Adversarially Robust Video Perception by Seeing Motion
Columbia University（哥伦比亚大学）
尽管性能优异，但最先进的计算机视觉模型在遇到对抗性示例时往往会失败。视频感知模型在攻击下往往更脆弱，因为对手在高维数据中有更多的地方可以操纵。在本文中，我们发现视频模型脆弱的一个原因是它们在对抗性扰动下无法感知正确的运动。受大量证据表明运动是人类视觉系统的关键因素的启发，我们提出通过恢复感知到的运动信息来纠正模型所看到的内容。由于运动信息是视频数据的内在结构，因此可以在推理时恢复运动信号，而无需任何人工注释，这允许模型适应不可预见的最坏情况输入。在UCF-101和HMDB-51数据集上的可视化和经验实验表明，在深度视觉模型中恢复运动信息可以提高对抗鲁棒性。即使在适应性攻击的对手知道我们的防御，我们的算法仍然是有效的。我们的工作提供了新的见解强大的视频感知算法，通过使用数据的内在结构。我们的网页是https://motion4robust.cs.columbia.edu。
2022-12-13 cs.CV
Adversarially Trained Linear Transformers Are Optimal Robust In-Context Learners for Gaussian Mixtures
LY Corporation
本研究证明，大规模对抗预训练的线性Transformer可通过上下文学习将鲁棒性迁移至未见的高斯混合分类任务，渐近达到最优鲁棒贝叶斯误差，而标准训练模型无法实现。
2026-10-07 cs.CV cs.LG stat.ML
On the Properties of Adversarially-Trained CNNs
University of Padova（帕多瓦大学）
对抗性训练已被证明是一种有效的训练范式，可以在现代神经网络架构中增强对抗性示例的鲁棒性。尽管做出了许多努力，但对支撑对抗训练有效性的基本原则的解释仍然有限，远未被深度学习社区广泛接受。在本文中，我们描述了对抗训练模型的惊人特性，揭示了实现对抗对抗攻击的鲁棒性的机制。此外，我们强调的限制和故障模式影响这些模型，没有讨论过以前的作品。我们对各种架构和数据集进行了广泛的分析，并在健壮模型和自然模型之间进行了深入的比较。
2022-03-17 cs.CV cs.LG
Improving Global Adversarial Robustness Generalization With Adversarially Trained GAN
Southwest Jiaotong University（西南交通大学）
卷积神经网络（CNN）在图像分类任务中已经实现了超越人类水平的准确性，并广泛应用于现实世界的环境中。然而，CNN显示出对抗性扰动的脆弱性，这些扰动是精心设计的噪声，旨在误导分类模型。为了抵御对抗性扰动，提出了对抗性训练的GAN（AT GAN），以提高通过对抗性训练的最新CNN的对抗性鲁棒性泛化能力。ATGAN将对抗性训练结合到标准GAN训练过程中，以去除模糊梯度，这可能导致在防御对抗性扰动时产生错误的感觉，并且在现有的基于GAN的对抗性防御方法中常见。此外，ATGAN采用图像到图像生成器作为数据增强，以增加对抗训练中对抗鲁棒性泛化所需的样本复杂度。在MNIST SVHN和CIFAR-10数据集上的实验结果表明，该方法不依赖于模糊梯度，并且比对抗训练的最先进CNN具有更好的全局对抗鲁棒性泛化性能。
2021-03-08 cs.CV cs.LG
Sparta: Spatially Attentive and Adversarially Robust Activation
Centre for Frontier AI Research, A*STAR（新加坡科技研究局前沿人工智能研究中心）；New York University（纽约大学）；Nanyang Technological University（南洋理工大学）；Tianjin University（天津大学）；University of South Carolina（南卡罗来纳大学）
对抗性训练（AT）是提高深度卷积神经网络（CNN）鲁棒性的最有效方法之一。就像普通的网络训练一样，AT的有效性依赖于基本网络组件的设计。在本文中，我们深入研究了AT中基本ReLU激活组件在鲁棒CNN中的作用。我们发现，ReLU激活的空间共享和输入无关特性使得CNN对标准或对抗训练的白盒对抗攻击的鲁棒性较低。为了解决这个问题，我们将ReLU扩展到一个新的Sparta激活函数（空间注意和对抗鲁棒激活），它使CNN能够实现更高的鲁棒性，即，对抗性示例的较低出错率，以及较高的准确性，即，与现有的最先进的（SOTA）激活函数相比，在干净的示例上具有更低的出错率。我们进一步研究了Sparta和SOTA激活函数之间的关系，为我们的方法的优势提供了更多见解。通过全面的实验，我们还发现所提出的方法具有优越的跨CNN和跨数据集的可移植性。对于前者，针对一个CNN的经对抗训练的斯巴达函数（例如，ResNet-18）可以被固定并直接用于训练另一个对抗鲁棒的CNN（例如，ResNet-34）。对于后者，Sparta函数在一个数据集上训练（例如，CIFAR-10）可以用于在另一个数据集（例如，SVHN）。在这两种情况下，Sparta导致CNN比vanilla ReLU具有更高的鲁棒性，验证了所提出方法的灵活性和多功能性。
2022-12-03 cs.CV cs.LG
Finding Biological Plausibility for Adversarially Robust Features via Metameric Tasks
Center for Brains, Minds and Machines（脑、心智与机器中心）；Massachusetts Institute of Technology（麻省理工学院）
最近的工作表明，通过对抗鲁棒网络学习的表示比通过图像操作的非鲁棒网络更符合人类感知。尽管看起来更接近人类视觉感知，但目前尚不清楚强大DNN表示中的约束是否与人类视觉中的生物约束相匹配。人类视觉似乎依赖于基于纹理的/汇总统计表示在外围，这已被证明可以解释的现象，如拥挤和视觉搜索任务的性能。为了了解如何对抗强大的优化/表示比较人类视觉，我们进行了心理物理学实验，使用一组同色异谱的歧视任务，我们评估了人类观察者如何区分合成的图像，以匹配对抗强大的表示相比，非强大的表示和周边视觉的纹理合成模型（Texforms）。我们发现，鲁棒表示和纹理模型图像的可辨别性下降到近机会的表现，刺激更远的周边。此外，稳健和纹理模型图像的表现在参与者中显示出类似的趋势，而非稳健表示的表现在整个视野中变化最小。这些结果共同表明：（1）对抗鲁棒表示捕获外围计算比非鲁棒表示和（2）鲁棒表示捕获外围计算类似于当前最先进的纹理周边视觉模型。更广泛地说，我们的研究结果支持这样一种观点，即局部纹理摘要统计表示可能会驱动人类对对抗扰动的不变性，并且在DNN中引入这种表示可能会产生有用的特性，如对抗鲁棒性。
2022-02-04 cs.AI cs.CV q-bio.NC
Adversarially Robust One-class Novelty Detection
Johns Hopkins University（约翰斯·霍普金斯大学）
单类新颖性检测器使用特定类的示例进行训练，并负责识别查询示例是否属于相同的已知类。最新的进展采用了深度自动编码器风格的架构来计算新颖性分数，以检测新颖的类数据。深度网络已被证明容易受到对抗攻击的攻击，但很少有人关注深度新奇检测器的对抗鲁棒性。在本文中，我们首先证明了现有的新颖性检测器容易受到对抗性示例的影响。我们进一步证明，常用的防御方法的分类任务有有限的有效性在一类新颖性检测。因此，我们需要一种专门为新奇检测而设计的防御。为此，我们提出了一种防御策略，该策略操纵新颖检测器的潜在空间，以提高对对抗性示例的鲁棒性。所提出的方法，被称为主潜在空间（PrincipaLS），学习潜在空间中的增量训练级联主成分，以增强新颖性检测器。PrincipaLS可以针对对抗性示例净化潜在空间，并将潜在空间约束为专门建模已知的类分布。我们对8种攻击、5种数据集和7种新颖检测器进行了广泛的实验，结果表明PrincipaLS始终增强了新颖检测模型的对抗鲁棒性。代码可在https://github.com/shaoyuanlo/PrincipaLS上获得
2022-10-03 cs.CV
Exploring Architectural Ingredients of Adversarially Robust Deep Neural Networks
School of Computing and Information Systems, The University of Melbourne（墨尔本大学计算与信息系统学院）；Key Lab. of Machine Perception, School of Artificial Intelligence, Peking University（北京大学人工智能学院机器感知重点实验室）；Institute for Artificial Intelligence, Peking University（北京大学人工智能研究院）；University of California, Los Angeles（加州大学洛杉矶分校）；School of Computer Science, Fudan University（复旦大学计算机科学学院）
众所周知，深度神经网络（DNN）容易受到对抗攻击的攻击。已经提出了一系列的防御方法来训练对抗鲁棒的DNN，其中对抗训练已经证明了有希望的结果。然而，尽管对对抗训练有了初步的理解，但从架构的角度来看，什么样的配置可以带来更强大的DNN仍然不清楚。在本文中，我们通过全面调查网络宽度和深度对对抗训练DNN鲁棒性的影响来解决这一差距。具体来说，我们做了以下关键观察：1）更多的参数（更高的模型容量）并不一定有助于对抗鲁棒性; 2）在网络的最后阶段（最后一组块）减少容量实际上可以提高对抗鲁棒性; 3）在相同的参数预算下，存在对抗鲁棒性的最佳架构配置。我们还提供了一个理论分析，为什么这样的网络配置可以帮助鲁棒性。这些架构见解可以帮助设计对抗性强的DNN。代码可在\url{https://github.com/HanxunH/RobustWRN}上获得。
2022-01-23 cs.CV cs.LG stat.ML
ARIA: Adversarially Robust Image Attribution for Content Provenance
EPFL（洛桑联邦理工学院）；Adobe Research（Adobe研究院）；University of Surrey（萨里大学）
图像归属-将图像与可信来源进行匹配-是打击在线错误信息的新兴工具。深度视觉指纹模型最近已被探索用于此目的。然而，它们对被称为对抗性示例的微小输入扰动不鲁棒。首先，我们说明如何生成有效的对抗图像，这很容易导致不正确的图像属性。然后，我们描述了一种通过鲁棒的对比学习来防止对深度视觉指纹模型的不可感知的对抗攻击的方法。所提出的训练过程利用在$\ell_\infty$有界对抗示例上的训练，它在概念上简单并且仅引起小的计算开销。由此产生的模型更加强大，即使在未受干扰的图像上也是准确的，并且即使在具有数百万图像的数据库上也表现良好。特别是，我们实现了91.6%的标准和85.1%的对抗召回下$\ell_\infty$有界扰动操作的图像相比，80.1%和0.0%，从以前的工作。我们还表明，鲁棒性推广到其他类型的不可感知的扰动在训练过程中看不见。最后，我们展示了如何训练一个对抗强大的图像比较器模型，用于检测匹配图像中的编辑变化。
2022-02-25 cs.CV cs.LG
Adversarially Pretrained Transformers May Be Universally Robust In-Context Learners
The University of Tokyo（东京大学）；Chiba University（千叶大学）；National Institute of Informatics（国立信息学研究所）
本研究提出对抗性预训练的Transformer可作为普遍稳健的基础模型，通过上下文学习实现对多种下游任务的稳健泛化。
2026-03-01 cs.CV cs.LG stat.ML
Adversarially robust deepfake media detection using fused convolutional neural network predictions
CYENS Centre of Excellence（CYENS卓越中心）；MBZUAI（穆罕默德·本·扎耶德人工智能大学）
Deepfake是合成的图像，视频或音频，欺诈者使用它们来操纵合法信息。当前的深度造假检测系统难以应对看不见的数据。为了解决这个问题，我们采用了三种不同的深度卷积神经网络（CNN）模型，（1）VGG 16，（2）InceptionV 3和（3）XceptionNet来分类从视频中提取的假图像和真实图像。我们还构建了深度CNN模型的融合，以提高鲁棒性和泛化能力。当在公开的DeepFake检测挑战（DFDC）测试数据（包括400个视频）上进行测试时，所提出的技术以96.5%的准确率优于最先进的模型。该融合模型在较低质量的DeepFake-TIMIT数据集视频上达到99%的准确率，在较高质量的DeepFake-TIMIT视频上达到91.88%。此外，我们证明了预测融合对对抗攻击更鲁棒。如果一个模型受到对抗攻击的损害，预测融合不会让它影响整体分类。
2021-02-11 cs.CR cs.CV
Weight-Covariance Alignment for Adversarially Robust Neural Networks
University of Edinburgh（爱丁堡大学）；Samsung AI Center, Cambridge（三星剑桥人工智能中心）
随机神经网络（SNN），注入噪声到其隐藏层最近已被证明对对抗攻击实现强大的鲁棒性。然而，现有的SNN通常是基于竞争性动机的，并且通常依赖于对抗性训练，这在计算上是昂贵的。我们提出了一种新的SNN，它在不依赖对抗训练的情况下实现了最先进的性能，并具有坚实的理论依据。具体来说，虽然现有的SNN注入学习或手动调整的各向同性噪声，但我们的SNN学习各向异性噪声分布，以优化对抗鲁棒性的学习理论界限。我们评估我们的方法在一些流行的基准，表明它可以应用于不同的架构，它提供了各种白盒和黑盒攻击的鲁棒性，同时简单，快速的训练相比，现有的替代品。
2021-05-26 cs.CR cs.CV cs.LG
Towards Adversarially Robust and Domain Generalizable Stereo Matching by Rethinking DNN Feature Backbones
North Carolina State University（北卡罗来纳州立大学）
立体匹配最近使用深度神经网络（DNN）取得了显著进展。但是，他们有多强大？尽管众所周知，DNN经常遭受对抗性漏洞，性能会出现灾难性下降，但在立体匹配中情况更糟。本文首先表明，一种弱白盒攻击可以压倒最先进的方法。该攻击是通过提出的立体约束投影梯度下降（PGD）立体匹配方法学习的。这种观察引起了对基于DNN的立体匹配的部署的严重关注。与对抗性漏洞并行，基于DNN的立体匹配通常在所谓的模拟到现实管道下进行训练，因此域泛化是一个重要问题。本文提出重新考虑可学习的基于DNN的特征骨干，通过完全删除它来进行匹配，从而实现对抗鲁棒性和域泛化的立体匹配。在实验中，该方法在SceneFlow数据集和KITTI2015基准测试中进行了测试，结果令人满意。我们使用经典的多尺度普查变换（即，局部二进制模式），然后是解决匹配问题的堆叠沙漏头子网络。它显著提高了对抗鲁棒性，同时保持了与最先进方法相当的准确性。当不使用微调时，它还显示了从模拟（SceneFlow）到真实（KITTI）数据集的更好的泛化能力。
2021-09-23 cs.AI cs.CV
"What's in the box?!": Deflecting Adversarial Attacks by Randomly Deploying Adversarially-Disjoint Models
CISPA Helmholtz Center for Information Security（CISPA亥姆霍兹信息安全研究中心）
机器学习模型现在被广泛部署在现实世界的应用中。然而，对抗性例子的存在一直被认为是对这些模型的真正威胁。虽然已经提出了许多旨在提高鲁棒性的防御措施，但许多已被证明是无效的。由于这些漏洞仍然远远没有被消除，我们提出了一种替代的基于部署的防御模式，超越了传统的白盒和黑盒威胁模型。代替训练单个部分鲁棒的模型，可以训练一组具有相同功能但不相交的模型，其具有最小的中间攻击可转移性。然后，这些模型可以随机和单独部署，这样访问其中一个模型对其他模型的影响最小。我们对CIFAR-10和各种攻击的实验表明，与集成多样性的基线相比，我们在不相交模型中实现了显着降低的攻击可转移性。此外，与对抗训练集相比，我们在保持干净示例准确性的同时，实现了更高的平均鲁棒准确性。
2021-03-09 cs.CR cs.CV cs.LG
Harnessing the Vulnerability of Latent Layers in Adversarially Trained Models
Adobe Inc（奥多比公司）；IIT Hyderabad（印度理工学院海得拉巴分校）
神经网络很容易受到对抗攻击--视觉上难以察觉的精心制作的小噪声，当添加到输入中时，会大大改变输出。防御这些对抗攻击的最有效方法是使用对抗训练的方法。我们分析了对抗性训练的鲁棒模型，以研究它们在潜在层水平上对对抗攻击的脆弱性。我们的分析表明，相反的输入层，这是强大的对抗攻击，这些强大的模型的潜在层是非常容易受到小幅度的对抗扰动。利用这些信息，我们引入了一种新技术潜在对抗训练（LAT），该技术包括微调对抗训练的模型，以确保特征层的鲁棒性。我们还提出了潜在攻击（LA），一种用于构建对抗性示例的新算法。LAT导致测试准确性的微小改善，并导致针对MNIST，CIFAR-10，CIFAR-100数据集显示的通用一阶对抗PGD攻击的最先进的对抗准确性。
2019-06-25 cs.CR cs.CV cs.LG
Relating Adversarially Robust Generalization to Flat Minima
Max Planck Institute for Informatics（马克斯·普朗克信息学研究所）；Saarland Informatics Campus（萨尔兰信息学园区）；University of Tübingen（图宾根大学）
对抗性训练（AT）已经成为获得对抗性样本鲁棒模型的事实标准。然而，AT表现出严重的鲁棒过拟合：对抗样本上的交叉熵损失，即所谓的鲁棒损失，在训练样本上不断减少，而在测试样本上最终增加。在实践中，这导致了较差的鲁棒泛化，即，对抗鲁棒性不能很好地推广到新的示例。在本文中，我们研究了鲁棒泛化和鲁棒损失景观在权空间中的平坦性之间的关系，即，当扰动权重时，鲁棒损失是否显著变化。为此，我们提出了平均和最坏情况下的指标来衡量平坦的鲁棒损失景观和良好的鲁棒泛化和平坦度之间的相关性。例如，在整个训练过程中，平坦度在过拟合期间显著降低，使得早期停止有效地在鲁棒损失景观中找到平坦的最小值。类似地，实现更高对抗鲁棒性的AT变体也对应于更平坦的最小值。这适用于许多流行的选择，例如，AT-AWP、TRADES、MART、AT，具有自我监督或额外的未标记示例，以及简单的正则化技术，例如，自动增强、权重衰减或标签噪声。为了在这些方法之间进行公平比较，我们的平坦度测量是专门设计为尺度不变的，我们进行了大量的实验来验证我们的发现。
2021-10-06 cs.CV cs.LG stat.ML
Spectral regularization for adversarially-robust representation learning
John A. Paulson School of Engineering and Applied Sciences, Harvard University（哈佛大学约翰·保尔森工程与应用科学学院）；Center for Brain Science, Harvard University（哈佛大学脑科学中心）；Kempner Institute for the Study of Natural and Artificial Intelligence, Harvard University（哈佛大学肯普ner自然与人工智能研究所）
针对神经网络对抗脆弱性，提出面向表示学习的谱正则化方法，提升下游分类任务的黑盒对抗鲁棒性，实验证明其优于全层正则化。
2024-05-27 cs.CV cs.LG
Large Norms of CNN Layers Do Not Hurt Adversarial Robustness
South China Agricultural University（华南农业大学）；Pazhou Lab（琶洲实验室）
由于卷积神经网络（CNN）的Lipschitz性质被广泛认为与对抗鲁棒性有关，本文从理论上刻画了二维多通道卷积层的$\ell_1$范数和$\ell_\infty$范数，并给出了计算精确$\ell_1$范数和$\ell_\infty$范数的有效方法.基于我们的定理，我们提出了一种新的正则化方法，称为范数衰减，它可以有效地减少卷积层和全连接层的范数。实验表明，范数正则化方法，包括范数衰减，权重衰减和奇异值裁剪，可以提高CNN的泛化能力。然而，它们可能会轻微损害对抗性鲁棒性。观察到这种意想不到的现象，我们计算了用三种不同的对抗训练框架训练的CNN中的层的范数，并惊讶地发现对抗鲁棒CNN具有与非对抗鲁棒CNN相当甚至更大的层范数。此外，我们证明了在一个温和的假设下，对抗鲁棒分类器可以实现使用神经网络，和对抗鲁棒神经网络可以有一个任意大的Lipschitz常数。出于这个原因，在CNN层上强制执行小规范对于实现对抗鲁棒性可能既不必要也不有效。该代码可在https://github.com/youweiliang/norm_robustness上获得。
2021-08-15 cs.CR cs.CV cs.LG
Adversarially Robust Deepfake Detection via Adversarial Feature Similarity Learning
Research Center for Information Technology Innovation, Academia Sinica（中央研究院資訊科技創新研究中心）；National Chengchi University（國立政治大學）；National Taiwan University（國立臺灣大學）
针对深度伪造检测易受对抗攻击的问题，提出AFSL方法，通过整合特征学习范式并优化样本与权重相似性及正则化，在多个数据集上显著提升防御性能。
2024-02-06 cs.CV cs.LG cs.MM
What Doesn't Kill You Makes You Robust(er): How to Adversarially Train against Data Poisoning
University of Siegen（锡根大学）；University of Maryland（马里兰大学）
数据投毒是一种威胁模型，其中恶意行为者篡改训练数据以在推理时操纵结果。针对这种威胁模型提出了各种防御措施，但每一种都至少有以下缺陷之一：它们很容易被自适应攻击克服，它们严重降低测试性能，或者它们不能推广到不同的数据投毒威胁模型。对抗性训练及其变体目前被认为是唯一一种针对（推理时间）对抗攻击的经验性强的防御方法。在这项工作中，我们扩展了对抗性训练框架，以防御（训练时间）数据投毒，包括有针对性的和后门攻击。我们的方法通过在训练过程中创建毒药并将其注入训练批次来使网络对此类攻击的影响脱敏。我们证明了这种防御可以承受自适应攻击，推广到不同的威胁模型，并且比以前的防御（如DP-SGD或（逃避）对抗训练）具有更好的性能权衡。
2022-02-17 cs.CR cs.CV cs.LG
HoSNN: Adversarially-Robust Homeostatic Spiking Neural Networks with Adaptive Firing Thresholds
University of California, Santa Barbara（加州大学圣巴巴拉分校）
受神经稳态启发，提出具有自适应发放阈值的TA-LIF神经元模型并构建对抗鲁棒的稳态脉冲神经网络HoSNNs，通过局部反馈控制有效抑制对抗扰动引发的膜电位误差，显著提升了模型在强对抗攻击下的准确率。
2025-03-04 cs.CR cs.CV cs.LG
Certifiably Adversarially Robust Detection of Out-of-Distribution Data
University of Tübingen（蒂宾根大学）
众所周知，深度神经网络在应用于明显不属于任何类的分布外（OOD）输入时会过度自信。这在安全关键应用中是一个问题，因为分类器的不确定性的可靠评估是一个关键属性，允许系统触发人为干预或转换到安全状态。在本文中，我们的目标是可证明的最坏情况下保证OOD检测不仅在OOD点，而且在$l_\infty$ -球周围的低置信度。为此，我们使用区间边界传播（IBP）的上限最大置信度在$l_\infty$ -球，并在训练时间内最小化这个上限。我们表明，在训练时看到的OOD数据集之外的OOD数据概括的置信度的非平凡界限是可能的。此外，与通常伴随着预测性能显著损失的认证对抗鲁棒性相比，最坏情况OOD检测的认证保证是可能的，而不会损失太多的准确性。
2021-03-10 cs.CV cs.LG stat.ML
Adversarially-Aware Robust Object Detector
Sun Yat-Sen University（中山大学）
目标检测作为计算机视觉的一项基本任务，随着深度神经网络的出现，取得了显著的进展。然而，很少有工作探讨对象检测器的对抗鲁棒性，以抵抗对抗攻击，在各种现实世界的场景中的实际应用。检测器受到不可察觉的扰动的极大挑战，在干净图像上性能急剧下降，在对抗图像上性能极差。在这项工作中，我们经验性地探索了目标检测中对抗鲁棒性的模型训练，这在很大程度上归因于学习干净图像和对抗图像之间的冲突。为了缓解这个问题，我们提出了一个基于对抗感知卷积的鲁棒检测器（RobustDet），以解开干净和对抗图像上的模型学习的梯度。RobustDet还采用了对抗图像鉴别器（AID）和重建一致特征（CFR）来确保可靠的鲁棒性。在PASCAL VOC和MS-COCO上的大量实验表明，我们的模型有效地解开梯度，并显着提高检测鲁棒性，保持对干净图像的检测能力。
2022-07-22 cs.CV
Learning Interpretable Features via Adversarially Robust Optimization
Technical University of Munich（慕尼黑工业大学）；Johns Hopkins University（约翰斯·霍普金斯大学）
神经网络被证明是非常成功的分类和诊断的医疗应用。然而，在决策过程中的模糊性和学习功能的可解释性是一个值得关注的问题。在这项工作中，我们提出了一种方法，用于提高神经网络分类器的特征可解释性。首先，我们提出了一个基线卷积神经网络，在准确性和弱监督定位方面具有最先进的性能。随后，修改损失以将对抗性示例的鲁棒性集成到训练过程中。在这项工作中，特征的可解释性通过使用地面真值边界框评估弱监督定位来量化。可解释性也使用类激活图和显着图进行视觉评估。该方法应用于NIH ChestX-ray 14，这是最大的公开可用的胸部X射线数据集。我们证明了对抗性强大的优化范式提高了功能的可解释性定量和视觉。
2019-08-19 cs.CV
Ensemble of Models Trained by Key-based Transformed Images for Adversarially Robust Defense Against Black-box Attacks
Tokyo Metropolitan University（东京都立大学）
我们提出了一个投票合奏的模型训练，使用块的图像与密钥的adversarialally强大的防御。基于密钥的对抗性防御被证明优于基于梯度（白盒）攻击的最先进防御。然而，基于密钥的防御在不需要任何密钥的情况下对无梯度（黑盒）攻击不够有效。因此，我们的目标是通过使用模型的投票集成来增强对黑盒攻击的鲁棒性。在所提出的集成中，通过使用用不同密钥和块大小变换的图像来训练多个模型，然后将投票集成应用于模型。在图像分类实验中，证明了所提出的防御防御最先进的攻击。在CIFAR-10数据集上，在噪声距离为8/255的攻击下，所提出的防御方法实现了95.56%的准确率和小于9%的攻击成功率。
2020-11-16 cs.CV
Adversarially robust segmentation models learn perceptually-aligned gradients
University of Maryland（马里兰大学）
对抗性训练对语义分割网络的影响尚未得到深入研究。虽然以前的工作已经表明，经过逆向训练的图像分类器可以用于执行图像合成，但我们还没有了解如何最好地利用经过逆向训练的分割网络来完成同样的工作。使用一个简单的优化器，我们证明了对抗训练的语义分割网络可用于执行图像修补和生成。我们的实验表明，经过逆向训练的分割网络更健壮，并且确实表现出感知对齐的梯度，这有助于产生合理的图像修补。我们试图在以下假设背后放置额外的权重：对抗性鲁棒模型表现出与人类视觉更感知一致的梯度。通过图像合成，我们认为，感知对齐梯度促进更好地理解神经网络的学习表示，并有助于使神经网络更可解释。
2022-04-03 cs.CV cs.LG
Debiased Dual-Invariant Defense for Adversarially Robust Person Re-Identification
针对行人ReID模型易受对抗攻击且现有防御未解决其独特挑战的问题，提出去偏双不变防御框架，通过数据平衡和双对抗自元防御阶段提升鲁棒性与泛化能力，实验效果优于现有方法。
2025-11-13 cs.CV
Adversarially Robust Learning via Entropic Regularization
New York University（纽约大学）
在本文中，我们提出了一个新的算法族，ATENT，用于训练对抗鲁棒的深度神经网络。我们制定了一个新的损失函数，配备了额外的熵正则化。我们的损失函数考虑了对抗样本的贡献，这些样本是从数据空间中专门设计的分布中提取的，该分布将高概率分配给具有高损失的点和训练样本的近邻。我们提出的算法优化了这种损失，以寻求损失景观的对抗性强的山谷。与MNIST和CIFAR-10等基准数据集上的几种最先进的鲁棒学习方法相比，我们的方法在鲁棒分类精度方面具有竞争力（或更好）的性能。
2021-02-19 cs.CV cs.LG stat.ML
Adversarially Robust Distillation
University of Maryland（马里兰大学）
知识蒸馏对于产生用于分类的小型高性能神经网络是有效的，但是这些小型网络容易受到对抗攻击。研究了在知识蒸馏过程中，对抗鲁棒性如何从教师转移到学生。我们发现，大量的鲁棒性可能会继承的学生，即使是在只干净的图像蒸馏。其次，我们引入了逆向鲁棒蒸馏（ARD），用于将鲁棒性蒸馏到学生网络上。除了像传统蒸馏一样产生具有高测试精度的小模型外，ARD还将大型网络的卓越鲁棒性传递给学生。在我们的实验中，我们发现ARD学生模型在鲁棒性准确性方面明显优于相同架构的对抗训练网络，在标准鲁棒性基准上超过了最先进的方法。最后，我们将最近的快速对抗训练方法应用于ARD，以加速鲁棒蒸馏。
2019-12-02 cs.CV cs.LG stat.ML
Adversarially Robust Few-Shot Anomaly Detection with Vision Foundation Models
Rochester Institute of Technology（罗切斯特理工学院）
该研究针对视觉基础模型的小样本异常检测场景，提出无需训练骨干网络的对抗鲁棒方法，经实验在多数据集上提升了对抗检测性能，且保持较高干净准确率。
2026-10-22 cs.CV
Inverting Adversarially Robust Networks for Image Synthesis
University of Illinois at Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）；Purdue University（普渡大学）；Auburn University（奥本大学）
尽管无条件特征反演是许多图像合成应用的基础，但训练反演器需要高计算预算，大解码容量和施加条件，例如自回归先验。为了解决这些局限性，我们建议使用adversarially鲁棒的表示作为特征反转的感知原语。我们训练一个对抗鲁棒的编码器来提取解纠缠和感知对齐的图像表示，使它们很容易可逆。通过使用编码器的镜像架构训练一个简单的生成器，我们实现了优于标准模型的重建质量和泛化能力。在此基础上，我们提出了一个对抗鲁棒的自动编码器，并证明了其改进的性能上的风格转移，图像去噪和异常检测任务。与最近的ImageNet特征反演方法相比，我们的模型以更低的复杂性获得了更好的性能。
2022-10-21 cs.CV cs.LG cs.NE
Collapse-Aware Triplet Decoupling for Adversarially Robust Image Retrieval
Xi'an JiaoTong University, Xi'an, China（西安交通大学）
本文提出坍塌感知三元组解耦（CA-TRIDE）方法，通过空间解耦扰动目标生成更强对抗样本并利用坍塌度指标防止模型坍塌，同时提出更合理的鲁棒性评估指标，有效提升了图像检索的对抗防御能力。
2024-06-06 cs.CV
Robust Local Features for Improving the Generalization of Adversarial Training
Huazhong University of Science and Technology（华中科技大学）；Peking University（北京大学）；Cornell University（康奈尔大学）
对抗性训练已被证明是训练鲁棒模型以抵御对抗性示例的最有效方法之一。然而，逆向训练的模型往往缺乏对未知测试数据的逆向鲁棒泛化。最近的工作表明，对抗训练的模型更偏向于全局结构特征。相反，在这项工作中，我们想研究对抗训练的泛化与鲁棒局部特征之间的关系，因为鲁棒局部特征可以很好地泛化看不见的形状变化。为了学习鲁棒的局部特征，我们开发了随机块洗牌（RBS）变换来分解正常对抗示例的全局结构特征。我们继续提出了一种新的方法，称为鲁棒局部特征对抗训练（RLFAT），它首先通过对RBS转换的对抗示例进行对抗训练来学习鲁棒局部特征，然后将鲁棒局部特征转移到正常对抗示例的训练中。为了证明我们的论点的一般性，我们在目前最先进的对抗训练框架中实现了RLFAT。在STL-10、CIFAR-10和CIFAR-100上的大量实验表明，RLFAT显著提高了对抗训练的对抗鲁棒泛化能力和标准泛化能力。此外，我们还证明了我们的模型可以捕获图像上对象的更多局部特征，更好地与人类感知保持一致。
2020-02-02 cs.CV
Deep Adversarially-Enhanced k-Nearest Neighbors
University of Michigan（密歇根大学）
最近的研究从理论和经验上表明，深度神经网络（DNN）对小扰动具有固有的脆弱性。应用深度k最近邻（DkNN）分类器，我们观察到随着层的深入，鲁棒性-准确性权衡显着增加。在这项工作中，我们提出了一种深度逆向增强的k最近邻（DAEkNN）方法，该方法比DkNN具有更高的鲁棒性，并通过两个关键要素减轻了深层中的鲁棒性-准确性权衡。首先，DAEkNN基于一个逆向训练的模型。其次，DAEkNN通过利用良性和对抗性训练数据的加权组合进行预测。从经验上讲，我们发现DAEkNN在MNIST和CIFAR-10数据集上提高了鲁棒性和鲁棒性-准确性权衡。
2021-10-07 cs.AI cs.CV cs.LG
Do Adversarially Robust ImageNet Models Transfer Better?
Microsoft Research（微软研究院）；MIT（麻省理工学院）
迁移学习是深度学习中广泛使用的范例，其中在标准数据集上预训练的模型可以有效地适应下游任务。通常，更好的预训练模型会产生更好的迁移结果，这表明初始准确性是迁移学习性能的一个关键方面。在这项工作中，我们确定了另一个这样的方面：我们发现，对抗鲁棒模型，虽然不太准确，但在用于迁移学习时，通常比标准训练的模型表现更好。具体来说，我们专注于对抗性强大的ImageNet分类器，并表明它们在一套标准的下游分类任务上提高了准确性。进一步的分析揭示了迁移学习背景下鲁棒模型和标准模型之间的更多差异。我们的研究结果是一致的（事实上，添加到）最近的假设，说明鲁棒性导致改进的功能表示。我们的代码和模型可以在https://github.com/Microsoft/robust-models-transfer上找到。
2020-12-08 cs.CV cs.LG stat.ML
Towards Understanding the Generative Capability of Adversarially Robust Classifiers
Zhejiang University（浙江大学）
最近，一些工作发现了一个有趣的现象，对抗鲁棒分类器可以生成与生成模型相当的好图像。我们从能量的角度研究这一现象，并提供了一个新的解释。我们重新制定了对抗性示例生成，对抗性训练和图像生成的能量函数。我们发现，对抗性训练有助于获得一个平坦的能量函数，并且在真实数据周围具有较低的能量，这是生成能力的关键。基于我们的新理解，我们进一步提出了一种更好的对抗训练方法，联合能量对抗训练（JEAT），它可以生成高质量的图像，并在广泛的攻击下实现新的最先进的鲁棒性。JEAT生成的图像的初始得分（CIFAR-10）为8.80，远远优于原始的鲁棒分类器（7.50）。
2021-09-14 cs.CV cs.LG
Jacobian Adversarially Regularized Networks for Robustness
Nanyang Technological University（南洋理工大学）；Mila；Polytechnique Montreal（蒙特利尔高等理工学院）
对抗性例子是用难以察觉的扰动精心制作的，目的是欺骗神经网络。对抗性训练及其变体是迄今为止最强大的防御手段。以前的研究已经指出，经过对抗训练的鲁棒模型往往比非鲁棒模型产生更突出和可解释的雅可比矩阵。一个自然的问题是，一个以产生显着雅可比矩阵为目标训练的模型是否可以产生更好的鲁棒性。本文以肯定的实证结果回答了这一问题。我们提出了雅可比逆向正则化网络（JARN）作为一种方法来优化分类器的雅可比矩阵的显着性，通过逆向正则化模型的雅可比矩阵来模仿自然训练图像。与MNIST，SVHN和CIFAR-10数据集上的标准模型相比，使用JARN训练的图像分类器显示出更高的鲁棒性准确性，揭示了一个新的角度来提高鲁棒性，而无需使用对抗性训练样本。
2020-01-29 cs.CR cs.CV cs.NE
What Do Adversarially trained Neural Networks Focus: A Fourier Domain-based Study
The University of Hong Kong（香港大学）
尽管许多领域已经见证了深度学习带来的卓越性能，但神经网络的鲁棒性仍然是一个悬而未决的问题。具体来说，对输入的一个小的对抗性扰动可能会导致模型产生完全不同的输出。这种差的鲁棒性意味着许多潜在的危险，特别是在安全关键应用中，例如，自动驾驶和移动机器人。本文研究了对抗训练模型关注哪些信息，从经验上讲，我们注意到干净数据和对抗数据之间的差异主要分布在低频区域。然后我们发现，一个对抗训练的模型比自然训练的模型更鲁棒，因为前者更注重学习低频分量中的主导信息。此外，我们考虑两种常见的方法来提高模型的鲁棒性，即通过数据增强和通过使用更强大的网络架构，并从频域的角度来理解这些技术。我们希望这项工作可以为更鲁棒的神经网络的设计提供帮助。
2022-03-16 cs.CV cs.LG
Adversarially Optimized Mixup for Robust Classification
Mayachitra Inc.（玛雅奇特拉公司）
Mixup是一个数据增强的过程，它训练网络在数据点之间进行平滑插值预测。对抗性训练是一种强大的数据增强形式，它在每个数据点周围的紧凑空间中优化最坏情况的预测，从而使神经网络做出更强大的预测。在本文中，我们通过使用投影梯度下降（PGD）逆向探测数据点之间的空间，将这些想法结合在一起。这项工作的基本方法是在训练过程中通过混合插值来利用反向传播，以优化网络做出不平滑和不一致预测的地方。此外，我们还探讨了一些修改和细微差别，如混合比和几何标签分配的优化，并讨论了它们对增强网络鲁棒性的影响。通过这些想法，我们已经能够训练更好地鲁棒泛化的网络;在CIFAR-10和CIFAR-100上的实验表明，针对强大的对手，包括最近的强大集成攻击AutoAttack，准确性得到了持续的提高。我们的源代码将被释放的可重复性。
2021-03-22 cs.CV cs.LG
Can't Fool Me: Adversarially Robust Transformer for Video Understanding
Samsung Research America（三星美国研究院）
深度神经网络已经被证明在对抗性示例上表现不佳。为了解决这个问题，已经提出了几种技术来增加用于图像分类任务的模型的鲁棒性。然而，在视频理解任务中，开发对抗鲁棒模型仍然是未探索的。在本文中，我们的目标是弥合这一差距。我们首先表明，基于图像的对抗性鲁棒模型的简单扩展稍微改善了最坏情况下的性能。此外，我们在Transformer中提出了一种时间注意力正则化方案，以提高注意力模块对对抗性示例的鲁棒性。我们使用大规模视频数据集YouTube-8 M说明，最终模型（A-ART）在其对抗性示例集上实现了接近非对抗性的性能。我们在对抗性示例上实现了91%的差距，而基线Transformer和简单对抗性扩展分别实现了72.9%和82%，这表明鲁棒性比最新技术水平有显着提高。
2021-10-26 cs.CR cs.CV cs.LG
Adversarially Robust CLIP Models Can Induce Better (Robust) Perceptual Metrics
EPFL（洛桑联邦理工学院）；Tübingen AI Center, University of Tübingen（蒂宾根大学蒂宾根人工智能中心）
本文提出通过无监督对抗微调得到 R-CLIP_F，以诱导兼具零样本高性能、对抗鲁棒性和可解释性的感知度量，并验证其在 NSFW 检测与图像检索中的优势。
2025-02-17 cs.CV cs.LG
Exploring Adversarially Robust Training for Unsupervised Domain Adaptation
Johns Hopkins University（约翰斯·霍普金斯大学）
无监督领域自适应（UDA）方法旨在将知识从标记的源域转移到未标记的目标域。UDA在计算机视觉文献中得到了广泛的研究。深度网络已被证明容易受到对抗攻击的攻击。然而，很少有人关注提高深度UDA模型的对抗鲁棒性，这引起了人们对模型可靠性的严重担忧。对抗性训练（AT）被认为是最成功的对抗性防御方法。然而，传统的AT需要地面实况标签来生成对抗性示例和训练模型，这限制了其在未标记目标域中的有效性。本文的目的是探索AT来增强UDA模型的鲁棒性：如何通过AT增强未标记数据的鲁棒性，同时学习UDA的域不变特征？为了回答这个问题，我们提供了一个系统的研究，可以应用于UDA的多种AT变体。此外，我们提出了一种新的UDA的对抗鲁棒训练方法，简称为ARTUDA。在多个对抗攻击和UDA基准测试上的大量实验表明，ARTUDA一致地提高了UDA模型的对抗鲁棒性。代码可在https://github.com/shaoyuanlo/ARTUDA上获得
2022-10-04 cs.CV cs.LG
Adversarially robust transfer learning
University of Maryland（马里兰大学）；Cornell University（康奈尔大学）
迁移学习，即网络在一个任务上进行训练，并在另一个任务上重新使用，通常用于在数据稀缺或全面训练成本过高时产生神经网络分类器。当目标是生成一个不仅准确而且具有对抗性的模型时，数据稀缺和计算限制变得更加麻烦。我们考虑鲁棒的迁移学习，其中我们不仅将性能而且将鲁棒性从源模型转移到目标域。首先，我们观察到健壮的网络包含健壮的特征提取器。通过在这些特征提取器之上训练分类器，我们产生了继承其父网络鲁棒性的新模型。然后，我们考虑的情况下，微调网络重新训练端到端的目标域。当使用终身学习策略时，此过程在保持源网络的鲁棒性的同时实现高准确性。通过使用这些策略，可以用很少的数据生成准确而强大的模型，并且没有对抗性训练的成本。此外，我们可以提高逆向训练模型的泛化能力，同时保持其鲁棒性。
2020-02-21 cs.CR cs.CV cs.LG
The shape and simplicity biases of adversarially robust ImageNet-trained CNNs
Auburn University（奥本大学）
在过去的几年里，人类视觉和卷积神经网络（CNN）之间的相似性越来越多。然而，普通CNN通常无法推广到人类表现出优越性能的对抗性或分布外（OOD）示例。对抗性训练是一种领先的学习算法，用于提高CNN对对抗性和OOD数据的鲁棒性;然而，人们对这些特性知之甚少，特别是对抗性强的CNN内部学习到的形状偏差和内部特征。在本文中，我们进行了一项全面、系统的研究，以了解形状偏差和一些内部机制，这些机制使AlexNet、GoogLeNet和ResNet-50模型能够通过对抗训练进行泛化。我们发现，虽然标准的ImageNet分类器具有很强的纹理偏差，但它们的R对应项严重依赖于形状。值得注意的是，对抗性训练在“鲁棒化”CNN的过程中会将三种简单性偏差引入隐藏的神经元。也就是说，R网络中的每个卷积神经元经常改变为检测（1）逐像素的更平滑模式，即，一种阻止高频噪声通过网络的机制;（2）更多的低级特征，即纹理和颜色（而不是对象）;（3）更少的输入类型。我们的研究结果揭示了使网络更具对抗性的有趣机制，也解释了最近的一些发现，例如，为什么R网络受益于更大的容量（Xie et al. 2020），并且可以在图像合成中充当强图像先验（Santurkar et al. 2019）。
2022-09-12 cs.CV cs.LG
LipSSD: Lipschitz-Constrained Single-Shot Detection for Adversarially Robust Object Detection
IRIT；Alstom（阿尔斯通）；SNCF（法国国家铁路公司）
研究目标检测对抗鲁棒性问题，提出引入利普希茨约束变体，以LipSSD验证，分析约束权衡，证明其与对抗训练互补，在多数据集测试中可提高鲁棒性且保持干净性能，为提升目标检测器鲁棒性提供实用方向。
2026-07-09 cs.AI cs.CV
Adversarially Robust Medical Classification via Attentive Convolutional Neural Networks
University of Pennsylvania（宾夕法尼亚大学）
基于卷积神经网络的医学图像分类器已被证明特别容易受到对抗性示例的影响。这种不稳定性在未来的自动诊断中可能是不可接受的。虽然统计对抗性示例检测方法已被证明是有效的防御机制，但还需要进行更多的研究，以调查基于深度学习的系统的基本漏洞，以及如何最好地构建模型，以最大限度地提高传统和鲁棒的准确性。本文提出了在基于CNN的医学图像分类器中包含注意力机制，作为一种可靠有效的策略，用于在不牺牲的情况下提高鲁棒性准确性。这种方法能够在典型的对抗场景中将鲁棒准确率提高16%，在极端情况下提高2700%。
2022-10-26 cs.CR cs.CV cs.LG
Towards Adversarially Robust Object Detection
Baidu Research（百度研究院）
目标检测是一项重要的视觉任务，已成为许多视觉系统中不可或缺的组成部分，使其鲁棒性成为实际应用中越来越重要的性能因素。虽然目标检测模型已被证明是脆弱的对抗攻击的许多最近的作品，很少有人致力于提高其鲁棒性。在这项工作中，我们朝着这个方向进行了初步尝试。我们首先从模型鲁棒性的角度重新审视并系统地分析了对象检测器和许多最近开发的攻击。然后，我们提出了一个多任务学习的目标检测的角度来看，并确定任务损失的不对称作用。我们进一步开发了一种对抗性训练方法，该方法可以利用多个攻击源来提高检测模型的鲁棒性。在PASCAL-VOC和MS-COCO上的实验验证了该方法的有效性。
2019-07-24 cs.CV cs.LG eess.IV
Towards Adversarially Robust Vision-Language Models: Insights from Design Choices and Prompt Formatting Techniques
Mila – Quebec AI Institute（米拉-魁北克人工智能研究所）；Université de Montréal（蒙特利尔大学）；CERC-AAI；McGill University（麦吉尔大学）
本研究系统探究视觉-语言模型的设计选择与提示格式对图像对抗攻击鲁棒性的影响，提出成本效益高的提示改写方法，显著提升模型对强攻击的防御能力。
2024-07-15 cs.AI cs.CV cs.LG
Fine-Tuning Adversarially-Robust Transformers for Single-Image Dehazing
CAMPUS Research Institute（CAMPUS研究 institute）
本研究针对遥感单图像去雾Transformer易受对抗噪声影响的问题，提出两种轻量级微调策略，在保持性能的同时显著提升鲁棒性，并验证了其在遥感场景中的适用性。
2025-04-24 cs.AI cs.CV
Generalized Depthwise-Separable Convolutions for Adversarially Robust and Efficient Neural Networks
University of Illinois at Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）
尽管卷积神经网络（CNN）取得了巨大的成功，但它的计算/存储成本很高，而且容易受到对抗性扰动的影响。最近关于鲁棒模型压缩的工作通过将模型压缩技术与对抗训练相结合来解决这些挑战。但这些方法无法提高现实硬件的吞吐量（每秒帧数），同时保持对对抗性扰动的鲁棒性。为了克服这个问题，我们提出了广义深度可分离（GDWS）卷积的方法-标准2D卷积的有效，通用，训练后近似。GDWS极大地提高了标准预训练网络在现实硬件上的吞吐量，同时保持了其鲁棒性。最后，GDWS可扩展到大型问题，因为它在预先训练的模型上运行，不需要任何额外的训练。我们建立了GDWS的最优性作为一个二维卷积逼近器，并提出了精确的算法，用于构建最佳的GDWS卷积的复杂性和误差约束。我们通过在CIFAR-10，SVHN和ImageNet数据集上的广泛实验证明了GDWS的有效性。我们的代码可以在https://github.com/hsndbk4/GDWS上找到。
2021-11-06 cs.CV cs.LG
Adversarially Robust Industrial Anomaly Detection Through Diffusion Model
The Pennsylvania State University（宾夕法尼亚州立大学）
针对扩散净化会削弱异常信号的问题，提出 AdvRAD，让扩散模型同时承担异常检测与对抗净化，并支持 l2 扰动认证鲁棒性。
2024-08-09 cs.CV cs.LG
Differentiable Architecture Search for Adversarially Robust Quantum Computer Vision
Fordham University（福特汉姆大学）；Zhejiang University（浙江大学）；University of Michigan-Dearborn（密歇根大学-德雷本分校）；Stevens Institute of Technology（史蒂文斯理工学院）
本文提出了一种混合的量子-经典可微架构搜索框架，通过引入经典噪声层优化量子电路结构和鲁棒性，提升量子神经网络在对抗扰动和硬件噪声下的性能。
2026-01-26 cs.CV quant-ph
Block-wise Image Transformation with Secret Key for Adversarially Robust Defense
Tokyo Metropolitan University（东京都立大学）
在本文中，我们提出了一种新的防御性变换，使我们能够在使用干净图像和对抗性示例进行对抗性鲁棒防御的情况下保持较高的分类精度。建议的变换是一个块的预处理技术与秘密密钥输入图像。我们开发了三种算法来实现所提出的转换：像素洗牌，位翻转，和FFX加密。在CIFAR-10和ImageNet数据集上进行了实验，使用黑盒和白盒攻击，使用各种度量，包括自适应度量。实验结果表明，该方法在自适应攻击下，首次获得了接近于使用干净图像的高准确率。在最好的情况下，使用FFX加密转换的图像训练的模型（块大小为4）在干净图像上产生了92.30%的准确率，在PGD攻击下产生了91.48%的准确率，噪声距离为8/255，这接近于非鲁棒准确率CIFAR-10数据集的准确率为95.45%，在干净图像上的准确率为72.18%，在相同攻击下的准确率为71.43%，这也接近ImageNet数据集的标准准确率（73.70%）。总体而言，所有三种算法都被证明优于最先进的防御，包括对抗训练，无论模型是否受到攻击。
2020-10-02 cs.CR cs.CV
Colored Noise Injection for Training Adversarially Robust Neural Networks
Technion – Israel Institute of Technology（以色列理工学院）；Intel – Artificial Intelligence Products Group (AIPG)（英特尔人工智能产品事业部）
尽管深度学习在各种任务上表现出无与伦比的性能，但神经网络已被证明容易受到输入的小对抗性扰动的影响，从而导致性能显著下降。在这项工作中，我们扩展了在对抗训练（PNI）期间向网络权重和激活添加高斯白噪声的想法，以注入有色噪声来防御常见的白盒和黑盒攻击。我们表明，我们的方法在CIFAR-10和CIFAR-100数据集的对抗准确性方面优于PNI和各种以前的方法。此外，我们提供了一个广泛的消融研究所提出的方法证明所选择的配置。
2020-03-20 cs.CV cs.LG stat.ML
