Structured Linear Contextual Bandits: A Sharp and Geometric Smoothed Analysis
University of Minnesota, Twin Cities（明尼苏达大学双城分校）
Bandit学习算法通常涉及探索和利用的平衡。然而，在许多实际应用中，很少遇到需要系统探索的最坏情况。在这项工作中，我们考虑了结构化线性上下文强盗的平滑设置，其中对抗性上下文受到高斯噪声的干扰，并且未知参数$θ^*$具有结构，例如，稀疏性、组稀疏性、低秩等。我们提出了用于单参数和多参数的简单贪心算法（即，每个上下文的不同参数）设置，并为具有任何假定结构的$θ^*$提供统一的遗憾分析。遗憾的界限表示的几何量，如高斯宽度与$θ^*$的结构。我们还获得了更清晰的遗憾界相比，早期的工作，非结构化$θ^*$设置作为我们改进的分析的结果。我们表明，有一个简单的贪心算法工程的平滑设置中的隐式探索。
2020-02-26 cs.LG math.ST stat.ML
Greedy Algorithm almost Dominates in Smoothed Contextual Bandits
Harvard University（哈佛大学）；Microsoft Research NYC（微软纽约研究院）；Microsoft Research, New York（微软纽约研究院）；Carnegie Mellon University（卡内基梅隆大学）
在线学习算法广泛用于网络搜索和内容优化，必须平衡探索和利用，可能会牺牲当前用户的体验，以获得信息，从而在未来做出更好的决策。虽然在最坏的情况下是必要的，但与总是通过选择当前看起来最优的动作来“利用”的贪心算法相比，显式探索具有许多缺点。我们要问的是，在什么条件下，数据的内在多样性使得明确的探索变得不必要。我们建立在最近的工作线上的线性上下文土匪模型的贪心算法的平滑分析。我们改进了以前的结果表明，贪婪的方法几乎匹配的最佳可能的贝叶斯后悔率的任何其他算法在同一问题的情况下，只要多样性条件成立，这种遗憾是最多$\tilde O(T^{1/3})$。
2021-12-27 cs.LG stat.ML
Certified $\ell_2$ Attribution Robustness via Uniformly Smoothed Attributions
School of Computer Science and Engineering（计算机科学与工程学院）；Nanyang Technological University（南洋理工大学）
本文提出均匀平滑归因方法，为 $\ell_2$ 扰动下的归因余弦相似度提供可证明下界，并在三个数据集上验证其跨架构与训练方案的防御效果。
2024-05-10 cs.LG
Demystifying Online Clustering of Bandits: Enhanced Exploration Under Stochastic and Smoothed Adversarial Contexts
The Chinese University of Hong Kong（香港中文大学）
本文针对老虎机在线聚类中识别用户簇所需的强假设问题，提出UniCLUB和PhaseUniCLUB两种增强探索算法，并引入平滑对抗情境设置以消除i.i.d.要求，在更弱假设下取得与先前工作相当的遗憾界并提升实际性能。
2025-01-01 cs.AI cs.LG stat.ML
A Smoothed Analysis of the Greedy Algorithm for the Linear Contextual Bandit Problem
强盗学习的特点是长期探索和短期剥削之间的紧张关系。然而，正如最近所指出的，在学习算法的选择对应于关于个体的重要决定（例如犯罪累犯预测、贷款和连续药物试验）的设置中，探索对应于明确牺牲一个个体的福祉以获得其他人的潜在未来利益。这引起了一个公平性问题。在这种情况下，人们可能会喜欢运行一个“贪婪”算法，它总是为手头的个人做出（短视的）最佳决策-但这样做可能会导致灾难性的学习失败。在本文中，我们考虑线性上下文强盗问题，并重新审视的贪心算法的性能。我们给出了一个平滑的分析，表明，即使上下文可能选择的对手，小扰动对手的选择足以为算法实现“没有遗憾”，也许（取决于具体的设置）与一个恒定的初始训练数据。这表明，“一般而言”（即在轻微扰动的环境中），勘探和开发在线性环境中不一定发生冲突。
2018-01-10 cs.LG
MACER: Attack-free and Scalable Robust Training via Maximizing Certified Radius
Peking University（北京大学）；Google（谷歌）
对抗性训练是学习鲁棒模型的最流行的方法之一，但通常依赖于攻击并且时间昂贵。在本文中，我们提出了MACER算法，该算法在不使用对抗训练的情况下学习鲁棒模型，但性能优于所有现有的可证明l2防御。最近的工作表明，随机平滑可以用来提供一个认证的l2半径平滑分类器，和我们的算法训练证明强大的平滑分类器通过最大化认证半径（MACER）。无攻击特性使MACER更快地进行训练，更容易优化。在我们的实验中，我们证明了我们的方法可以应用于各种数据集上的现代深度神经网络，包括Cifar-10，ImageNet，MNIST和SVHN。对于所有任务，MACER比最先进的对抗训练算法花费更少的训练时间，并且学习的模型实现了更大的平均认证半径。
2022-03-14 cs.CR cs.LG stat.ML
Accelerated Smoothing: A Scalable Approach to Randomized Smoothing
Indian Institute of Technology, Roorkee（印度鲁基工学院）
提出基于代理神经网络的随机平滑方法，替代蒙特卡洛采样以提升计算效率和可扩展性，并显著加速鲁棒半径认证过程。
2025-03-31 cs.LG
Multi-Armed Bandits for Correlated Markovian Environments with Smoothed Reward Feedback
University of Washington（华盛顿大学）；Harvard University（哈佛大学）
我们研究了一个多臂强盗问题在一个动态的环境中，根据马尔可夫链的手臂奖励的相关方式演变。与许多相关问题的工作不同，在我们的公式中，学习算法不能访问马尔可夫链状态的先验信息或观察，只能观察到平滑的奖励反馈后的时间间隔，我们称之为历元。我们证明了现有的方法，如UCB和$\varepsilon$贪婪可以遭受线性遗憾在这样的环境中。利用马尔可夫链上的混合时间界限，我们开发了名为EpochUCB和EpochGreedy的算法，它们从上述方法中汲取灵感，但承认问题公式的次线性遗憾保证。我们提出的算法进行的时代，其中一个手臂反复播放的迭代次数，线性增长的手臂在过去播放的次数的函数。我们分析这些算法在两种类型的平滑的奖励反馈在每个时代结束时：奖励是一个时代内的折扣奖励的折扣平均值，和奖励是一个时代内的奖励的时间平均值。
2019-03-01 cs.LG
SMUG: Towards robust MRI reconstruction by smoothed unrolling
MSU（密歇根州立大学）
尽管深度学习（DL）在加速磁共振成像（MRI）中越来越受欢迎，但最近的研究表明，基于DL的MRI重建模型可能对微小的输入扰动（称为“对抗性扰动”）过于敏感，这会导致不稳定的低质量重建图像。这就提出了如何设计鲁棒的DL方法进行MRI重建的问题。为了解决这个问题，我们提出了一种新的图像重建框架，称为平滑展开（SMUG），它提出了一种基于深度展开的MRI重建模型，使用随机平滑（RS）为基础的鲁棒学习操作。粗糙集方法提高了模型对输入噪声的容忍度，已被广泛应用于图像分类的对抗性防御设计中。然而，我们发现将RS应用于整个DL过程的传统设计对于MRI重建是无效的。我们表明，SMUG解决了上述问题，定制RS操作的基础上展开架构的DL为基础的MRI重建模型。香草RS的方法和SMUG的几个变种相比，我们表明，SMUG提高了MRI重建的鲁棒性相对于一组不同的扰动源，包括扰动的输入测量，不同的测量采样率，和不同的展开步骤。SMUG的代码将在https://github.com/LGM70/SMUG上提供。
2023-03-14 cs.CV cs.LG eess.IV
Infinite Action Contextual Bandits with Reusable Data Exhaust
University of Virginia（弗吉尼亚大学）；University of Wisconsin–Madison（威斯康星大学麦迪逊分校）；Microsoft Research NYC（微软研究院纽约分院）
针对无限动作上下文赌博机中平滑遗憾方法产生的数据废气缺乏良定义重要性权重、妨碍离线模型选择的问题，本文提出一种保持同等遗憾保证且权重良定义的在线算法，计算成本仅升至平滑度阶且仍与动作集无关。
2023-06-07 cs.LG
Action-Manipulation Attacks Against Stochastic Bandits: Attacks and Defense
University of California, Davis（加利福尼亚大学戴维斯分校）
由于随机多臂强盗模型的广泛应用，了解对抗攻击的影响并设计对攻击具有鲁棒性的强盗算法对于该模型的安全应用至关重要。在本文中，我们介绍了一类新的攻击命名为动作操纵攻击。在这种攻击中，对手可以改变用户选择的动作信号。我们表明，在不知道的平均奖励的武器，我们提出的攻击可以操纵上置信界（UCB）算法，一个广泛使用的强盗算法，拉一个目标手臂非常频繁，只花费对数成本。为了抵御这类攻击，我们引入了一种新的算法，是强大的动作操纵攻击时，总攻击成本的上限。我们证明了我们的算法有一个伪遗憾上限由$\mathcal{O}(\max\{\log T,A\})$，其中$T$是总轮数和$A$是总攻击成本的上界。
2020-02-21 cs.CR cs.LG math.OC
Anti-Bandit Neural Architecture Search for Model Defense
Beihang University（北京航空航天大学）；Xiamen University（厦门大学）；University at Buffalo（布法罗大学）
深度卷积神经网络（DCNN）在机器学习中占据主导地位，但可能受到对抗攻击的挑战。在本文中，我们使用神经架构搜索（NAS）来抵御对抗攻击，该搜索基于去噪块、无权重操作、Gabor滤波器和卷积的综合搜索。由此产生的反强盗NAS（ABanditNAS）采用了一种新的操作评估措施和搜索过程的基础上的置信下限（LCB和UCB）。与传统的强盗算法使用UCB评估，我们使用UCB放弃武器的搜索效率和LCB之间的公平竞争的武器。广泛的实验证明，ABanditNAS比其他NAS方法更快，同时在PGD- $7$下实现了对CIFAR-10的现有技术的$8.73\%$改进。
2020-08-05 cs.CV cs.LG
Online Optimization of Smoothed Piecewise Constant Functions
École normale supérieure（巴黎高等师范学院）；University of Oxford（牛津大学）
研究了区域[0，1）上光滑分段常数函数的在线优化问题.这是由Gupta和Roughgarden（2016）最近引入的框架中自适应选择学习算法参数的问题所激发的。大多数机器学习文献都集中在Lipschitz连续函数或有界梯度函数上。[1]这是有充分理由的-任何学习算法都遭受线性遗憾，即使是对逆选择的分段常数函数，可以说是最简单的非Lipschitz连续函数。我们考虑的平滑设置受到Spielman和Teng（2004）的开创性工作以及Gupta和Roughgarden最近工作的启发-在这种设置中，函数序列可能由对手选择，但是，在不连续的位置存在一些不确定性。我们给出的算法，实现次线性后悔在充分的信息和强盗设置。
2016-05-20 cs.LG stat.ML
Certified Adversarial Defenses Meet Out-of-Distribution Corruptions: Benchmarking Robustness and Simple Baselines
Lawrence Livermore National Laboratory（劳伦斯利弗莫尔国家实验室）；University of Michigan（密歇根大学）；Tulane University（杜兰大学）；IBM Research（IBM研究院）；UC Berkeley（加州大学伯克利分校）
认证的鲁棒性保证衡量模型对测试时攻击的鲁棒性，并可以评估模型在现实世界中部署的准备情况。在这项工作中，我们批判性地研究了当最先进的可证明的鲁棒模型遇到分布外（OOD）数据时，基于随机平滑的认证方法的对抗鲁棒性保证如何变化。我们的分析表明，这些模型对低频OOD数据（如与天气相关的损坏）存在以前未知的脆弱性，使这些模型不适合在野外部署。为了缓解这个问题，我们提出了一种新的数据增强计划，FourierMix，产生增强，以提高频谱覆盖的训练数据。此外，我们提出了一个新的正则化，鼓励一致的预测噪声扰动的增强数据，以提高平滑模型的质量。我们发现，FourierMix增强有助于消除光谱偏差的证明强大的模型，使他们能够实现显着更好的鲁棒性保证一系列的OOD基准。我们的评估还揭示了当前OOD基准在突出模型的光谱偏差方面的无能。为此，我们提出了一个全面的基准套件，包含腐败从不同地区的频谱域。对使用流行的增强方法训练的模型进行评估，突出了它们的频谱偏差，并确定了FourierMix训练模型在整个频谱上OOD偏移下实现更好的认证鲁棒性保证的优越性。
2021-12-01 cs.AI cs.CR cs.LG
Coordinated Attacks against Contextual Bandits: Fundamental Limits and Defense Mechanisms
University of Texas at Austin（得克萨斯大学奥斯汀分校）；Microsoft Research（微软研究院）；Technion（以色列理工学院）
在线推荐系统的动机，我们提出的问题，找到最佳的政策在多任务上下文土匪时，一小部分$α< 1/2$的任务（用户）是任意的和敌对的。其余部分优秀用户与$S$上下文和$A$操作（项）共享相同的上下文强盗实例。当然，用户是好的还是敌对的事先并不知道。我们的目标是鲁棒地学习策略，以尽可能少的用户交互来最大化好用户的奖励。在没有对抗性用户的情况下，协同过滤的既定结果表明，$O(1/ε^2)$每用户交互足以学习一个好的策略，正是因为信息可以在用户之间共享。这种并行化增益从根本上改变了敌对用户的存在：除非有超多项式数量的用户，我们显示了一个下限的$\tildeΩ(\min(S,A) \cdot α^2 / ε^2)$ { \it每用户}的互动学习$ε$的最佳政策的好用户。然后，我们表明，我们可以实现一个$\tilde{O}(\min(S,A)\cdot α/ε^2)$上限，采用有效的鲁棒均值估计单变量和高维随机变量。我们还表明，这可以根据上下文的分布得到改善。
2022-01-30 cs.CR cs.IT cs.LG
Robust MRI Reconstruction by Smoothed Unrolling (SMUG)
Biomedical Engineering (BME) Department at Michigan State University (MSU)（密歇根州立大学生物医学工程系）；Mathematics Department at MSU（密歇根州立大学数学系）；Computer Science and Engineering (CSE) Department at MSU（密歇根州立大学计算机科学与工程系）；Computational Mathematics, Science & Engineering (CMSE) Department at MSU and the Electrical Engineering & Computer Science Department at the University of Michigan（密歇根州立大学计算数学、科学与工程系及密歇根大学电气工程与计算机科学系）；CSE Department at MSU（密歇根州立大学计算机科学与工程系）；CMSE & BME Departments at MSU（密歇根州立大学计算数学、科学与工程系及生物医学工程系）
针对深度学习MRI重建模型对输入扰动敏感、易出现混叠的问题，提出结合深度展开架构定制随机平滑流程的SMUG框架，在多类不稳定场景下提升重建鲁棒性并完成理论分析。
2025-10-03 cs.AI cs.CV cs.LG
Smoothed Online Learning is as Easy as Statistical Learning
MIT（麻省理工学院）
大部分现代学习理论都分为两种模式：经典的离线设置，数据独立到达，在线设置，数据以对抗方式到达。虽然前一种模型通常在计算和统计上都易于处理，但后者不需要分布假设。为了实现两全其美，以前的工作提出了平滑在线设置，其中每个样本都是从一个相反选择的分布中提取的，该分布是平滑的，即，它有一个有界密度相对于一个固定的支配措施。我们提供了严格的界限上的极小极大遗憾学习的非参数函数类，与近最佳的依赖于地平线和平滑参数。此外，我们提供了第一个甲骨文高效，无悔的算法在这种情况下。特别是，我们提出了一个预言高效的不当算法，其遗憾实现最佳依赖的地平线和一个适当的算法，只需要一个单一的预言调用每轮的遗憾具有最佳的地平线依赖的分类设置，一般是次线性的。这两种算法对对手的平滑参数的依赖性指数比极大极小率差。然后，我们证明了任何适当的学习算法，它匹配的甲骨文有效的上限到多项式因子的甲骨文复杂性的下限，从而证明了在平滑的在线学习的计算差距的存在。最后，我们将我们的研究结果的上下文强盗设置表明，如果一个函数类是可学习的经典设置，然后有一个预言机的高效，没有遗憾的算法上下文强盗的情况下，上下文顺利到达。
2022-05-31 cs.LG stat.ML
Data Poisoning Attacks in Contextual Bandits
University of Wisconsin-Madison（威斯康星大学麦迪逊分校）；Google Brain（谷歌大脑）
我们研究离线数据投毒攻击上下文土匪，一类强化学习的问题，在在线推荐和自适应医疗等重要应用。我们提供了一个基于凸优化的通用攻击框架，并表明通过稍微操纵数据中的奖励，攻击者可以迫使强盗算法为目标上下文向量拉一个目标手臂。目标手臂和目标上下文向量都由攻击者选择。也就是说，攻击者可以劫持上下文强盗的行为。我们还调查了这种攻击的可行性和副作用，并确定了未来的防御方向。仿真和真实数据实验验证了算法的有效性。
2018-08-24 cs.CR cs.LG stat.ML
Certified Patch Robustness via Smoothed Vision Transformers
MIT（麻省理工学院）
经过认证的补丁防御可以保证图像分类器对有界连续区域内的任意变化的鲁棒性。但是，目前，这种鲁棒性是以降低标准精度和降低推理时间为代价的。我们演示了如何使用视觉Transformer，使更好的认证补丁的鲁棒性，也是更有效的计算，并不会导致标准精度的大幅下降。这些改进源于视觉Transformer优雅地处理大部分被掩蔽的图像的固有能力。我们的代码可在https://github.com/MadryLab/smoothed-vit上获得。
2021-10-11 cs.AI cs.CV cs.LG
Hide and Find: A Distributed Adversarial Attack on Federated Graph Learning
School of Computer Science and Technology, Xi’an Jiaotong University（西安交通大学计算机科学与技术学院）；Ministry of Education Key Laboratory of Intelligent Networks and Network Security（教育部智能网络与网络 security 重点实验室）；Shaanxi Province Key Laboratory of Big Data Knowledge Engineering（陕西省大数据知识工程重点实验室）；School of Distance Education, Xi’an Jiaotong University（西安交通大学继续教育学院）
FedShift是一种新的两阶段分布式对抗攻击方法，通过在训练前注入隐藏的位移器和训练后聚合扰动，有效提升联邦图学习的攻击效果和隐蔽性。
2026-03-08 cs.AI cs.LG
RAB: Provable Robustness Against Backdoor Attacks
ETH Zurich（苏黎世联邦理工学院）；University of Illinois at Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）
本文提出首个鲁棒训练流程RAB，基于随机平滑技术构建统一框架，提供并证明了抵御后门攻击的紧致可证明鲁棒性界限，并在多种模型和数据集上建立了首个基准。
2023-08-03 cs.LG stat.ML
Taking Care of The Discretization Problem: A Comprehensive Study of the Discretization Problem and A Black-Box Adversarial Attack in Discrete Integer Domain
Nanjing University（南京大学）；ShanghaiTech University（上海科技大学）
最近提出了许多制作对抗性示例的方法，成功率很高。由于大多数现有的基于机器学习的分类器首先将图像归一化到一些连续的实向量域，因此攻击通常在此类域中制作对抗性示例。然而，“对抗性”示例在将其反规范化回到离散整数域（称为离散化问题）后可能会变得良性。这个问题在一些研究中被提及，但受到的关注相对较少。在这项工作中，我们首先对现有的制作方法和工具进行了全面的研究。我们从理论上分析了34种有代表性的方法，并从经验上研究了20种有代表性的开源工具，用于制作对抗图像。我们的研究表明，离散化问题远比原来想象的要严重。这表明，在制作对抗性示例和测量攻击成功率时，应该认真考虑离散化问题。作为在黑盒场景中解决这个问题的第一步，我们提出了一个黑盒方法，该方法将对抗性示例搜索问题减少为无导数优化问题。我们的方法能够通过离散整数域中的无导数搜索来制作对抗图像。实验结果表明，我们的方法与最近的白盒方法（例如，FGSM，BIM和C\&W），并且在离散整数域中的对抗性示例方面比最近的黑盒方法（例如，ZOO、NES-PGD和Bandits）。此外，我们的方法能够处理不可微的模型，并以95%的成功率成功打破NIPS 2017年防御竞赛的冠军。我们的研究结果表明，离散优化算法开辟了一个有前途的研究领域，有效的黑盒攻击。
2020-04-26 cs.CR cs.LG stat.ML
Structure-Preserving Progressive Low-rank Image Completion for Defending Adversarial Attacks
University of Missouri（密苏里大学）；Beijing University of Civil Engineering and Architecture（北京建筑大学）
深度神经网络通过分析局部图像细节并沿着推理层总结其信息来识别对象，以得出最终决策。正因为如此，他们容易受到对抗攻击。输入图像中的小的复杂噪声可以沿着网络推理路径积累，并在网络输出处产生错误的决策。另一方面，人眼基于其全局结构和语义线索而不是局部图像纹理来识别对象。正因为如此，人眼仍然可以清楚地识别图像中的对象，这些对象已被对抗攻击严重损坏。这导致了一种非常有趣的方法来保护深度神经网络免受对抗攻击。在这项工作中，我们提出了一种结构保持渐进式低秩图像完成（SPLIC）方法，从输入图像中删除不需要的纹理细节，并将深度神经网络的偏见转向全局对象结构和语义线索。我们将问题转化为一个低秩矩阵完备化问题，逐步平滑秩函数，以避免在优化过程中出现局部极小值。我们的实验结果表明，该方法能够成功地去除不重要的局部图像细节，同时保留重要的全局对象结构。在黑盒、灰盒和白盒攻击中，我们的方法优于现有的防御方法（高达12.6%），并显着提高了网络的对抗鲁棒性。
2021-03-04 cs.AI cs.CV cs.LG
Smoothed Embeddings for Certified Few-Shot Learning
Skolkovo Institute of Science and Technology（斯科尔科沃科学技术研究院）；University of North Carolina at Chapel Hill（北卡罗来纳大学教堂山分校）；Moscow State University（莫斯科国立大学）；Nuro, Inc.（Nuro公司）；AIRI
本文将随机化平滑扩展到输出归一化嵌入的少样本学习模型，通过 Lipschitz 连续性分析给出针对 ℓ₂ 扰动的鲁棒性认证，并经多数据集实验验证。
2022-09-16 cs.AI cs.LG
Certified Adversarial Robustness Within Multiple Perturbation Bounds
Indian Institute of Science（印度科学学院）
本文提出融合多噪声分布认证的新方案，并设计训练噪声分布与正则化训练，在相同干净准确率下同时提升 ℓ1 和 ℓ2 界的 ACR。
2023-04-20 cs.CV cs.LG
Efficient Online Proportional Sampling with Applications to Smoothed Online Learning
研究高维域在线比例采样问题，设计支持高效更新和采样的数据结构，在不同对手下证明数据结构深度界，应用于在线学习获高效无悔算法及次线性遗憾保证。
2026-07-14 cs.AI cs.CG cs.GT
Cert-SSBD: Certified Backdoor Defense with Sample-Specific Smoothing Noises
School of Control and Computer Engineering, North China Electric Power University（控制与计算机工程学院，华北电力大学）；Research Institute, China Unicom（中国unicom研究院）；National Engineering Research Center of Next Generation Internet Broadband Service Application（下一代互联网宽带服务应用国家工程研究中心）；College of Computing and Data Science, Nanyang Technological University（计算与数据科学学院，南洋理工大学）
Cert-SSB提出了一种基于样本特定平滑噪声的认证后门防御方法，通过优化噪声幅度和动态调整认证区域提升防御效果。
2026-02-19 cs.AI cs.CR cs.CV
Smooth Sequential Optimisation with Delayed Feedback
Apple（苹果公司）
反馈中的随机延迟导致使用多臂强盗的不稳定的顺序学习。最近，经验贝叶斯收缩已被证明可以改善强盗学习中的奖励估计。在这里，我们提出了一种新的适应收缩，估计平滑的奖励估计从窗口累积输入，处理不完整的知识延迟反馈和非平稳奖励。使用数值模拟，我们表明，这种适应保留了收缩的好处，并提高了超过50%的奖励估计的稳定性。我们的建议将最佳治疗组的治疗分配变异性降低了3.8倍，并提高了统计准确性-真阳性率提高了8%，假阳性率降低了37%。总之，这些优点使得能够控制适应的速度和稳定性之间的权衡，并促进人在回路的顺序优化。
2021-06-22 cs.LG
Leveraging the Power of Conversations: Optimal Key Term Selection in Conversational Contextual Bandits
The Chinese University of Hong Kong（香港中文大学）
针对对话式上下文Bandit中关键术语选择探索不足和对话发起规则僵化的问题，提出CLiSK、CLiME和CLiSK-ME三种算法，通过平滑上下文和自适应发起对话优化偏好学习，实现更紧的遗憾界并提升实际性能。
2025-05-27 cs.AI cs.LG
SHIELD-IDS: Structurally Heterogeneous Ensemble with Integrated Layered Defense for Intrusion Detection Systems
School of Electrical Engineering and Computing(SEECS)（电气工程与计算学院）；National University of Sciences and Technology（国立科学与技术大学）
提出IDS-Anta++框架，通过集成XGBoost和LightGBM梯度提升模型，并采用隔离森林异常检测、中值特征平滑和六路多数投票三层黑盒防御，提升对抗攻击鲁棒性，在多个数据集上实现99%以上检测准确率。
2026-06-05 cs.AI cs.CR cs.LG
Trident : How to Break Deep Reinforcement Learning Cyber Defenses (Agentic)
University of California, Irvine（加州大学欧文分校）；Northeastern University（东北大学）；Johns Hopkins University（约翰斯·霍普金斯大学）
研究针对DRL网络防御对自适应威胁鲁棒性不足的问题，提出Trident智能体式LLM红队框架，通过含三类组件的设计，发现现有防御存在根本性脆弱性，大幅降低蓝方防御性能并揭示新兴行为。
2026-09-25 cs.AI cs.CR cs.LG
Beyond Worst-case Attacks: Robust RL with Adaptive Defense via Non-dominated Policies
University of Maryland, College Park（马里兰大学学院公园分校）；J.P. Morgan AI Research（摩根大通人工智能研究院）
本文针对强化学习测试时对抗攻击问题，提出通过训练时迭代发现非支配策略构建有限策略类，实现超越最坏情况攻击的自适应鲁棒防御，并在 Mujoco 上验证了其优越性。
2024-02-20 cs.LG
DRSM: De-Randomized Smoothing on Malware Classifier Providing Certified Robustness
University of Maryland - College Park（马里兰大学帕克分校）
本文提出 DRSM，通过窗口消融的去随机化平滑为恶意软件静态检测提供认证鲁棒性，并发布 PACE 良性可执行文件数据集。
2023-10-03 cs.CR cs.LG
MultiGuard: Provably Robust Multi-label Classification against Adversarial Examples
University of Illinois Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）；Huazhong University of Science and Technology（华中科技大学）；Duke University（杜克大学）
多标签分类，它预测一组标签的输入，有许多应用。然而，最近的多项研究表明，多标签分类容易受到对抗性样本的影响。特别是，攻击者可以通过添加精心制作的，人类无法感知的扰动来操纵多标签分类器预测的标签。现有的可证明防御多类分类实现次优可证明的鲁棒性保证时，推广到多标签分类。在这项工作中，我们提出了MultiGuard，这是第一个针对多标签分类对抗性示例的可证明鲁棒防御。我们的MultiGuard利用随机平滑，这是最先进的技术来构建可证明的鲁棒分类器。具体来说，给定任意多标签分类器，我们的MultiGuard通过向输入添加随机噪声来构建平滑的多标签分类器。在这项工作中，我们考虑各向同性高斯噪声。我们的主要理论贡献是，我们证明了一定数量的地面真值标签的输入是可证明的标签集由我们的MultiGuard预测时，加入到输入的对抗扰动的$\ell_2$ -范数是有界的。此外，我们设计了一个算法来计算我们的可证明的鲁棒性保证。经验上，我们评估我们的MultiGuard VOC 2007年，MS-COCO和NUS-WIDE基准数据集。我们的代码可从以下网址获得：\url{https://github.com/quwenjie/MultiGuard}
2022-10-03 cs.CR cs.LG
Provably Protecting Fine-Tuned LLMs from Training Data Extraction while Preserving Utility
Department of Software and Information Systems Engineering, Ben-Gurion University of the Negev, Beer Sheva, Israel（软件与信息系统工程系，内盖夫本·古里安大学，贝尔谢巴，以色列）
本文提出了一种基于近访问自由（NAF）的算法SCP-Δ_r，通过相对概率和基础模型对低影响token进行平滑处理，从而在理论上有更优的界限，并在实践中有效抵御训练数据提取攻击，同时保持性能损失最小。
2026-05-21 cs.LG
FedStrategist: A Meta-Learning Framework for Adaptive and Robust Aggregation in Federated Learning
Department of Computer Science and Engineering, Islamic University of Technology (IUT)（伊斯兰科技大学（IUT）计算机科学与工程系）
针对联邦学习静态防御易受自适应攻击、适配性差的问题，提出基于元学习的FedStrategist框架，用上下文赌博机智能体动态选聚合规则，可平衡性能与安全，提升系统鲁棒性。
2025-07-28 cs.CR cs.DC cs.LG
Optimal Smoothing Distribution Exploration for Backdoor Neutralization in Deep Learning-based Traffic Systems
New York University（纽约大学）；New York University Abu Dhabi（纽约大学阿布扎比分校）
深度强化学习（DRL）提高了自动驾驶汽车（AV）的效率，但也使它们容易受到后门攻击的影响，从而导致交通拥堵或碰撞。后门功能通常通过用隐蔽的恶意数据污染训练数据集来合并，以保持对真实输入的高精度，同时为对手选择的特定输入诱导期望的（恶意）输出。当前针对后门的防御主要集中在使用基于图像的特征的图像分类上，其不能容易地转移到基于DRL的AV控制器的回归任务，因为输入是连续传感器数据，即，AV与周围车辆的速度和距离的组合。我们提出的方法在输入中添加了精心设计的噪声来抵消后门。该方法涉及学习最佳平滑（噪声）分布，以保留真实输入的正常功能，同时中和后门。通过这样做，预期得到的模型对后门攻击具有更强的弹性，同时保持对真实输入的高准确性。在基于微观交通仿真器的仿真交通系统上验证了所提方法的有效性，实验结果表明，平滑后的交通控制器能够中和所有的触发样本，并保持缓解交通拥堵的性能
2023-03-24 cs.AI cs.CR cs.LG
Towards Universal and Black-Box Query-Response Only Attack on LLMs with QROA
Capgemini Invent（凯捷创新中心）；ENSIIE（法国国立信息与自动化高等学院）；University Paris Saclay（巴黎萨克雷大学）
本文提出黑盒越狱方法QROA，仅通过查询-响应接口利用代理模型和令牌级优化寻找对抗性后缀，并扩展QROA-UNV实现单次查询通用越狱，在多个模型上攻击成功率超过80%。
2025-05-06 cs.CL cs.LG
NCIS: Neural Contextual Iterative Smoothing for Purifying Adversarial Perturbations
Seoul National University（首尔大学）；NAVER Clova；NAVER AI Lab
我们提出了一种新的和有效的净化为基础的对抗性防御方法对预处理器盲白盒和黑盒攻击。我们的方法计算效率高，只对一般图像进行自监督学习训练，而不需要任何对抗训练或分类模型的再训练。我们首先展示了对抗性噪声的实证分析，定义为原始图像与其对抗性示例之间的残差，具有几乎为零的均值，对称分布。基于这一观察，我们提出了一个非常简单的迭代高斯平滑（GS），它可以有效地消除对抗性噪声，并实现相当高的鲁棒精度。为了进一步改进它，我们提出了神经上下文迭代平滑（NCIS），它以自监督的方式训练盲点网络（BSN），以重建原始图像的鉴别特征，该图像也被GS平滑。从我们使用四种分类模型在大规模ImageNet上进行的广泛实验中，我们证明了我们的方法在对抗大多数强净化器盲白盒和黑盒攻击时，既达到了有竞争力的标准准确率，又达到了最先进的鲁棒准确率。此外，我们提出了一个新的基准，用于评估基于商业图像分类API（如AWS，Azure，Clarifai和Google）的净化方法。我们通过基于集成传输的黑盒攻击生成对抗性示例，该攻击可以导致API的完全错误分类，并证明我们的方法可以用于提高API的对抗性鲁棒性。
2021-12-30 cs.CV cs.LG
When to Reset Your Keys: Optimal Timing of Security Updates via Learning
Tulane University（杜兰大学）；The Ohio State University（俄亥俄州立大学）；University of California, Davis（加利福尼亚大学戴维斯分校）
网络安全日益受到高级和持续攻击的威胁。由于这些攻击通常被设计为禁用系统（或关键资源，例如，用户帐户），因此，防御者必须不断更新其安全措施，以在被入侵的风险和安全更新的成本之间取得平衡。此外，由于高级攻击的隐蔽性，这些决策通常需要在有限和延迟的反馈下做出。除了有针对性的攻击，这种不完全信息下的最优时机策略在网络安全中有广泛的应用。示例包括密钥轮换、密码更改、补丁应用和虚拟机刷新。然而，对最佳时机的严格研究很少。此外，现有的解决方案通常依赖于防御者已知的预定义攻击模型，这在实践中通常不是这种情况。在这项工作中，我们初步努力在面临未知的隐形攻击时实现安全更新的最佳时机。我们考虑一个具有非对称反馈和未知攻击时间分布的有影响力的FlipIt博弈模型的变体，它为连续的安全更新提供了一个通用模型。防御者的问题，然后建模为一个依赖武器的时间关联的强盗问题。我们推导出基于置信上限的学习策略，实现低遗憾相比，只有当攻击时间分布是已知的最佳周期性防御策略，可以得出。
2016-12-02 cs.AI cs.CR cs.LG
