生成对抗网络的环境隐藏空间

环境去噪扩散生成对抗网络：从噪声图像数据建立随机对象模型

Ambient Denoising Diffusion Generative Adversarial Networks for Establishing Stochastic Object Models from Noisy Image Data

提出环境去噪扩散生成对抗网络（ADDGAN），从含噪声医学图像中学习随机对象模型，在CT和DBT图像上优于AmbientGAN。

状态具体化网络：通过对隐藏表示的分布进行建模来提高泛化能力

State-Reification Networks: Improving Generalization by Modeling the Distribution of Hidden Representations

机器学习承诺从有限标记数据中很好地推广方法。然而，现有的神经网络方法的脆弱性被显着的失败所揭示，例如存在尽管与训练样本几乎相同但被错误分类的对抗样本，或者在没有教师强迫的情况下，递归序列处理网络无法保持在轨道上。我们介绍了一种方法，我们称之为\emph{state reification}，它涉及到建模的隐藏状态的分布在训练数据，然后预测隐藏状态在测试过程中观察到这个分布。我们的直觉是，如果网络可以保持在一个熟悉的隐藏空间流形中，那么网络的后续层应该得到很好的训练，以做出适当的反应。我们证明了这种状态具体化方法有助于神经网络更好地泛化，特别是当标记数据稀疏时，并且还有助于克服通过对抗训练实现鲁棒泛化的挑战。

再现AmbientGAN：从有损测量生成模型

Reproducing AmbientGAN: Generative models from lossy measurements

近年来，生成对抗网络（GANs）在建模复杂的数据分布方面取得了实质性进展。这些网络受到了极大的关注，因为它们可以生成隐式概率模型，使用随机过程生成真实的数据。虽然这些模型在不同的场景中被证明是非常有效的，但它们需要大量完全观察到的训练样本。在许多应用中，访问这样的样本是困难的，甚至是不切实际的，只有噪声或部分观测所需的分布是可用的。最近的研究试图解决不完全观察样本的问题，以恢复数据的分布。\citep{zhu2017unpaired}和\citep{yeh2016semantic}分别提出了利用循环一致性和潜在空间映射求解对抗网络中不适定逆问题的方法。\citep{bora2017compressed}和\citep{kabkab2018task}已经将类似的对抗性方法应用于压缩感知的问题。在这项工作中，我们专注于GAN模型的一个新的变种称为Ambient GAN，它将测量过程（例如，添加噪声，数据删除和投影）到GAN训练。而在标准GAN中，测量器将生成的图像与真实图像区分开，在Ambient GAN模型中，测量器必须将生成的图像的真实测量与模拟测量分离。\citep{bora2018ambientgan}的结果是非常有前途的问题的不完整的数据，并有潜在的重要意义的生成方法，压缩感知和不适定问题。

EVGen：用于学习电动汽车充电负载和隐藏表示的对抗网络

EVGen: Adversarial Networks for Learning Electric Vehicle Charging Loads and Hidden Representations

随着运输业脱碳竞赛的加剧，运输、电网和消费者行为之间的联系比以往任何时候都更加明显。交通领域的电气化导致了技术转变和电动汽车（EV）的快速部署。随机和空间异构充电负荷的潜在增加提出了一个独特的挑战，尚未得到很好的研究，如果不进行有效管理，将对电网运营，排放和系统可靠性产生重大影响。现实场景生成器可以帮助操作员做好准备，为此可以利用机器学习。在这项工作中，我们开发了生成对抗网络（GANs）来学习电动汽车（EV）充电会话的分布和分解表示。我们表明，这种模型结构成功地参数化无标记的时间和功率模式，而无需监督，并能够生成合成数据这些参数的条件。我们用高斯混合模型（GARCH）对该模型的生成能力进行了基准测试，并根据经验表明，我们提出的模型框架在捕获充电分布和时间动态方面更好。

预训练中通过对抗训练获得更优表征：一个理论视角

Better Representations via Adversarial Training in Pre-Training: A Theoretical Perspective

本文针对预训练模型的对抗鲁棒性可被下游任务继承的现象提供理论解释，揭示两层神经网络中特征纯化的关键作用，证明对抗训练能纯化隐藏节点，使下游任务经干净训练就具备对抗鲁棒性，结论适用于监督预训练和对比学习。

生成对抗网络：最新进展

Generative Adversarial Networks: recent developments

在传统的生成式建模中，良好的数据表示通常是良好的机器学习模型的基础。它可以链接到编码更多隐藏在原始数据中的解释性因素的良好表示。随着生成对抗网络（GANs）的发明，生成模型的一个子类，能够以无监督和半监督的方式学习表示，我们现在能够从简单的先验分布到目标数据分布的良好映射。本文概述了GANs的最新发展，重点是学习潜在空间表示。

线性判别生成对抗网络

Linear Discriminant Generative Adversarial Networks

我们开发了一种新的方法来训练GANs，用于无监督和类条件生成图像，称为线性判别GAN（LD-GAN）。LD-GAN的递归被训练以最大化生成样本和目标样本的隐藏表示的分布之间的线性可分性，而生成器基于通过对隐藏表示执行LDA而计算的决策超平面进行更新。LD-GAN提供了一个具体的分离能力的度量标准，我们的实验表明，在无监督的情况下，通过校准生成器和鉴别器之间的更新频率，可以简单地稳定LD-GAN的训练，而无需使用归一化方法和对权重的约束。在类条件生成任务中，与采用辅助分类器的WGAN相比，所提出的方法显示出更好的训练稳定性以及更好的泛化性能。

退火生成对抗网络

Annealed Generative Adversarial Networks

我们引入了一个新的对抗训练框架，其中目标分布在均匀分布和数据分布之间退火。我们假设了一个猜想，即在非参数制度下的连续退火学习是稳定的，而不管目标函数中的发散措施，并提出了一个算法，称为GAN-GAN，在推论。在这个框架中，生成网络的初始支持是整个环境空间的事实结合退火是平衡极小极大博弈的关键。在我们对合成数据、MNIST和CelebA的实验中，具有固定退火时间表的M-GAN-GAN是稳定的，并且没有遭受模式崩溃。

Manifold Mixup：通过内插隐藏状态实现更好的表示

Manifold Mixup: Better Representations by Interpolating Hidden States

深度神经网络擅长学习训练数据，但在对略有不同的测试示例进行评估时，往往会提供不正确和自信的预测。这包括分布偏移、离群值和对抗性示例。为了解决这些问题，我们提出了Manifold Mixup，这是一个简单的正则化器，它鼓励神经网络对隐藏表示的插值进行不那么自信的预测。Manifold Mixup利用语义插值作为额外的训练信号，在多个表示级别上获得具有更平滑决策边界的神经网络。因此，使用Manifold Mixup训练的神经网络学习具有较少方差方向的类表示。我们证明了为什么这种扁平化在理想条件下发生的理论，在实际情况下验证它，并将其与以前的信息论和泛化工作联系起来。尽管不会产生大量的计算，并且在几行代码中实现，但Manifold Mixup提高了监督学习的强大基线，对单步对抗攻击的鲁棒性和测试对数似然性。

直接上升合成：揭示判别模型中隐藏的生成能力

Direct Ascent Synthesis: Revealing Hidden Generative Capabilities in Discriminative Models

该研究挑战判别与生成模型的根本区别，提出直接上升合成（DAS）方法，通过多分辨率优化CLIP表示，在无额外训练下实现高质量图像合成，支持多样应用并揭示判别模型隐藏的生成能力。

使用生成对抗网络对文档进行建模

Modeling documents with Generative Adversarial Networks

本文描述了一种使用生成对抗网络来学习自然语言文档的分布式表示的方法。我们提出了一个模型，该模型是基于最近提出的基于能量的GAN，而是使用一个去噪自动编码器作为网络。文档表示提取的隐藏层中的隐藏层和定量和定性的评价。

A3T：对抗增强对抗训练

A3T: Adversarially Augmented Adversarial Training

最近的研究表明，深度神经网络对所谓的对抗性扰动高度敏感，对抗性扰动是输入数据的微小扰动，旨在欺骗机器学习分类器。大多数分类模型，包括深度学习模型，都极易受到对抗攻击的攻击。在这项工作中，我们研究了一种通过增强表示不变性来提高深度神经网络对抗鲁棒性的方法。其思想是训练分类器与附加到其隐藏层之一的过滤器联合，并训练过滤对抗性噪声。我们进行了初步实验来测试该方法的可行性，并将其与其他标准对抗训练方法进行比较。

隐写生成对抗网络

Steganographic Generative Adversarial Networks

隐写术是将秘密信息（“有效载荷”）隐藏在非秘密信息（“容器”）内的方法的集合。它的对应物，隐写分析，是确定消息是否包含隐藏的有效载荷，并在可能的情况下恢复它的做法。隐藏有效载荷的存在通常由二元分类器检测。在本研究中，我们提出了一种基于深度卷积生成对抗网络（DCGAN）生成图像状容器的新模型。这种方法允许使用标准的隐写算法生成更安全的消息嵌入。实验结果表明，该模型能够成功地欺骗隐写分析器，因此可以用于隐写应用中。

玻尔兹曼编码对抗机器

Boltzmann Encoded Adversarial Machines

受限玻尔兹曼机（RBM）是一类生成神经网络，其通常被训练以最大化对数似然目标函数。我们认为，基于似然的训练策略可能会失败，因为目标没有充分惩罚那些在训练数据分布概率较低的区域中放置高概率的模型。为了克服这个问题，我们引入了玻尔兹曼编码对抗机器（BEAM）。BEAM是针对对手训练的RBM，对手使用RBM的隐藏层激活来区分训练数据和模型生成的概率分布。我们提出的实验表明，BEAM在多个基准测试中优于RBM和GANs。

Distribution Approximation and Statistical Estimation Guarantees of Generative Adversarial Networks

Generative Adversarial Networks (GANs) have achieved a great success in unsupervised learning. Despite its remarkable empirical performance, there are limited theoretical studies on the statistical properties of GANs. This paper provides approximation and statistical guarantees of GANs for the estimation of data distributions that have densities in a Hölder space. Our main result shows that, if the generator and discriminator network architectures are properly chosen, GANs are consistent estimators of data distributions under strong discrepancy metrics, such as the Wasserstein-1 distance. Furt…

适当的网络可解释性有助于分类中的对抗鲁棒性

Proper Network Interpretability Helps Adversarial Robustness in Classification

最近的工作经验表明，存在对抗性的例子，可以隐藏神经网络的可解释性（即，使网络解释图在视觉上相似），或可解释性本身容易受到对抗攻击。在本文中，我们从理论上证明，通过适当的解释测量，实际上很难防止预测规避对抗攻击引起解释差异，正如MNIST、CIFAR-10和Restricted ImageNet上的实验所证实的那样。在此基础上，我们开发了一个可解释性感知的防御方案，该方案仅建立在促进鲁棒解释的基础上（而不需要诉诸对抗性损失最小化）。我们表明，我们的防御实现了鲁棒的分类和鲁棒的解释，特别是针对大扰动攻击的最先进的对抗性训练方法。

Feature Purification: How Adversarial Training Performs Robust Deep Learning

Despite the empirical success of using Adversarial Training to defend deep learning models against adversarial perturbations, so far, it still remains rather unclear what the principles are behind the existence of adversarial perturbations, and what adversarial training does to the neural network to remove them. In this paper, we present a principle that we call Feature Purification, where we show one of the causes of the existence of adversarial examples is the accumulation of certain small dense mixtures in the hidden weights during the training process of a neural network; and more importan…

生成对抗网络用于物理康复运动片段的生成和分类

Generative adversarial networks for generation and classification of physical rehabilitation movement episodes

本文提出了一种方法，通过使用人工神经网络的物理治疗过程中进行的患者运动情节相关的人体运动的数学建模。采用生成对抗网络结构，由此以对抗方式同时训练判别模型和生成模型。不同的网络架构进行了检查，与歧视性和生成模型结构的深层子网络的隐藏层组成的卷积或循环计算单元。该模型进行了验证的数据集上的人体运动记录与光学运动跟踪器。结果表明，新的运动实例的分类的网络的能力，并生成类似于所记录的运动序列的运动示例。

使用渐进增长AmbientGANs从医学成像测量中学习随机对象模型

Learning stochastic object models from medical imaging measurements using Progressively-Growing AmbientGANs

它一直主张，医学成像系统和重建算法应进行评估和优化，通过使用客观的图像质量的措施，量化的性能观察员在特定的诊断任务。一个重要的可变性来源，可以显着限制观察者的表现是变化的对象被成像。这种可变性的来源可以通过随机对象模型（SOM）来描述。SOM是一种生成模型，可用于建立具有规定统计特性的待成像对象的集合。为了准确地对解剖结构和对象纹理的变化进行建模，期望根据通过使用良好表征的成像系统获取的实验成像测量来建立SOM。深度生成神经网络，如生成对抗网络（GANs），在这方面具有巨大的潜力。然而，传统的GANs通常通过使用受测量噪声和重建过程的影响的重建图像来训练。为了规避这一点，已经提出了一种AmbientGAN，其利用测量算子来增强GAN。然而，原始的AmbientGAN无法立即从现代训练程序中受益，例如渐进式增长，这限制了其应用于现实大小的医学图像数据的能力。为了规避这一点，在这项工作中，一个新的渐进式成长的AmbientGAN（ProAmGAN）的战略，建立SOM从医学成像测量。程式化的数值研究对应于常见的医学成像模式进行演示和验证所提出的方法建立SOM。

重新思考生成对抗网络的编辑：一种基于降维的编辑向量估计方法

Rethinking the editing of generative adversarial networks: a method to estimate editing vectors based on dimension reduction

本文提出一种不依赖语义分割和可微网络的GAN编辑向量估计方法，通过改进LDA处理二元和连续特征编辑，在服装、肤色等非语义特征上表现良好。

生成对抗网络学习分布的误差分析

An error analysis of generative adversarial networks for learning distributions

本文研究了生成对抗网络（GANs）如何从有限样本中学习概率分布。我们的主要结果建立了GANs在通过Hölder类定义的积分概率度量集合下的收敛速率，包括Wasserstein距离作为特例。我们还表明，GANs能够自适应地学习低维结构的数据分布或具有Hölder密度，当网络架构选择得当。特别是，对于集中在低维集合周围的分布，我们证明了GANs的学习率不依赖于高环境维度，而是依赖于较低的内在维度。我们的分析是基于一个新的预言不等式分解的生成元和非线性逼近误差和统计误差，这可能是独立的利益的估计误差。

利用GANs的隐藏任务：使隐式子问题显式化

Exploiting the Hidden Tasks of GANs: Making Implicit Subproblems Explicit

我们对生成对抗网络（GANs）的训练提出了另一种观点，表明GAN生成器的训练步骤分解为两个隐式子问题。在第一种方法中，该方法通过近似地反转分类器标签，以“逆例子”的形式向生成器提供新的目标数据。在第二个例子中，这些例子被用来作为目标，通过最小二乘回归更新发电机，而不管指定的训练网络的主要损失。我们通过实验验证了我们的主要理论结果，并证明了显着的改进标准的GAN培训，使这些子问题明确。

对抗性自动编码器

Adversarial Autoencoders

在本文中，我们提出了“对抗自动编码器”（AAE），这是一个概率自动编码器，它使用最近提出的生成对抗网络（GAN）进行变分推理匹配的聚合后验的隐藏代码向量的自动编码器与任意先验分布。将聚合后验与先验进行匹配可确保从先验空间的任何部分生成有意义的样本。因此，对抗性自动编码器的解码器学习一个深度生成模型，该模型将强加的优先级映射到数据分布。我们展示了对抗性自动编码器如何用于半监督分类、图像的风格和内容分解、无监督聚类、降维和数据可视化等应用。我们在MNIST、Street View House Numbers和Toronto Face数据集上进行了实验，结果表明，对抗性自编码器在生成建模和半监督分类任务中取得了有竞争力的结果。

生成对抗网络的似然估计

Likelihood Estimation for Generative Adversarial Networks

我们提出了一种简单的方法来评估生成对抗网络（GANs）中生成图像的质量。该方法可以应用于任何类型的GAN，而不会干扰学习过程或影响学习目标。其中心思想是定义一个与生成图像的质量相关的似然函数。特别是，我们从真实图像的嵌入（隐藏的激活）的分布中导出高斯似然函数，并基于此，定义两个简单的度量，来衡量生成图像的嵌入是来自真实图像的嵌入的分布的可能性。这为生成的图像产生了一个简单的适应度度量，适用于所有种类的GANs。CIFAR-10上的实证结果表明，所提出的措施和所产生的图像的感知质量之间有很强的相关性。

变分自编码器的对抗图像

Adversarial Images for Variational Autoencoders

我们研究自动编码器的对抗攻击。我们提出了一个程序，扭曲的输入图像误导自动编码器重建一个完全不同的目标图像。我们攻击内部潜在表征，试图使敌对输入产生与目标尽可能相似的内部表征。我们发现，自编码器比分类器更强大的攻击：虽然有些例子有可容忍的小输入失真，和合理的相似性的目标图像，有一个准线性的权衡这些目标。我们报告了MNIST和SVHN数据集的结果，并测试了常规的确定性自动编码器，在所有情况下都得出了类似的结论。最后，我们表明，通常的对抗攻击的分类器，而更容易，也提出了一个直接的比例失真的输入，和误导的输出。然而，这种比例性被输出的归一化所隐藏，它将线性层映射为非线性概率。

我错了吗？- 研究对抗性示例及其对高斯过程机器学习模型中不确定性的影响

How Wrong Am I? - Studying Adversarial Examples and their Impact on Uncertainty in Gaussian Process Machine Learning Models

机器学习模型容易受到对抗性样本的影响：对输入样本的微小扰动，故意造成错误分类。目前针对对抗性示例的防御，特别是深度神经网络（DNN），主要来自经验发展，其安全保证通常只能追溯性地证明。因此，许多防御依赖于隐藏的假设，这些假设随后被越来越复杂的攻击所颠覆。这并不奇怪：众所周知，深度学习缺乏一个全面的数学框架来提供有意义的保证。在本文中，我们利用高斯过程来研究贝叶斯推理框架中的对抗性示例。在不同的模型和数据集中，我们发现偏差水平的不确定性反映了最先进的攻击（包括对高斯过程的新型白盒攻击）引入到良性样本中的扰动。我们的实验表明，即使是未优化的不确定性阈值在许多情况下也会拒绝对抗性示例。备注：在arXiv：1812.02606（The limitations of model uncertainty in adversarial settings）中完成的修改攻击可以打破模型不确定性。

逆鲁棒推广的Rademacher复杂性

Rademacher Complexity for Adversarially Robust Generalization

许多机器学习模型容易受到对抗攻击的攻击;例如，添加人类无法感知的对抗扰动通常会使机器学习模型产生高置信度的错误预测。此外，尽管我们可以通过对抗训练在训练数据集上获得鲁棒的模型，但在某些问题中，学习的模型不能很好地推广到测试数据。本文针对$\ell_\infty$攻击，从Rademacher复杂度的角度研究了抗逆鲁棒泛化问题。对于二进制线性分类器，我们证明了紧边界的对抗Rademacher复杂性，并表明，对抗Rademacher复杂性是永远不会小于其自然对应，它有一个不可避免的尺寸依赖，除非权重向量有界$\ell_1$规范。结果也扩展到多类线性分类器。对于（非线性）神经网络，我们证明了对抗性Rademacher复杂性中的维数依赖性也是存在的.我们进一步考虑了一个隐藏层ReLU网络的代理对抗损失，并证明了该设置的边际界限。我们的研究结果表明，对权重矩阵进行$\ell_1$范数约束可能是提高对抗环境中泛化能力的一种潜在方法。我们证明了实验结果，验证了我们的理论研究结果。

双随机对抗自动编码器

Doubly Stochastic Adversarial Autoencoder

任何自动编码器网络都可以通过对其隐藏代码向量施加任意先验分布而变成生成模型。变分自编码器（VAE）[2]使用KL发散惩罚来施加先验，而对抗自动编码器（AAE）[1]使用{ \it生成对抗网络} GAN [3]。GAN将{ \it采样}算法的复杂性与极小极大博弈中{ \it搜索}纳什均衡的复杂性进行了交换。这种极大极小架构在数据示例和流经生成器和对手的梯度的帮助下进行训练。AAE的一个直接修改是用最大平均差异（MMD）检验代替对手[4-5]。这种替换导致了一种新型的概率自动编码器，这也是我们的论文中讨论。我们提出了一种新的概率自动编码器中的对手AAE被替换为空间的{ \it随机}功能。该替换引入了新的随机性源，其可以被认为是用于鼓励{ \it探索}的连续控制。这可以防止对手过于接近生成器，从而导致生成的样本更加多样化。

城市室外空气污染的条件生成对抗网络模型

Conditional Generative Adversarial Networks to Model Urban Outdoor Air Pollution

这是一个相关的问题，因为大多数城市的设计优先考虑使用机动车辆，近年来，机动车辆降低了空气质量，对城市健康产生了负面影响。对环境空气污染进行建模、预测和预报是解决这一问题的重要途径，有助于决策者和城市规划者了解这一现象并采取解决方案。通常，用于建模、预测和预报室外污染的数据驱动方法需要大量数据，这可能会限制其准确性。为了处理这样一个缺乏数据，我们建议训练模型能够生成合成二氧化氮每日时间序列根据一个给定的分类，这将允许无限生成的现实数据。主要实验结果表明，该方法能够生成准确和多样的污染日时间序列，同时需要减少计算时间。

环境维度与内在维度差距对对抗脆弱性的影响

Effect of Ambient-Intrinsic Dimension Gap on Adversarial Vulnerability

本研究引入流形上和流形外对抗攻击概念，证明数据内在维度与环境维度的差距使2层ReLU网络更易受流形外对抗扰动影响，并给出了攻击强度与维度差距的显式关系。

随机深度神经网络的对抗鲁棒性保证

Adversarial Robustness Guarantees for Random Deep Neural Networks

深度学习算法的可靠性从根本上受到对抗性示例的挑战，这些示例是错误分类的输入，非常接近正确分类的输入。我们探索了具有随机权重和偏差的深度神经网络的对抗性示例的属性，并证明了对于任何$p\ge1$，任何给定输入到分类边界的$\ell^p$距离都是输入维度乘以输入$\ell^p$范数的平方根。结果是基于最近证明的高斯过程和深层神经网络之间的等价性在无限宽度的隐藏层的限制，并验证了随机深层神经网络和深层神经网络在MNIST和CIFAR10数据集上训练的实验。这些结果构成了对抗性示例的理论理解的根本性进步，并为网络架构与对抗性扰动鲁棒性之间关系的彻底理论表征开辟了道路。

学习使用生成对抗网生成椅子

Learning to Generate Chairs with Generative Adversarial Nets

生成对抗网络（GANs）最近获得了极大的普及，因为它能够通过生成的对象来增强其预测模型的质量，以及通过监督反馈来增强生成模型的质量。GANs允许合成具有高度真实感的图像。然而，这类模型的学习过程是一个非常复杂的优化问题，并且存在一定的局限性，影响了体系结构设计时某些层的选择和非线性的处理。特别是，它不允许训练具有全连接隐藏层的卷积GAN模型。在我们的工作中，我们提出了一个修改之前描述的规则集，以及新的方法来设计架构，这将使我们能够训练更强大的GAN模型。我们证明了我们的方法的有效性的问题上的合成投影的三维物体的插值类和视点的可能性。

对抗攻击隐藏在众目睽睽之下

Adversarial attacks hidden in plain sight

近年来，卷积神经网络已被用于取得一系列成功，但其缺乏可解释性仍然是一个严重的问题。对抗性示例被设计成故意欺骗神经网络做出任何所需的错误分类，可能具有非常高的确定性。几种防御方法增加了对对抗攻击的鲁棒性，要求更大规模的攻击，这导致可见的伪影。通过考虑人类的视觉感知，我们组成了一个技术，允许隐藏这样的对抗攻击在高复杂性的区域，这样他们是察觉不到的，即使是一个精明的观察者。我们进行了一个用户研究分类adversarially修改的图像，以验证我们的方法的感知质量，并找到重要的证据，其隐藏与人类的视觉感知。

FlowMo-WM：具有物体动量和隐藏环境漂移的世界模型

FlowMo-WM: A World Model with Object Momentum and Hidden Ambient Drift

提出FlowMo-WM，一种端到端可训练的视觉世界模型，通过分解图像-动作历史为短历史潜在状态和长历史上下文，分别建模物体运动和环境漂移，提升水下机器人等场景的长程预测精度。

Incorporating Hidden Layer representation into Adversarial Attacks and Defences

In this paper, we propose a defence strategy to improve adversarial robustness by incorporating hidden layer representation. The key of this defence strategy aims to compress or filter input information including adversarial perturbation. And this defence strategy can be regarded as an activation function which can be applied to any kind of neural network. We also prove theoretically the effectiveness of this defense strategy under certain conditions. Besides, incorporating hidden layer representation we propose three types of adversarial attacks to generate three types of adversarial examples…

研究对抗扰动中隐藏的人类可识别特征

Investigating Human-Identifiable Features Hidden in Adversarial Perturbations

本文通过三个数据集上的五种攻击算法，识别对抗扰动中的人类可识别特征，揭示无目标攻击的掩蔽效应与有目标攻击的生成效应，并分析跨算法扰动相似性及可迁移性。

隐藏在众目睽睽之下：针对弱势患者群体的不可检测对抗性偏见攻击

Hidden in Plain Sight: Undetectable Adversarial Bias Attacks on Vulnerable Patient Populations

本文研究医学影像 DL 模型面临的人口统计学定向标签投毒攻击，证明其可在不影响整体性能的情况下隐蔽地造成目标群体诊断不足偏见，并在外部数据上延续。

医疗联邦学习的隐藏对抗脆弱性

The Hidden Adversarial Vulnerabilities of Medical Federated Learning

本文研究了医疗联邦学习的对抗脆弱性，发现利用历史全局模型梯度信息初始化单步攻击（如FGSM），可使其效率超越迭代攻击且计算成本更低，呼吁重新审视联邦医疗AI安全。

多任务学习中隐藏任务的对抗攻击

Adversarial Attacks on Hidden Tasks in Multi-Task Learning

本文提出一种利用非目标任务和共享骨干网络信息攻击多任务模型中隐藏任务的方法，在CelebA和DeepFashion上验证了其能降低隐藏任务准确率而不影响可见任务。

通过梯度信号恢复揭示自编码器中的隐藏漏洞

Revealing Hidden Vulnerabilities in Autoencoders through Gradient Signal Restoration

针对自编码器对抗攻击中梯度消失导致鲁棒性被高估的问题，提出GRILL框架恢复梯度信号，显著提升攻击效果，暴露隐藏漏洞。

通过对抗性噪声传播训练鲁棒深度神经网络

Training Robust Deep Neural Networks via Adversarial Noise Propagation

在实践中，人们发现深度神经网络容易受到各种类型的噪声的影响，例如对抗性样本和腐败。因此，已经开发了各种对抗性防御方法来提高深度模型的对抗性鲁棒性。然而，简单地对混合了对抗性示例的数据进行训练，这些模型中的大多数仍然无法抵御一般类型的噪声。基于隐藏层在保持模型鲁棒性方面起着非常重要的作用，本文提出了一种简单而强大的训练算法\emph{Adversarial Noise Propagation}（ANP），它以逐层的方式将噪声注入到隐藏层中。ANP可以有效地实施，利用向后-向前的训练风格的性质。通过深入的研究，我们确定不同的隐藏层对模型的鲁棒性和准确性有不同的贡献，而浅层比深层相对更重要。此外，我们的框架可以很容易地与其他对抗性训练方法相结合，通过利用隐藏层的潜力来进一步提高模型的鲁棒性。在MNIST、CIFAR-10、CIFAR-10-C、CIFAR-10-P和ImageNet上进行的大量实验表明，ANP使深度模型对对抗性和破坏性模型具有强大的鲁棒性，并且显著优于各种对抗性防御方法。

基于贝叶斯神经网络的对抗样本检测

Adversarial Examples Detection with Bayesian Neural Network

本文提出基于贝叶斯神经网络的对抗样本检测器BATer，利用随机性模拟隐藏层输出分布并以分布离散度区分自然样本与对抗样本，在多个基准数据集上取得优于现有检测器的性能。

Unreasonable Effectiveness of Last Hidden Layer Activations for Adversarial Robustness

In standard Deep Neural Network (DNN) based classifiers, the general convention is to omit the activation function in the last (output) layer and directly apply the softmax function on the logits to get the probability scores of each class. In this type of architectures, the loss value of the classifier against any output class is directly proportional to the difference between the final probability score and the label value of the associated class. Standard White-box adversarial evasion attacks, whether targeted or untargeted, mainly try to exploit the gradient of the model loss function to c…

自身对抗攻击作为免疫组织化学染色的增强方法

Self adversarial attack as an augmentation method for immunohistochemical stainings

它已被证明，不成对的图像到图像的转换方法，由循环一致性的约束隐藏的信息，准确的输入重建不可感知的噪声。我们证明，当应用于组织病理学数据时，这种隐藏的噪声似乎与染色特异性特征相关，并且表明这是在翻译为高碘酸-希夫（PAS）（一种通常应用于肾脏病理学的组织化学染色方法）期间的两种免疫组织化学染色的情况。此外，通过扰动这些隐藏的信息，翻译模型会产生不同的、看似合理的输出。我们证明，这个属性可以用作增强方法，在监督肾小球分割的情况下，导致性能提高。

揭示隐藏在快速对抗训练中灾难性过拟合背后的后门机制

Unveiling the Backdoor Mechanism Hidden Behind Catastrophic Overfitting in Fast Adversarial Training

本文通过后门视角解释了快速对抗训练中的灾难性过拟合，提出统一框架并提出缓解策略，实验验证了方法有效性。

限制深度神经网络隐藏空间的对抗防御

Adversarial Defense by Restricting the Hidden Space of Deep Neural Networks

深度神经网络容易受到对抗攻击的攻击，这种攻击可以通过向输入图像添加微小的扰动来欺骗它们。现有防御的鲁棒性在白盒攻击设置下会受到很大影响，其中对手对网络有充分的了解，并且可以多次搜索以找到强烈的扰动。我们观察到，存在这种扰动的主要原因是在学习的特征空间中不同类别的样本非常接近。这允许通过在输入中添加不可察觉的扰动来完全改变模型决策。为了解决这个问题，我们建议按类别解开深度网络的中间特征表示。具体地说，我们迫使每个类的功能，躺在一个凸多面体，最大限度地从其他类的多面体分离。通过这种方式，网络被迫为每个类学习不同的和遥远的决策区域。我们观察到，这种对特征的简单约束极大地增强了学习模型的鲁棒性，即使是针对最强的白盒攻击，也不会降低干净图像的分类性能。我们报告了在黑盒和白盒攻击场景中的广泛评估，并与最先进的防御相比显示出显着的收益。

Fortified Networks：通过对隐藏表示的流形进行建模来提高深度网络的鲁棒性

Fortified Networks: Improving the Robustness of Deep Networks by Modeling the Manifold of Hidden Representations

深度网络在各种重要任务中取得了令人印象深刻的成果。然而，一个已知的弱点是，当对与训练分布不同的数据进行评估时，即使这些差异非常小，也无法表现良好，就像对抗性示例一样。我们提出了强化网络，这是对现有网络的一种简单转换，它通过识别隐藏状态何时脱离数据流形来强化深层网络中的隐藏层，并将这些隐藏状态映射回网络性能良好的数据流形部分。我们的主要贡献是证明强化这些隐藏状态可以提高深度网络的鲁棒性，我们的实验（i）证明了在黑盒和白盒威胁模型中对标准对抗性攻击的鲁棒性有所提高;（ii）表明我们的改进主要不是由于梯度掩蔽问题，以及（iii）显示了在隐藏层而不是输入空间中进行这种强化的优势。

基于情感分析的新型对抗图像检测方法

New Adversarial Image Detection Based on Sentiment Analysis

针对深度神经网络易受对抗样本攻击且现有检测技术滞后的问题，提出基于情感分析的新型对抗样本检测器，通过模块化嵌入层转换隐层特征图进行检测，在多数据集和网络上性能优于现有最优方法，且参数量小、检测速度快。

基于李雅普诺夫理论的深度神经网络抗对抗攻击的鲁棒设计

Robust Design of Deep Neural Networks against Adversarial Attacks based on Lyapunov Theory

深度神经网络（DNN）很容易受到施加到输入的细微对抗性扰动的影响。这些对抗性扰动虽然难以察觉，但很容易误导DNN。在这项工作中，我们采取控制理论的方法来解决DNN的鲁棒性问题。我们将DNN的每个单独层视为非线性动力系统，并使用李雅普诺夫理论证明局部稳定性和鲁棒性。然后，我们继续证明整个DNN的稳定性和鲁棒性。我们开发经验紧边界的输出层，或任何隐藏层的响应，对抗扰动添加到输入，或隐藏层的输入。最近的工作提出了谱范数正则化作为提高对l2对抗攻击的鲁棒性的解决方案。我们的研究结果为谱范数正则化如何减轻对抗效应提供了新的见解。最后，我们评估了我们的方法在各种数据集和网络架构上的能力，以及对一些著名的对抗攻击的能力。

周期一致性对抗学习作为近似贝叶斯推断

Cycle-Consistent Adversarial Learning as Approximate Bayesian Inference

我们正式学习域间的对应关系的问题，在没有成对的数据作为贝叶斯推断的潜变量模型（LVM），其中一个寻求潜在的隐藏表示的实体从一个域的实体从其他域。首先，我们引入隐式潜变量模型，其中隐藏表示的先验可以灵活地指定为隐式分布。接下来，我们开发了一个新的变分推断（VI）算法，该模型的基础上最小化的对称Kullback-Leibler（KL）之间的分歧变分联合和确切的联合分布。最后，我们证明了最先进的周期一致性对抗学习（CYCLEGAN）模型可以作为我们提出的VI框架中的特例导出，从而建立了与近似贝叶斯推断方法的联系。

通过污染批量数据操纵隐马尔可夫模型推断

Manipulating hidden-Markov-model inferences by corrupting batch data

本文从对抗性风险分析视角研究通过污染批量数据操纵隐马尔可夫模型滤波、平滑与解码推断的问题，提出多种随机规划模型与三类求解方法，并通过实证测试揭示其安全弱点。

一个简单的防御对抗攻击的热图解释

A simple defense against adversarial attacks on heatmap explanations

随着机器学习模型被用于更敏感的应用，我们依赖于可解释性方法来证明没有区分属性用于分类。一个潜在的问题是所谓的“公平清洗”-操纵模型，使现实中使用的功能被隐藏，而更无害的功能被显示为重要的。在我们的工作中，我们提出了一个有效的防御这种对抗攻击的神经网络。通过多种解释方法的简单聚合，网络变得对操纵具有鲁棒性。即使攻击者对模型权重和所使用的解释方法有确切的了解，也是如此。

基于对抗攻击的图像字幕生成

Controlled Caption Generation for Images Through Adversarial Attacks

深度学习被发现容易受到对抗性样本的影响。然而，它的对抗敏感性在图像字幕生成的探索不足。我们研究了视觉和语言模型的对抗性示例，这些模型通常采用由两个主要组件组成的编码器-解码器框架：卷积神经网络（即，CNN）用于图像特征提取，以及递归神经网络（RNN）用于字幕生成。特别是，我们研究了对视觉编码器的隐藏层的攻击，该隐藏层被馈送到随后的递归网络。现有的方法要么攻击视觉编码器的分类层，要么从语言模型反向传播梯度。相比之下，我们提出了一种基于GAN的算法，用于为神经图像描述制作对抗性示例，该算法模仿CNN的内部表示，使得输入图像的深度特征能够通过递归网络生成受控的不正确字幕。我们的贡献提供了新的见解理解对抗攻击的视觉系统与语言组件。该方法采用两种策略进行综合评价。第一个检查神经图像描述系统是否会被误导而输出目标图像标题。第二部分分析了关键词进入预测字幕的可能性。实验表明，我们的算法可以制作有效的对抗图像的基础上，CNN隐藏层欺骗字幕框架。此外，我们发现提出的攻击是高度可转移的。我们的工作导致新的鲁棒性的神经图像描述的影响。

HiDDeN：使用深度网络隐藏数据

HiDDeN: Hiding Data With Deep Networks

最近的研究表明，深度神经网络对输入图像的微小扰动高度敏感，从而产生对抗性示例。虽然这个属性通常被认为是学习模型的弱点，但我们将探讨它是否有益。我们发现，神经网络可以学习使用不可见的扰动来编码大量有用的信息。事实上，人们可以利用这种能力来完成数据隐藏任务。我们联合训练编码器和解码器网络，其中给定输入消息和覆盖图像，编码器产生视觉上无法区分的编码图像，解码器可以从中恢复原始消息。我们表明，这些编码与现有的数据隐藏算法是有竞争力的，而且它们可以对噪声具有鲁棒性：我们的模型学习重建编码图像中的隐藏信息，尽管存在高斯模糊，像素丢失，裁剪和JPEG压缩。即使JPEG是不可微的，我们表明，一个强大的模型可以使用微分近似训练。最后，我们证明了对抗训练提高了编码图像的视觉质量。