御技术，随机平滑因其对大型数据集和神经网络的可扩展性而受到相当关注。然而，若干重要问题仍待解答，例如（i）高斯机制是否是认证$\ell_2$范数鲁棒性的合适选择，以及（ii）是否存在合适的随机（平滑）机制来认证$\ell_\infty$范数鲁棒性。为阐明这些问题，我们认为主要困难在于如何评估每种随机机制的适用性。本文中，我们提出一个通用框架，将\cite{lecuyer2018certified, li2019certified}中的现有框架联系起来，以评估随机机制。在我们的框架下，对于能认证一定程度鲁棒性的随机机制，我们将其所需加性噪声的量级定义为评估其适用性的度量。我们还证明了$\ell_2$范数和$\ell_\infty$范数情形下该度量的下界作为评估准则。基于我们的框架，我们通过比较这些机制所需加性噪声的量级与下界（准则）来评估高斯机制和指数机制。我们首先得出结论：高斯机制确实是认证$\ell_2$范数鲁棒性的合适选择。令人惊讶的是，我们表明高斯机制也是认证$\ell_\infty$范数鲁棒性的合适选择，而非指数机制。最后，我们将框架推广到任意$p\geq2$的$\ell_p$范数。我们的理论发现通过在CIFAR10和ImageNet上的评估得到验证。