ConAML: Constrained Adversarial Machine Learning for Cyber-Physical Systems
University of Tennessee, Knoxville（田纳西大学诺克斯维尔分校）；University of Illinois Springfield（伊利诺伊大学斯普林菲尔德分校）
最近的研究表明，表面上训练有素的机器学习（ML）模型非常容易受到对抗性示例的影响。随着ML技术在研究文献中成为网络物理系统（CPS）应用的流行解决方案，这些应用的安全性受到关注。然而，目前对对抗性机器学习（AML）的研究主要集中在纯网络空间领域。对抗性示例可能给CPS应用程序带来的风险尚未得到很好的研究。特别是，由于数据源的分布式特性和CPS所施加的固有物理约束，在以前的网络空间研究中广泛使用的威胁模型和最先进的AML算法变得不可行。我们通过提出约束对抗性机器学习（ConAML）来研究应用于CPS的ML的潜在漏洞，ConAML生成满足物理系统内在约束的对抗性示例。我们首先总结了CPS中的AML和现有网络空间系统中的AML之间的差异，并提出了ConAML的一般威胁模型。然后，我们设计了一个尽力而为的搜索算法，迭代生成具有线性物理约束的对抗性示例。我们评估我们的算法与两个典型的CPS，电网和水处理系统的模拟。结果表明，我们的ConAML算法可以有效地生成对抗性的例子，显着降低ML模型的性能，即使在实际的约束。
2020-11-24 cs.CR cs.LG
Towards Certified Robustness of Distance Metric Learning
Fudan University（复旦大学）；University College London（伦敦大学学院）
度量学习旨在学习距离度量，使得语义相似的实例被拉到一起，而不相似的实例被推开。许多现有的方法考虑最大化或至少限制在特征空间中的距离余量，分离相似和不相似的实例对，以保证其泛化能力。在本文中，我们主张在输入空间中施加对抗性的边缘，以提高度量学习算法的泛化性和鲁棒性。我们首先证明，对抗性边缘（adversarial margin）定义为训练实例与输入空间中最接近的对抗性实例之间的距离，它考虑了特征空间中的距离边缘以及度量和三元组约束之间的相关性。接下来，为了增强对实例扰动的鲁棒性，我们建议通过最小化一个称为扰动损失的新损失函数来扩大对抗性裕度。所提出的损失可以被看作是一个数据依赖的正则化器，并且很容易插入到任何现有的度量学习方法中。最后，我们表明，扩大的间隔是有益的推广能力，通过使用算法的鲁棒性的理论技术。在16个数据集上的实验结果表明，该方法在判别精度和对可能的噪声的鲁棒性方面优于现有的最先进的方法。
2022-08-16 cs.LG stat.ML
Attacks in Adversarial Machine Learning: A Systematic Survey from the Life-cycle Perspective
The Chinese University of Hong Kong, Shenzhen（香港中文大学（深圳））；Hong Kong University of Science and Technology (Guangzhou)（香港科技大学（广州））；Beijing University of Posts and Telecommunications（北京邮电大学）；University at Buffalo, State University of New York（纽约州立大学布法罗分校）
本文从生命周期视角系统综述对抗性机器学习，提出统一数学框架涵盖现有攻击范式，构建完整分类法以揭示各范式间的联系与差异，并持续更新相关文献。
2024-01-04 cs.CR cs.LG
Metric Learning for Adversarial Robustness
Columbia University（哥伦比亚大学）
众所周知，深度网络对于对抗攻击是脆弱的。我们对最先进的攻击方法PGD下的深层表示进行了实证分析，发现攻击导致内部表示向“假”类靠拢。出于这一观察结果，我们建议使用度量学习来正则化受到攻击的表示空间，以产生更鲁棒的分类器。通过仔细采样用于度量学习的示例，我们学习的表示不仅提高了鲁棒性，而且还检测了以前未见过的对抗样本。定量实验表明，鲁棒性的准确性提高了4%，检测效率提高了6%，根据曲线下面积得分比以前的工作。我们的工作代码可在https://github.com/columbia/Metric_Learning_Adversarial_Robustness上获得。
2019-10-28 cs.CR cs.CV cs.IR
Adversarial Machine Learning: Bayesian Perspectives
ICMAT-CSIC；CUNEF Universidad（库内夫大学）；Komorebi AI Technologies（Komorebi人工智能技术公司）；Harvard Medical School（哈佛医学院）
本文指出AML中基于博弈论的共同知识假设不现实，提出用贝叶斯方法显式建模对手信念与利益的不确定性，以放宽假设并获得更稳健的推断，并在监督学习中加以说明。
2024-02-22 cs.AI cs.LG stat.CO
Exploring Adversarial Robustness of Deep Metric Learning
Aalborg University（奥尔堡大学）；University of Wisconsin-Madison（威斯康星大学麦迪逊分校）
深度度量学习（DML）是一种广泛使用的技术，涉及学习样本对之间的距离度量。DML使用深度神经架构来学习输入的语义嵌入，其中相似示例之间的距离很小，而不同示例之间的距离很远。虽然底层的神经网络在自然发生的样本上产生良好的准确性，但它们容易受到不利扰动样本的影响，从而降低性能。我们朝着训练鲁棒的DML模型迈出了第一步，并解决了度量损失依赖于小批量样本的主要挑战，而不像标准损失只依赖于特定的输入输出对。我们分析了这种依赖效应，并提供了一个强大的优化配方。通过在三个常用的DML数据集上进行实验，我们证明了对抗准确性提高了5-76倍，并且优于现有的DML模型。
2021-02-14 cs.AI cs.LG
Improving Adversarial Robustness to Sensitivity and Invariance Attacks with Deep Metric Learning
University of California, Los Angeles（加州大学洛杉矶分校）
精心制作的对抗样本有效地利用了深度神经网络的弱点。对抗鲁棒性的标准方法假设一个框架来防御通过最小限度地扰动样本以使其相应的模型输出发生变化而制作的样本。这些敏感性攻击利用了模型对与任务无关的特征的敏感性。另一种形式的对抗性样本可以通过不变性攻击来制作，这种攻击利用模型低估相关特征的重要性。以往的文献表明，在严格的L_p有界防御中，防御两种类型的攻击是一种折衷。为了提高对超越欧几里得距离度量的两种类型攻击的鲁棒性，我们使用度量学习将对抗正则化框架作为最优传输问题。我们的初步结果表明，在我们的框架中，正则化不变扰动提高了不变和敏感性防御。
2022-11-04 cs.AI cs.CR cs.LG
Enhancing Adversarial Robustness for Deep Metric Learning
Johns Hopkins University（约翰斯·霍普金斯大学）
由于对抗性漏洞的安全影响，深度度量学习模型的对抗性鲁棒性必须得到提高。为了避免由于过于困难的例子而导致模型崩溃，现有的防御方法忽略了最小-最大对抗训练，而是从弱对手那里学习效率低下。相反，我们提出了硬度操纵，根据更硬的良性三元组或伪硬度函数，有效地干扰训练三元组，直到指定的对抗训练硬度水平。它是灵活的，因为常规训练和最小-最大对抗训练是它的边界情况。此外，提出了一系列伪硬度函数，即渐进式Adjuster函数，用于在训练过程中逐渐增加指定的硬度水平，以便在性能和鲁棒性之间实现更好的平衡。此外，良性和对抗性样本之间的类内结构损失项进一步提高了模型的鲁棒性和效率。综合的实验结果表明，所提出的方法，虽然简单的形式，压倒性地优于国家的最先进的防御措施的鲁棒性，训练效率，以及性能良性的例子。
2022-03-02 cs.CR cs.CV cs.LG
Untargeted White-box Adversarial Attack with Heuristic Defence Methods in Real-time Deep Learning based Network Intrusion Detection System
Aligarh Muslim University（阿里格尔穆斯林大学）
本研究针对基于深度学习的实时网络入侵检测系统的对抗漏洞问题，实现了四种白盒对抗攻击并验证其效果，同时提出三种启发式防御策略提升系统鲁棒性，为网络安全领域的对抗机器学习研究提供参考。
2023-10-07 cs.LG
Poisoning Bayesian Inference via Data Deletion and Replication
CUNEF Universidad Nantes Université, École Centrale Nantes, CNRS LS2N, UMR 6004, F-44000 Nantes, France（CUNEF大学南特大学，中央理工南特学院，CNRS LS2N，UMR 6004，法国南特）
本文提出通过策略性删除和复制观测数据来攻击通用贝叶斯推断的白盒投毒方法，能够将后验导向目标分布并实现仅破坏特定推断的外科手术式投毒。
2025-03-06 cs.LG stat.ML
Towards Adversarially Robust Deep Metric Learning
针对深度度量学习在基于聚类的推理场景下鲁棒性不足、现有防御方法效果不佳的问题，提出结合集成学习与对抗训练的EAT方法，通过提升集成多样性与自迁移机制增强鲁棒性，实验证明其性能显著优于适配的分类模型防御方法。
2025-01-12 cs.AI cs.LG
The race to robustness: exploiting fragile models for urban camouflage and the imperative for machine learning security
University of New South Wales（新南威尔士大学）
本文提出分布式对抗区域（DAR）方法，通过局部扰动在白盒和黑盒设置下使目标检测模型失效，平均降低40.4%置信度，揭示了基础模型的脆弱性，强调机器学习安全与鲁棒性的必要性。
2023-06-26 cs.AI cs.CV cs.LG
Principal Component Properties of Adversarial Samples
University of California San Diego（加州大学圣地亚哥分校）；University of Erlangen-Nuremberg（埃尔朗根-纽伦堡大学）
用于图像分类的深度神经网络被发现容易受到对抗性样本的影响，这些样本由添加到良性图像中的亚感知噪声组成，可以很容易地欺骗经过训练的神经网络，对其商业部署构成重大风险。在这项工作中，我们通过它们对每个图像的主成分的贡献来分析对抗样本，这与作者对整个数据集进行PCA的先前工作不同。我们研究了一些在ImageNet上训练的最先进的深度神经网络，以及对每个网络的几种攻击。我们的研究结果从经验上证明，几种攻击的对抗样本在对神经网络输入的主成分的贡献方面具有相似的特性。我们提出了一个新的度量神经网络来衡量其对抗样本的鲁棒性，称为（k，p）点。我们利用这个指标在ImageNet上训练的模型中检测对抗样本的准确率达到93.36%，与架构和攻击类型无关。
2019-12-07 cs.CV cs.LG eess.IV
Advancing Deep Metric Learning Through Multiple Batch Norms And Multi-Targeted Adversarial Examples
NEC Corporation（日本电气股份有限公司）；University of Tsukuba（筑波大学）
深度度量学习（DML）是机器学习中的一个重要领域，具有广泛的实际应用，专注于学习视觉相似性。众所周知，诸如对抗性示例（AX）的输入遵循与干净数据不同的分布，导致来自DML系统的错误预测。本文提出了MDProp，一个框架，以同时提高干净的数据和输入以下多个分布的DML模型的性能。MDProp通过AX生成过程利用多分布数据，同时在DML模型的训练期间通过多个批量归一化层利用分离学习。MDProp是第一个生成特征空间多目标AX的工具，对训练模型的密集嵌入空间区域执行有针对性的正则化，从而提高嵌入空间密度，从而提高训练模型的泛化能力。从一个全面的实验分析，我们表明，MDProp的结果在高达2.95%的增加清洁数据Recall@1分数和高达2.12倍的增加对不同的输入分布的鲁棒性相比，传统的方法。
2022-12-06 cs.CV cs.LG
Do not trust the neighbors! Adversarial Metric Learning for Self-Supervised Scene Flow Estimation
Informatics Institute（信息学研究所）
场景流是估计动态3D场景的各个点的3D运动矢量的任务。运动矢量已被证明有利于下游任务，如动作分类和碰撞避免。然而，通过LiDAR传感器和立体相机收集的数据是计算和劳动密集型的，以精确地注释场景流。我们在两个方面解决了这个注释瓶颈。我们提出了一个3D场景流基准和一个新的自监督设置训练流模型。该基准测试由数据集组成，这些数据集旨在按照复杂性的渐进顺序研究流量估计的各个方面，从单个运动对象到真实世界场景。此外，我们还引入了用于自监督流量估计的对抗性度量学习。流模型被馈送有点云序列以执行流估计。第二模型学习潜在度量以区分由流量估计转换的点和目标点云。该潜在度量通过多尺度三重损失来学习，该损失使用中间特征向量进行损失计算。我们使用我们提出的基准来了解使用我们的设置进行训练时基线和不同模型的性能。我们发现，我们的设置是能够保持运动的连贯性，并保持当地的几何形状，许多自我监督的基线未能把握。另一方面，处理闭塞仍然是一个公开的挑战。
2020-11-01 cs.CV cs.LG eess.IV
A Framework to Enhance Generalization of Deep Metric Learning methods using General Discriminative Feature Learning and Class Adversarial Neural Networks
University of Kufa（库法大学）；Ferdowsi University of Mashhad（马什哈德菲尔多西大学）；Hakim Sabzevari University（哈基姆·萨布泽瓦里大学）
度量学习算法的目标是学习一个距离函数，该函数将语义相似的数据项聚集在一起，并将不相似的数据项保持在一定距离。传统的马氏远程学习等价于求一个线性投影。相比之下，提出了深度度量学习（DML）方法，其自动从数据中提取特征并学习从输入空间到语义嵌入空间的非线性变换。近年来，提出了许多DML方法，通过提供新的采样策略或损失函数来提高学习度量的鉴别能力。当训练示例和测试示例都来自同一组类别时，这种方法非常有帮助。然而，它是不太有效的DML的许多应用，如图像检索和个人的重新识别。在这里，DML应该从观察到的类中学习一般的语义概念，并使用它们来从看不见的类别中排名或识别对象。忽略学习表示的泛化能力，只强调学习在观察类上更有区别的嵌入可能会导致过拟合问题。为了解决这个问题，我们提出了一个框架，以提高泛化能力的现有DML方法在零拍摄学习（Zero-Shot Learning，ZRL）设置一般但歧视性的表示学习，并采用类对抗神经网络。为了学习更一般的表示，我们建议在深度神经网络中使用中间层的特征图，并通过注意力机制增强它们的识别能力。此外，类对抗网络被用来执行深层模型，以寻求类不变的特征，用于DML任务。我们评估了我们的工作广泛使用的机器视觉数据集在一个可移植的设置。
2021-06-11 cs.CV cs.IR cs.LG
Advancing the Research and Development of Assured Artificial Intelligence and Machine Learning Capabilities
U.S. Army Combat Capabilities Development Command C5ISR Center（美国陆军战斗能力发展司令部C5ISR中心）；U.S. Army Combat Capabilities Development Command Army Research Laboratory（美国陆军战斗能力发展司令部陆军研究实验室）；U.S. Military Academy Army Cyber Institute（美国陆军军官学院陆军网络研究所）；U.S. Department of Defense Joint Artificial Intelligence Center（美国国防部联合人工智能中心）
人工智能（AI）和机器学习（ML）在所有战争领域的新型防御和情报能力的发展中变得越来越重要。对抗性AI（A2 I）和对抗性ML（AML）攻击试图欺骗和操纵AI/ML模型。AI/ML模型必须能够抵御这些攻击。A2 I/AML防御将有助于为这些使用AI/ML模型的高级功能提供必要的保证。A2 I工作组（A2 IWG）旨在通过在美国国防部和美国情报界建立协作环境，通过新的A2 I/AML防御来推进有保证的AI/ML能力的研究和开发。A2 IWG旨在确定它可以帮助解决或更直接解决的具体挑战，最初关注三个主题：AI可信鲁棒性，AI系统安全性和AI/ML架构漏洞。
2020-09-24 cs.CR cs.CY cs.LG
Compilation as a Defense: Enhancing DL Model Attack Robustness via Tensor Optimization
Lancaster University（兰卡斯特大学）；Mindgard（Mindgard公司）
针对对抗性机器学习侧信道攻击，本文提出利用模型编译中的张量优化作为无需重构模型的防御手段，并证明其可使攻击相对有效性最高降低 43%。
2023-09-20 cs.CR cs.LG
Understanding Adversarial Behavior of DNNs by Disentangling Non-Robust and Robust Components in Performance Metric
Nankai University（南开大学）；Tencent（腾讯）；National University of Singapore（新加坡国立大学）
对轻微输入扰动的脆弱性是深度神经网络（DNN）的一个令人担忧但又有趣的特性。尽管以前有许多研究这种对抗行为背后的原因，但DNN的泛化性能和对抗行为之间的关系仍然知之甚少。在这项工作中，我们通过引入一个表征DNN泛化性能的度量来揭示这种关系。该指标可以分解为信息理论的非鲁棒组件，负责对抗行为，和鲁棒组件。然后，我们通过实验表明，目前的DNN在很大程度上依赖于优化非鲁棒组件来实现良好的性能。我们还证明，目前最先进的对抗训练算法确实试图通过防止DNN使用非鲁棒组件来区分不同类别的样本来增强DNN的鲁棒性。此外，根据我们的研究结果，我们向前迈出了一步，并指出了同时实现体面的标准性能和对抗鲁棒性的可能方向。我们相信，我们的理论可以进一步激发社区对深度学习模型的标准泛化和对抗泛化之间的关系做出更有趣的发现。
2019-06-06 cs.LG stat.ML
Individual Fairness Revisited: Transferring Techniques from Adversarial Robustness
Carnegie Mellon University（卡内基梅隆大学）
我们将个体公平性的定义颠倒过来--不是确定给定预定度量的模型的公平性，而是找到满足个体公平性的给定模型的度量。这可以促进关于模型公平性的讨论，解决可能难以先验地指定合适度量的问题。我们的贡献是双重的：首先，我们引入了最小度量的定义，并根据最小度量刻画了模型的行为。其次，对于更复杂的模型，我们应用对抗鲁棒性的随机平滑机制，使它们在给定的加权$L^p$度量下单独公平。我们的实验表明，适应线性模型的最小度量更复杂的神经网络可以导致有意义的和可解释的公平性保证在很小的成本效用。
2020-10-13 cs.LG stat.ML
The Adversarial Attack and Detection under the Fisher Information Metric
East China Normal University（华东师范大学）；University of Virginia（弗吉尼亚大学）；Shanghai University（上海大学）；Westlake Institute for Brain-Like Science and Technology（西湖高等研究院脑与脑类科学研究所）
许多深度学习模型容易受到对抗攻击的攻击，即，对输入的不可察觉但有意设计的扰动可能导致网络的不正确输出。在本文中，我们使用信息几何，为深度学习模型的脆弱性提供了合理的解释。通过将数据空间看作一个非线性空间，利用神经网络的Fisher信息度量，提出了一种对抗攻击算法--一步谱攻击（one-step spectral attack，OSSA）.该方法由Fisher信息矩阵的约束二次型描述，其中最优对抗扰动由第一特征向量给出，模型脆弱性由特征值反映.特征值越大，模型越容易受到相应特征向量的攻击。利用该特性，我们还提出了一种以特征值为特征的对抗检测方法。我们的攻击和检测算法都经过了数值优化，可以在大型数据集上高效工作。与其他方法相比，我们的评估显示出优越的性能，这意味着Fisher信息是一种很有前途的方法来研究对抗攻击和防御。
2019-02-09 cs.LG stat.ML
Analyze the Robustness of Classifiers under Label Noise
本研究针对监督学习中标签噪声损害模型性能的问题，结合对抗机器学习与重要性重加权技术，以CNN为基础模型调整单样本参数，提升分类器在含噪真实场景中的鲁棒性。
2023-12-12 cs.AI cs.LG stat.ML
Stronger and Faster Wasserstein Adversarial Attacks
University of Waterloo（滑铁卢大学）；Vector Institute（向量研究所）
深度模型虽然非常灵活和准确，但令人惊讶的是，它很容易受到被称为对抗攻击的“微小的、难以察觉的”扰动。虽然大多数现有的攻击集中在测量扰动下的$\ell_p$度量，Wasserstein距离，它考虑了像素空间中的几何形状，长期以来一直被认为是一个合适的度量用于测量图像质量，最近上升为对抗攻击中的$\ell_p$度量的一个令人信服的替代品。然而，在Wasserstein度量下构造有效的攻击在计算上更具挑战性，并且需要更好的优化算法。我们以两种方式解决这一差距：（a）我们开发了一个精确而有效的投影算子，以实现更强的投影梯度攻击;（b）我们证明了配备合适的线性最小化预言机的Frank-Wolfe方法在Wasserstein约束下工作得非常快。我们的算法不仅收敛速度更快，而且还会产生更强的攻击。例如，我们将CIFAR-10上的残差网络的准确性降低到$3.4\%$，在半径为$0.005$的Wasserstein扰动球内，与使用先前基于\emph{approximate}投影算子的Wasserstein攻击的$65.6\%$相反。此外，在对抗性训练中使用我们更强的攻击可以显着提高对抗性训练模型的鲁棒性。
2020-08-06 cs.LG stat.ML
Suspicion-Free Adversarial Attacks on Clustering Algorithms
University of California, Davis（加州大学戴维斯分校）
聚类算法被用于大量的应用中，并在现代机器学习中发挥着重要作用-然而，与监督学习不同，对聚类算法的对抗攻击似乎被广泛忽视。在本文中，我们试图弥合这一差距，提出了一个黑箱对抗攻击的线性可分集群的聚类模型。我们的攻击通过扰动接近决策边界的单个样本来工作，这会导致多个未扰动样本的错误聚类，称为溢出对抗样本。我们从理论上证明了K-Means聚类中存在这样的对抗样本。我们的攻击特别强大，因为（1）我们确保扰动样本不是离群值，因此不可检测，（2）攻击者不知道用于聚类的确切度量。我们从理论上证明，攻击确实可以成功，而不知道真正的度量。最后，我们提供了一些数据集和聚类算法的实证结果。据我们所知，这是第一个在不知道真实度量的情况下生成溢出对抗样本的工作，确保扰动样本不是离群值，并从理论上证明了上述内容。
2019-11-16 cs.LG stat.ML
Adversarial network training using higher-order moments in a modified Wasserstein distance
A-Alpha Bio（A-Alpha Bio公司）
生成对抗网络（GANs）已被用于在压缩的潜在空间中产生与示例数据非常相似的数据，该压缩的潜在空间接近于足以在原始向量空间中进行重构。Wasserstein度量已被用作二进制交叉熵的替代方案，产生具有更大模式覆盖行为的更稳定的GANs。在这里，一个泛化的瓦瑟斯坦距离，使用高阶矩比平均值，推导出。训练一个GAN与此高阶Wasserstein度量表现出优越的性能，即使在调整略高的计算成本。这示出了生成合成抗体序列。
2022-10-07 cs.LG stat.ML
AP-Perf: Incorporating Generic Performance Metrics in Differentiable Learning
Carnegie Mellon University（卡内基梅隆大学）；Bosch Center for AI（博世人工智能中心）
我们提出了一种方法，使从业者方便地将自定义的不可分解的性能指标到微分学习管道，特别是那些基于神经网络架构。我们的方法是基于最近开发的对抗性预测框架，这是一种分布稳健的方法，在最坏的情况下优化度量，给出了经验分布的统计摘要。我们制定了一个边际分布技术，以减少优化的对抗性预测制定在广泛的非可分解的指标的复杂性。我们演示了使用我们提供的工具编写和合并复杂的自定义指标是多么容易。最后，我们展示了我们的方法在UCI存储库和基准数据集的表格数据集上的各种分类任务以及图像分类任务的有效性。我们提出的方法的代码可在https://github.com/rizalzaf/AdversarialPrediction.jl上获得。
2020-03-03 cs.LG stat.ML
Improving the Robustness of Deep Neural Networks via Adversarial Training with Triplet Loss
Nanjing University（南京大学）；JD AI Research（京东人工智能研究院）
最近的研究表明，深度神经网络（DNN）容易受到对抗性样本的影响。在本文中，我们通过利用距离度量学习技术来提高DNN的鲁棒性。具体来说，我们将最流行的距离度量学习方法之一Triplet Loss纳入对抗训练的框架中。我们提出的算法，对抗训练与三重损失（AT $^2$ L），替代对抗的例子对当前模型的锚三重损失，有效地平滑分类边界。此外，我们提出了一个集成版本的AT $^2$ L，聚合不同的攻击方法和模型结构，以更好的防御效果。我们的实证研究验证了所提出的方法可以显着提高DNN的鲁棒性，而不会牺牲准确性。最后，我们证明了我们专门设计的三重态损失也可以用作正则化项来增强其他防御方法。
2019-05-28 cs.LG stat.ML
Non-linear ICA based on Cramer-Wold metric
Jagiellonian University（雅盖隆大学）
非线性声源分离是一个具有挑战性的开放性问题，有许多应用。我们扩展了最近提出的对抗性非线性ICA（ANICA）模型，并引入Cramer-Wold ICA（CW-ICA）。与ANICA相比，我们使用一个简单的，封闭形式的优化目标，而不是一个基于独立性的措施。我们的研究结果表明，CW-ICA实现了与ANICA相当的结果，同时无需对抗训练。
2019-03-01 cs.LG stat.ML
Objective-Reinforced Generative Adversarial Networks (ORGAN) for Sequence Generation Models
Harvard University（哈佛大学）；Pagedraw（页面绘制公司）；The University of Manchester（曼彻斯特大学）；Canadian Institute for Advanced Research（加拿大高级研究院）
在无监督数据生成任务中，除了基于先前的观察生成样本之外，人们通常希望向模型提供提示，以便将生成偏向于期望的度量。我们提出了一种结合生成对抗网络（GANs）和强化学习（RL）的方法，以实现这一目标。虽然RL将数据生成过程偏向于任意指标，但奖励函数的GAN组件确保模型仍然记住从数据中学习到的信息。我们建立在以前的结果，结合GANs和RL，以生成序列数据，并在几种设置中测试该模型，以生成编码为文本序列（SMILES）的分子，并在音乐生成的背景下，显示对于每种情况下，我们可以有效地将生成过程偏向所需的指标。
2018-02-07 cs.LG stat.ML
An Explainable Adversarial Robustness Metric for Deep Learning Neural Networks
Department of Electrical and Computer Engineering, University of Illinois at Chicago（伊利诺伊大学芝加哥分校电气与计算机工程系）；Kitware Inc.（Kitware公司）；University of Illinois at Chicago（伊利诺伊大学芝加哥分校）
深度神经网络（DNN）通过在各种视觉任务中实现最先进的性能，极大地推进了计算机视觉领域。这些结果不仅限于视觉领域，还可以在语音识别和机器翻译任务中看到。最近，DNN被发现在使用通过对原始输入图像进行不可察觉的更改而制作的样本进行测试时失败率很低。这导致了DNN的验证和对抗性能之间的差距。一个有效的和可推广的鲁棒性指标，用于评估DNN对这些对抗性输入的性能仍然缺乏文献。在本文中，我们提出了噪声敏感度得分（NSS），这是一种量化DNN在不同形式的固定方向攻击下对特定输入的性能的度量。一个有见地的数学解释提供了深入理解所提出的度量。通过利用NSS，我们还提出了一个基于偏度的数据集鲁棒性度量，用于评估DNN在给定数据集上的对抗性能。使用广泛使用的最先进的架构以及流行的分类数据集，如MNIST，CIFAR-10，CIFAR-100和ImageNet，进行了广泛的实验，以验证我们提出的指标的有效性和通用性。与以前的工作不同，所提出的NSS不是简单地测量DNN在输入域中的对抗鲁棒性，而是建立在对对抗攻击的深刻数学理解之上，并对鲁棒性给出了更明确的解释。
2018-06-06 cs.CR cs.LG stat.ML
A principled approach for generating adversarial images under non-smooth dissimilarity metrics
McGill University（麦吉尔大学）
深度神经网络在现实世界的数据上表现良好，但容易受到对抗性扰动：输入的微小变化很容易导致错误分类。在这项工作中，我们提出了一种攻击方法，不仅用于由$\ell_p$规范测量扰动的情况下，但实际上任何敌对的相异性度量与封闭的近端形式。这包括但不限于$\ell_1, \ell_2$和$\ell_\infty$扰动; $\ell_0$计数“范数”（即，真稀疏）;以及总变差范数，其是测量局部像素变化的（非$\ell_p$）卷积相异性。我们的方法是最近的对抗攻击方法的自然扩展，并消除了度量的可微性要求。我们在MNIST、CIFAR 10和ImageNet-1 k数据集上演示了我们的算法ProxLogBarrier。我们考虑不设防和设防模型，并表明我们的算法很容易转移到各种数据集。我们观察到ProxLogBarrier优于许多专门针对$\ell_0$案例的现代对抗攻击。此外，通过改变图像的总变差，我们揭示了一类新的扰动，利用相邻像素信息。
2019-10-08 cs.CV cs.LG stat.ML
An empirical study on evaluation metrics of generative adversarial networks
Cornell University（康奈尔大学）；UC Berkeley（加州大学伯克利分校）
评估生成对抗网络（GANs）具有内在的挑战性。在本文中，我们回顾了几个代表性的基于样本的评估指标的GANs，并解决如何评估的评估指标的问题。我们从指标产生有意义的分数的一些必要条件开始，例如区分真实样本和生成的样本、识别模式丢弃和模式崩溃以及检测过拟合。通过一系列精心设计的实验，我们全面研究了现有的基于样本的指标，并确定了它们在实际环境中的优势和局限性。基于这些结果，我们观察到，内核的最大均值离散（MMD）和1-最近邻（1-NN）的两个样本的测试似乎满足大多数理想的属性，只要样本之间的距离计算在一个合适的特征空间。我们的实验还揭示了几种流行的GAN模型行为的有趣特性，例如它们是否在记忆训练样本，以及它们距离学习目标分布有多远。
2018-08-17 cs.CV cs.LG stat.ML
On the Efficacy of Metrics to Describe Adversarial Attacks
University of Florence（佛罗伦萨大学）
对抗性防御的评估自然取决于其容忍对抗攻击的能力。为了测试防御，设计了各种各样的对抗攻击，这些攻击通常根据它们的规避能力和L0、L1、L2和Linf范数来描述。我们的问题，如果回避能力和L-范数是最有效的信息，声称防御已经过测试，对一个有代表性的攻击集。在这种程度上，我们选择的图像质量指标，从最先进的搜索图像扰动和检测之间的相关性。我们观察到，单独计算L-范数很少是更好的解决方案。我们观察到在对抗图像上计算的识别度量与检测器在这样的图像上的输出之间的强相关性，以至于它们可以以大约0.94的准确度预测检测器的响应。此外，我们观察到，指标可以根据相似的扰动和相似的可检测性对攻击进行分类。这表明可能对评估检测器的方法进行审查，其中包括额外的指标，以确保选择代表性的攻击数据集。
2023-01-30 cs.LG
Metrics and methods for robustness evaluation of neural networks with generative models
ITMO University（圣彼得堡国立信息技术机械与光学大学）；Aalto University（阿尔托大学）；Northeastern University（东北大学）
最近的研究表明，现代深度神经网络分类器很容易被愚弄，假设对手能够稍微修改它们的输入。许多论文已经提出了对抗攻击、防御和方法来测量对这种对抗扰动的鲁棒性。然而，大多数通常认为的对抗性示例都是基于神经网络的输入空间中的$\ell_p$有界扰动，这不太可能自然出现。近年来，特别是在计算机视觉中，研究人员发现了“自然”或“语义”扰动，例如旋转、亮度变化或更高级别的变化，但这些扰动尚未被系统地用于测量分类器的性能。在本文中，我们提出了几个度量分类器的鲁棒性自然对抗的例子，和方法来评估他们。这些指标称为潜在空间性能指标，基于生成模型捕获概率分布的能力，并在其潜在空间中定义。在三个图像分类的案例研究中，我们评估了几个分类器，包括传统的和强大的方式训练的建议指标。我们发现，对抗鲁棒性的潜在对应物与分类器的准确性相关，而不是其传统的对抗鲁棒性，但后者仍然反映在发现的潜在扰动的属性上。此外，我们发现潜在对抗性扰动的新方法表明，这些扰动通常在感知上很小。
2020-03-15 cs.CV cs.LG stat.ML
Metric Learning-based Generative Adversarial Network
National Key Laboratory for Novel Software Technology, Nanjing University（南京大学计算机软件新技术国家重点实验室）
生成对抗网络（GANs）作为一种通过对抗过程估计生成模型的框架，已经引起了人们的极大关注，并已被证明在各种任务中具有强大的功能。然而，众所周知，训练GANs是微妙和不稳定的，部分原因是其sigmoid交叉熵损失函数。为了克服这一问题，许多研究者将注意力集中在测量模型分布与真实分布接近程度的各种方法上，并采用不同的度量作为目标函数。在本文中，我们提出了一种新的框架，训练GANs的基础上距离度量学习，我们称之为基于度量学习的生成对抗网络（MLGAN）。MLGAN的鉴别器可以动态学习适当的度量，而不是静态度量，以测量生成的样本与真实样本之间的距离。然后，MLGAN根据新学习的度量更新生成器。我们在几个有代表性的数据集上评估了我们的方法，实验结果表明，与现有的几种最先进的方法相比，MLGAN可以实现更优越的性能。我们还通过经验表明，MLGANs可以提高训练GANs的稳定性。
2017-11-08 cs.LG
Detecting Adversarial Examples in Batches -- a geometrical approach
Helmholtz-Zentrum Dresden-Rossendorf（亥姆霍兹德累斯顿罗森多夫研究中心）；Technishe Universitat Bergakademie Freiberg（弗赖贝格工业大学）
许多深度学习方法已经成功地解决了计算机视觉和语音识别应用中的复杂任务。尽管如此，这些模型的鲁棒性已被发现容易受到扰动输入或对抗性示例的影响，这些示例对人眼来说是不可感知的，但会导致模型做出错误的输出决策。在这项研究中，我们调整并引入了两个几何度量，密度和覆盖率，并评估它们在检测批量未知数据中的对抗样本中的使用。我们使用MNIST和MedMNIST的两个真实生物医学数据集对这些指标进行了实证研究，这些数据集受到了两种不同的对抗攻击。我们的实验表明，这两个指标检测敌对的例子有希望的结果。我们相信，他的工作可以为进一步研究这些指标在已部署的机器学习系统中的使用奠定基础，以监测对抗性示例或相关病理（如数据集移位）可能的攻击。
2022-06-17 cs.LG
A general metric for identifying adversarial images
Upwork Inc.（Upwork公司）
众所周知，一个坚定的对手可以通过对图像进行不可感知的对抗性扰动来欺骗神经网络。最近的研究表明，如果对手采取的策略是事先知道的，即使没有关于神经网络的信息，这些扰动也可以被检测到。不幸的是，这些研究受到推广的限制-检测方法必须重新校准每次对手改变他的策略。在这项研究中，我们试图克服泛化的限制，推导出一个度量，可靠地识别敌对图像，即使对手采取的方法是未知的。当图像被视为矩阵时，我们的度量利用了干净图像和对抗图像的光谱之间的关键差异。我们的指标能够检测不同数据集和攻击策略的对抗图像，而无需任何额外的重新校准。此外，我们的方法为对抗性扰动的几个未回答的问题提供了几何见解。
2018-07-26 cs.CV cs.LG
MetricGAN: Generative Adversarial Networks based Black-box Metric Scores Optimization for Speech Enhancement
National Taiwan University（台湾大学）；Academia Sinica（中央研究院）
条件生成对抗网络（GAN）中的对抗性损失并不被设计为直接优化目标任务的评估度量，因此可能并不总是引导GAN中的生成器生成具有改进的度量分数的数据。为了克服这个问题，我们提出了一种新的MetricGAN方法，旨在优化生成器的一个或多个评估指标。此外，基于MetricGAN，生成数据的度量分数也可以由用户任意指定。我们在语音增强任务上测试了所提出的MetricGAN，这特别适合于验证所提出的方法，因为存在测量语音信号的不同方面的多个度量。此外，这些指标通常是复杂的，并且不能通过Lp或传统的对抗性损失来完全优化。
2019-05-13 cs.LG cs.SD eess.AS
Targeted Adversarial Attacks on Deep Reinforcement Learning Policies via Model Checking
Radboud University（拉德堡德大学）；University of Antwerp（安特卫普大学）
深度强化学习（RL）代理在其观察中容易受到对抗性噪声的影响，这可能会误导其策略并降低其性能。然而，对手可能不仅对减少奖励感兴趣，而且还对修改策略的特定时间逻辑属性感兴趣。本文提出了一个度量标准，衡量对抗攻击对这些属性的确切影响。我们使用这个指标来设计最佳的对抗攻击。此外，我们引入了一个模型检验方法，使我们能够验证RL策略对对抗攻击的鲁棒性。我们的实证分析证实了（1）我们针对时态逻辑属性进行对抗攻击的指标的质量，以及（2）我们能够简洁地评估系统对攻击的鲁棒性。
2022-12-10 cs.LG
Quantifying the Preferential Direction of the Model Gradient in Adversarial Training With Projected Gradient Descent
Scientific Computing and Imaging Institute（科学计算与成像研究所）；University of Utah School of Medicine（犹他大学医学院）；University of Utah（犹他大学）
本文定义对抗训练后模型梯度的偏好方向，并提出基于生成对抗网络最小残差的对齐度量，证明PGD模型对齐更强且强化该对齐可提升鲁棒性。
2023-04-20 cs.CV cs.LG stat.ML
Comparing the Robustness of Modern No-Reference Image- and Video-Quality Metrics to Adversarial Attacks
MSU Institute for Artificial Intelligence（莫斯科国立大学人工智能研究所）；ISP RAS Research Center for Trusted Artificial Intelligence（俄罗斯科学院系统编程研究所可信人工智能研究中心）；Lomonosov Moscow State University（罗蒙诺索夫莫斯科国立大学）
本文比较了15种现代无参考图像与视频质量指标对不同对抗攻击的鲁棒性，发现部分指标具有较高抵抗能力，并提供了可在线提交新指标的基准平台。
2024-02-27 cs.CV cs.LG cs.MM
The Bures Metric for Generative Adversarial Networks
KU Leuven（鲁汶大学）；Univ. Lille, CNRS, Centrale Lille UMR 9189 CRIStAL（里尔大学，国家科学研究中心，中央里尔大学 UMR 9189 CRIStAL）
生成对抗网络（GANs）是产生高质量样本的高性能生成方法。然而，在某些情况下，GANs的训练可能导致模式坍塌或模式丢弃，即生成模型不能从整个概率分布中采样。为了解决这个问题，我们使用最后一层的特征映射来研究真实和虚假数据的分布。在训练过程中，我们建议通过使用特征空间中协方差矩阵之间的Bures距离来匹配真实批次多样性和假批次多样性。Bures距离的计算可以方便地在特征空间或核空间中分别根据协方差和核矩阵进行。我们观察到，多样性匹配大大减少了模式坍塌，并对样品质量有积极的影响。在实践方面，提出了一个非常简单的训练过程，不需要额外的超参数调整，并在几个数据集上进行了评估。
2021-04-27 cs.LG eess.IV stat.ML
MIM-Based GAN: Information Metric to Amplify Small Probability Events Importance in Generative Adversarial Networks
Beijing National Research Center for Information Science and Technology（北京国家信息科学与技术研究中心）；Tsinghua University（清华大学）
在生成对抗网络（GANs）中，区分生成数据与真实数据的信息度量是生成效率的关键，在基于GANs的应用中，特别是异常检测中起着重要作用。对于原有的GAN，其基于KL散度的隐藏信息测度在稀有事件生成和对抗网络训练性能方面存在不足。因此，研究GANs中使用的度量，以提高生成能力，并在训练过程中带来收益，是非常重要的。在本文中，我们采用指数形式，参考的信息测度，即MIM，以取代原来的GAN的对数形式。这种方法被称为基于MIM-based GAN，在网络训练和稀有事件生成方面具有更好的性能。具体来说，我们首先讨论了这种方法的培训过程的特点。此外，我们还从理论上分析了它在产生稀有事件方面的优势。此外，我们在MNIST和ODDS数据集上进行了仿真，与一些经典的GANs相比，基于MIM的GAN在异常检测方面达到了最先进的性能。
2021-01-07 cs.IT cs.LG math.IT
Adversarial Examples and Metrics
CISPA Helmholtz Center for Information Security（CISPA亥姆霍兹信息安全中心）；IBM T. J. Watson Research Center（IBM T. J. 沃森研究中心）
对抗性示例是对机器学习（ML）系统的一种攻击，它会导致输入的错误分类。实现对抗性示例的鲁棒性对于在现实世界中应用ML至关重要。虽然大多数关于对抗性示例的先前工作都是经验性的，但最近的一系列工作建立了基于加密硬度的鲁棒分类的基本限制。然而，在这一领域的大多数积极和消极的结果假设有一个固定的目标度量约束对手，我们认为，这往往是一个不切实际的假设。在这项工作中，我们研究了鲁棒分类的局限性，如果目标度量是不确定的。具体地说，我们构建了一个分类问题，它承认强大的分类由一个小分类器，如果目标度量是已知的模型训练的时候，但强大的分类是不可能的小分类器，如果目标度量是事后选择。在这个过程中，我们探索了一个新的连接的硬度的鲁棒分类和有界存储模型密码学。
2020-07-15 cs.CR cs.LG
Defense-friendly Images in Adversarial Attacks: Dataset and Metrics for Perturbation Difficulty
The University of Western Australia（西澳大学）
数据集偏差是对抗性机器学习中的一个问题，特别是在防御评估中。对抗攻击或防御算法在报告的数据集上显示的结果可能比在其他数据集上复制的结果更好。即使在比较两种算法时，它们的相对性能也会因数据集而异。深度学习为图像识别提供了最先进的解决方案，但深度模型甚至容易受到小扰动的影响。该领域的研究主要集中在对抗攻击和防御算法上。在本文中，我们报告的第一次，一类鲁棒的图像，既有弹性的攻击和恢复比随机图像下对抗攻击使用简单的防御技术。因此，具有高比例的鲁棒图像的测试数据集给出了关于对抗攻击或防御的性能的误导性印象。我们提出了三个指标来确定数据集中鲁棒图像的比例，并提供评分来确定数据集偏差。我们还提供了一个包含15000多个强大图像的ImageNet-R数据集，以便于进一步研究这种有趣的攻击下图像强度现象。我们的数据集，结合所提出的指标，是有价值的对抗攻击和防御算法的无偏基准。
2020-11-07 cs.CV cs.LG
Causal Fair Metric: Bridging Causality, Individual Fairness, and Adversarial Robustness
Max Planck Institute for Intelligent Systems（马克斯·普朗克智能系统研究所）；Tübingen AI Center（蒂宾根人工智能中心）；McGill University（麦吉尔大学）；University of Montréal（蒙特利尔大学）；MILA（米拉计算科学研究所）
本文提出一种基于因果结构的因果公平度量，通过度量学习实现估计，兼顾个体公平性与对抗鲁棒性，并在分类器中验证其有效性。
2024-02-06 cs.CY cs.LG
Convergence dynamics of Generative Adversarial Networks: the dual metric flows
CEREMADE, Université Paris Dauphine - PSL（巴黎第九大学CEREMADE）
拟合神经网络通常采用随机（或类似）梯度下降，这是梯度下降动态的噪声容忍（和有效）解决方案。它输出一个网络参数序列，该序列在训练步骤中演变。梯度下降是极限，当学习率是小的，批量大小是无限的，在训练过程中获得的这组越来越优化的网络参数。在这篇文章中，我们研究了机器学习中使用的生成对抗网络的收敛性。我们研究了小学习率的极限，并表明，类似于单一的网络训练，GAN的学习动力学趋于，为消失的学习率到一些极限动态。这使我们考虑度量空间（这是演化概率定律的自然框架）中的演化方程，我们称之为对偶流。我们给出了解的形式定义，并证明了收敛性。然后将该理论应用于GANs的特定实例，并讨论这种见解如何帮助理解和减轻模式崩溃。关键词：GAN;度量流;生成网络
2021-04-14 cs.LG math.FA stat.CO
KoALA: KL-L0 Adversarial Detector via Label Agreement
Department of Electrical Engineering（电气工程系）；Computer Science, University of California, Irvine, Irvine, USA（计算机科学系，加州大学伊维德分校，伊维德，美国）
KoALA是一种无需修改架构或重新训练的语义无关对抗检测器，通过两种互补相似性度量的预测不一致来检测对抗攻击，利用KL散度和L0相似性检测不同类型的扰动，实验验证其有效性。
2026-03-19 cs.LG
Generative Adversarial Networks for Synthetic Data Generation: A Comparative Study
School of Social Sciences, University of Manchester（曼彻斯特大学社会科学学院）；Alliance Manchester Business School, University of Manchester（曼彻斯特大学联盟曼彻斯特商学院）
生成对抗网络（GANs）作为一种合成数据的手段越来越受到关注。到目前为止，这项工作的大部分已经应用于数据保密领域之外的用例，其中一个常见的应用是人工图像的生成。在这里，我们考虑了GANs的潜在应用，以生成合成的人口普查微观数据。我们采用了一组效用度量和披露风险度量（目标正确归因概率）来比较表格GANs产生的数据与使用传统数据合成方法产生的数据。
2021-12-03 cs.LG
GreedyFool: Multi-Factor Imperceptibility and Its Application to Designing a Black-box Adversarial Attack
Wuhan University（武汉大学）；Pennsylvania State University（宾夕法尼亚州立大学）
对抗样本是精心设计的输入样本，其中的扰动对人眼来说是不可感知的，但很容易误导深度神经网络（DNN）的输出。现有的作品通过利用简单的度量来惩罚扰动来合成对抗性示例，这些扰动缺乏对人类视觉系统（HVS）的充分考虑，从而产生明显的伪影。为了探讨为什么扰动是可见的，本文总结了四个主要因素影响人眼的感知能力。在此基础上，我们设计了一个多因素的度量MulFactorLoss来衡量良性样本和敌对样本之间的感知损失。为了测试多因素度量的不可感知性，我们提出了一种新的黑盒对抗攻击，称为GreedyFool。GreedyFool应用差分进化来评估扰动像素对目标DNN置信度的影响，并引入贪婪近似来自动生成对抗性扰动。我们对ImageNet和CIFRA-10数据集进行了广泛的实验，并对60名参与者进行了全面的用户研究。实验结果表明，MulFactorLoss是一个比现有的像素度量更不易察觉的度量，GreedyFool以黑盒方式实现了100%的成功率。
2021-11-29 cs.CR cs.CV cs.LG
Two Coupled Rejection Metrics Can Tell Adversarial Examples Apart
Tsinghua University（清华大学）；Microsoft Research Asia（微软亚洲研究院）
正确分类对抗性示例是安全部署机器学习模型的基本但具有挑战性的要求。正如RobustBench所报告的那样，即使是最先进的对抗训练模型也难以在CIFAR-10上超过67%的鲁棒测试准确率，这远远不实用。实现鲁棒性的一种补充方法是引入拒绝选项，允许模型不返回对不确定输入的预测，其中置信度是常用的确定性代理。随着这个例程，我们发现，信心和整流的信心（R-Con）可以形成两个耦合的拒绝度量，这可以证明区分错误分类的输入正确分类的。这个有趣的特性揭示了如何使用耦合策略来更好地检测和拒绝对抗性示例。我们在CIFAR-10，CIFAR-10-C和CIFAR-100上评估了我们的纠正拒绝（RR）模块，包括自适应攻击，并证明了RR模块与不同的对抗训练框架兼容，提高了鲁棒性，几乎没有额外的计算。该代码可在https://github.com/P2333/Rectified-Rejection上获得。
2022-03-31 cs.CR cs.CV cs.LG
Volatility in Certainty (VC): A Metric for Detecting Adversarial Perturbations During Inference in Neural Network Classifiers
Electrical and Computer Engineering（电气与计算机工程）；North Carolina A\&T State University（北卡罗来纳A&T州立大学）
针对神经网络分类器推理阶段无标签场景下的对抗扰动检测问题，提出无标签指标VC，通过softmax输出离散度捕捉置信度波动，实验证明其与分类准确率强负相关，可作为实时性能预警指标。
2025-11-14 cs.AI cs.LG
Exploring the Adversarial Frontier: Quantifying Robustness via Adversarial Hypervolume
City University of Hong Kong（香港城市大学）
针对传统对抗准确率无法全面衡量模型鲁棒性的问题，提出对抗超体积指标从多目标优化角度全面评估扰动强度范围内的鲁棒性，并采用新训练算法均匀增强鲁棒性，为防御模型评估建立新标准。
2024-11-17 cs.AI cs.CR cs.CV
Internal Wasserstein Distance for Adversarial Attack and Defense
Shenzhen Youjia Innov Tech Co., Ltd（深圳佑驾创新科技有限公司）；South China University of Technology（华南理工大学）；Hong Kong University of Science and Technology（香港科技大学）
众所周知，深度神经网络（DNN）容易受到对抗攻击的攻击，这些攻击会触发DNN的错误分类，但人类感知可能无法察觉。对抗性防御是提高DNN鲁棒性的重要途径。现有的攻击方法通常依赖于$\ell_p$距离等度量来构造对抗样本。然而，这些度量由于其有限的扰动而不足以进行对抗攻击。在本文中，我们提出了一个新的内部Wasserstein距离（IWD）来捕获两个样本的语义相似性，因此它有助于获得更大的扰动比目前使用的度量，如$\ell_p$距离。然后，我们应用内部Wasserstein距离来执行对抗攻击和防御。特别是，我们开发了一种新的攻击方法，依靠IWD来计算图像及其对抗性示例之间的相似性。通过这种方式，我们可以生成多样化和语义相似的对抗性示例，这些示例更难以通过现有的防御方法进行防御。此外，我们设计了一种新的防御方法，依靠IWD来学习鲁棒的模型来对抗未知的对抗性示例。我们提供了全面的理论和经验证据来支持我们的方法。
2023-02-21 cs.CR cs.LG
