How Does Mixup Help With Robustness and Generalization?
Rutgers University（罗格斯大学）；Harvard University（哈佛大学）；Stanford University（斯坦福大学）
Mixup是一种流行的数据增强技术，基于对示例及其标签进行凸组合。这种简单的技术已被证明可以大大提高训练模型的鲁棒性和泛化能力。然而，人们并不清楚为什么会出现这种改善。在本文中，我们提供了理论分析来证明如何在训练中使用Mixup有助于模型的鲁棒性和泛化。对于鲁棒性，我们证明了最小化混淆损失对应于近似最小化对抗损失的上限。这解释了为什么通过混合训练获得的模型对几种对抗攻击（如快速梯度符号方法（FGSM））表现出鲁棒性。为了推广，我们证明了Mixup增强对应于一种特定类型的数据自适应正则化，可以减少过拟合。我们的分析为理解Mixup提供了新的见解和框架。
2021-03-17 cs.LG stat.ML
MixACM: Mixup-Based Robustness Transfer via Distillation of Activated Channel Maps
Huawei Noah’s Ark Lab（华为诺亚方舟实验室）；Kyung-Hee University（庆熙大学）
深度神经网络容易受到自然输入中的对抗性、微小且难以察觉的变化的影响。针对这些示例的最有效的防御机制是对抗性训练，它通过迭代最大化损失来构建对抗性示例。然后训练模型，以最小化这些构建的示例的损失。这种最小-最大优化需要更多的数据、更大的容量模型和额外的计算资源。它还降低了模型的标准泛化性能。我们能更有效地实现鲁棒性吗？在这项工作中，我们从知识转移的角度来探讨这个问题。首先，我们从理论上证明了鲁棒性从一个对抗训练的教师模型到一个学生模型的混合增强的帮助下的可转移性。其次，我们提出了一种新的鲁棒性传输方法，称为基于混合的激活通道映射（MixACM）传输。MixACM通过匹配在没有昂贵的对抗性扰动的情况下生成的激活通道映射，将鲁棒性从鲁棒的教师转移到学生。最后，在多个数据集和不同学习场景上的广泛实验表明，我们的方法可以传递鲁棒性，同时也提高了自然图像的泛化能力。
2021-11-09 cs.AI cs.CV cs.LG
Preventing Manifold Intrusion with Locality: Local Mixup
IMT Atlantique（IMT大西洋高等电信学校）
Mixup是一种依赖于数据的正则化技术，包括线性插值输入样本和相关输出。它已被证明在用于标准机器学习数据集的训练时可以提高准确性。然而，作者指出，Mixup可能会产生分布外的虚拟样本，甚至在增强的训练集中产生矛盾，这可能会导致对抗效应。在本文中，我们介绍了本地混合，其中遥远的输入样本加权时，计算损失。在约束设置中，我们证明了Local Mixup可以在偏差和方差之间进行权衡，极端情况下可以简化为香草训练和经典Mixup。使用标准化的计算机视觉基准测试，我们还表明，本地混淆可以提高测试精度。
2022-01-12 cs.LG
GenLabel: Mixup Relabeling using Generative Models
University of Wisconsin-Madison（威斯康星大学麦迪逊分校）；Korea Advanced Institute of Science and Technology（韩国科学技术院）
混合是一种数据增强方法，通过混合一对输入数据来生成新的数据点。虽然混淆通常会提高预测性能，但有时会降低性能。本文首先通过对混淆算法的理论分析和实证分析，找出了产生这种现象的主要原因。为了解决这个问题，我们提出了GenLabel，一个简单而有效的重新标记算法，专为混淆。特别是，GenLabel通过使用生成模型学习类条件数据分布，帮助混合算法正确标记混合样本。通过大量的理论和实证分析，我们表明，mixup，当与GenLabel一起使用时，可以有效地解决上述现象，提高泛化性能和对抗鲁棒性。
2022-01-07 cs.LG
Manifold Mixup: Better Representations by Interpolating Hidden States
Aalto Univeristy（阿尔托大学）；Montréal Institute for Learning Algorithms（蒙特利尔学习算法研究所）；Sharif University of Technology（谢里夫理工大学）；Facebook AI Research（Facebook人工智能研究院）
深度神经网络擅长学习训练数据，但在对略有不同的测试示例进行评估时，往往会提供不正确和自信的预测。这包括分布偏移、离群值和对抗性示例。为了解决这些问题，我们提出了Manifold Mixup，这是一个简单的正则化器，它鼓励神经网络对隐藏表示的插值进行不那么自信的预测。Manifold Mixup利用语义插值作为额外的训练信号，在多个表示级别上获得具有更平滑决策边界的神经网络。因此，使用Manifold Mixup训练的神经网络学习具有较少方差方向的类表示。我们证明了为什么这种扁平化在理想条件下发生的理论，在实际情况下验证它，并将其与以前的信息论和泛化工作联系起来。尽管不会产生大量的计算，并且在几行代码中实现，但Manifold Mixup提高了监督学习的强大基线，对单步对抗攻击的鲁棒性和测试对数似然性。
2019-05-11 cs.AI cs.LG cs.NE
Enhancing Mixup-based Semi-Supervised Learning with Explicit Lipschitz Regularization
Rochester Institute of Technology（罗切斯特理工学院）
深度学习的成功依赖于大规模注释数据集的可用性，获取这些数据集的成本可能很高，需要专业的领域知识。半监督学习（SSL）通过利用神经函数在大型未标记数据上的行为来缓解这一挑战。神经函数的平滑性是SSL中常用的假设。一个成功的例子是在SSL中采用混合策略，该策略通过鼓励神经函数在训练样本之间插值时表现线性来加强神经函数的全局平滑性。然而，尽管它在经验上取得了成功，但混淆如何使神经功能正常化的理论基础尚未完全理解。在本文中，我们提供了一个理论上证实的命题，mixup通过限制神经网络的梯度函数的Lipschitz常数来改善神经函数的光滑性。然后，我们建议通过对抗性Lipschitz正则化同时约束神经函数本身的Lipschitz常数来加强这一点，鼓励神经函数线性行为，同时约束该线性函数的斜率。在三个基准数据集和一个真实世界的生物医学数据集上，我们证明了这种组合正则化在从少量标记数据中学习时可以提高SSL的泛化性能。我们进一步证明了所提出的方法对单步对抗攻击的鲁棒性。我们的代码可在https://github.com/Prasanna1991/Mixup-LR上获得。
2020-09-23 cs.LG stat.ML
Co-Regularized Adversarial Learning for Multi-Domain Text Classification
Carleton University（卡尔顿大学）；University of Ottawa（渥太华大学）
多域文本分类（MDTC）旨在利用多个领域的所有可用资源来学习一个预测模型，该模型可以很好地推广这些领域。最近，许多MDTC方法采用对抗学习，共享私有范式和熵最小化来产生最先进的结果。然而，这些方法面临三个问题：（1）最小化域分歧不能完全保证域对齐的成功;（2）对齐边缘特征分布不能完全保证学习特征的可区分性;（3）标准熵最小化可能使未标记数据的预测过于自信，降低学习特征的可区分性。为了解决上述问题，我们提出了一种用于MDTC的协同正则化对抗学习（CRAL）机制。该方法构造了两个不同的共享潜在空间，在每个空间中进行域对齐，并惩罚这两个对齐对未标记数据的预测的不一致。此外，虚拟对抗训练（VAT）与熵最小化的CRAL方法施加一致性正则化。实验表明，我们的模型优于国家的最先进的方法在两个MDTC基准。
2022-01-30 cs.CL cs.LG
Patch-level Neighborhood Interpolation: A General and Effective Graph-based Regularization Strategy
Peking University（北京大学）；Peng Cheng Laboratory（鹏城实验室）
提出通用正则化器Pani，通过构建patch-level图并线性插值邻域特征实现非局部表示，定制为Pani VAT和Pani MixUp，在监督和半监督设置中验证了有效性与计算效率优势。
2023-10-22 cs.LG stat.ML
A Unified Analysis of Mixed Sample Data Augmentation: A Loss Function Perspective
MIT（麻省理工学院）；NAVER AI Lab（NAVER人工智能实验室）
我们提出了第一个统一的理论分析混合样本数据增强（MSDA），如Mixup和CutMix。我们的理论结果表明，无论选择的混合策略，MSDA的行为作为一个像素级的正则化的基础训练损失和正则化的第一层参数。同样，我们的理论结果支持MSDA训练策略与香草训练策略相比可以提高对抗鲁棒性和泛化能力。使用的理论结果，我们提供了一个高层次的理解如何不同的设计选择的MSDA不同的工作。例如，我们展示了最流行的MSDA方法Mixup和CutMix的行为不同，例如，CutMix按像素距离正则化输入梯度，而Mixup则不考虑像素距离正则化输入梯度。我们的理论结果还表明，最佳MSDA策略取决于任务，数据集或模型参数。从这些观察，我们提出了广义MSDAs，混合版本的Mixup和CutMix（HMix）和高斯Mixup（GMix），简单的扩展Mixup和CutMix。我们的实现可以利用Mixup和CutMix的优点，而我们的实现是非常有效的，计算成本几乎可以忽略不计的Mixup和CutMix。我们的实证研究表明，我们的HMix和GMix在CIFAR-100和ImageNet分类任务中优于以前最先进的MSDA方法。源代码可在https://github.com/naver-ai/hmix-gmix上获得
2022-08-21 cs.CV cs.LG
Boundary thickness and robustness in learning models
University of California, Berkeley（加州大学伯克利分校）
机器学习模型对各种对抗性和非对抗性腐败的鲁棒性继续受到关注。在本文中，我们介绍了分类器的边界厚度的概念，我们描述了它的连接和有用的模型鲁棒性。厚的决策边界导致改进的性能，而薄的决策边界导致过拟合（例如，通过训练和测试之间的鲁棒泛化间隙来测量）和较低的鲁棒性。我们表明，较厚的边界有助于提高对抗性示例的鲁棒性（例如，提高对抗训练的鲁棒测试精度）以及所谓的分布外（OOD）变换，并且我们表明许多常用的正则化和数据增强程序可以增加边界厚度。在理论方面，我们确定在训练期间最大化边界厚度类似于所谓的混合训练。使用这些观察结果，我们表明，混合训练的噪声增强进一步增加了边界厚度，从而对抗各种形式的对抗攻击和OOD变换的脆弱性。我们还可以证明，最近几行工作中的性能改进与更厚的边界有关。
2021-01-12 cs.LG stat.ML
Lipschitz regularized Deep Neural Networks generalize and are adversarially robust
McGill University（麦吉尔大学）；University of Minnesota（明尼苏达大学）
在这项工作中，我们研究了深度神经网络的输入梯度正则化，并证明了这种正则化导致泛化证明和提高对抗鲁棒性。推广的证明并没有克服维数灾难，但它与网络中的层数无关。对抗性鲁棒性正则化结合了对抗性训练，我们证明它等价于总变差正则化和Lipschitz正则化。我们的经验表明，正则化模型是更强大的，图像的梯度范数可以用于攻击检测。
2019-09-12 cs.LG cs.NA math.NA
Adversarial Attacks on Large Language Models Using Regularized Relaxation
Florida State University（佛罗里达州立大学）
针对离散优化低效与连续优化无法生成有效token的问题，本文提出正则化梯度连续优化对抗攻击方法，速度提升两个数量级并提高攻击成功率。
2024-10-24 cs.AI cs.CL cs.CR
Poison Attacks against Text Datasets with Conditional Adversarially Regularized Autoencoder
Nanyang Technological University（南洋理工大学）；AWS AI（亚马逊云科技人工智能）
本文演示了自然语言推理（NLI）和文本分类系统中的致命漏洞。更具体地说，我们对NLP模型进行了“后门中毒”攻击。我们的中毒攻击利用条件逆向正则化自动编码器（CARA）生成中毒的训练样本的毒药注射在潜在的空间。实验结果表明，仅添加1%的中毒数据，当输入假设被注入中毒签名时，受害者BERT微调分类器的预测就可以以>80%的成功率转向中毒目标类，这表明NLI和文本分类系统面临着巨大的安全风险。
2020-10-06 cs.AI cs.CL cs.NE
RSD-GAN: Regularized Sobolev Defense GAN Against Speech-to-Text Adversarial Attacks
Fédération des Caisses Desjardins du Québec（魁北克德雅尔丹储蓄信贷联盟）
本文介绍了一种新的基于合成的防御算法，用于对抗各种对抗攻击，这些攻击是为了挑战尖端的语音到文本转录系统的性能而开发的。我们的算法实现了一个基于Sobolev的GAN，并提出了一种新的正则化器，用于有效地控制整个生成模型的功能，特别是在训练过程中的神经网络。我们在受害者DeepSpeech、Kaldi和Lingvo语音转录系统上进行了大量实验，取得的结果证实了我们的防御方法在针对性和非针对性对抗攻击方面的卓越性能。
2022-09-24 cs.LG cs.SD eess.AS
Cascade Adversarial Machine Learning Regularized with a Unified Embedding
Georgia Institute of Technology（佐治亚理工学院）
在训练过程中注入对抗性示例，称为对抗性训练，可以提高对单步攻击的鲁棒性，但对未知的迭代攻击则不行。为了应对这一挑战，我们首先展示了迭代生成的对抗图像可以在使用相同策略训练的网络之间轻松传输。受这一观察的启发，我们提出了级联对抗训练，它转移了对抗训练最终结果的知识。我们从零开始训练网络，除了从正在训练的网络中注入一步对抗图像外，还注入从已经防御的网络中迭代生成的对抗图像。我们还建议利用嵌入空间进行分类和低级（像素级）相似性学习，以忽略未知的像素级扰动。在训练过程中，我们注入对抗图像，而不替换它们相应的干净图像，并惩罚两个嵌入（干净和对抗）之间的距离。实验结果表明，级联对抗训练与我们提出的低级别相似性学习有效地提高了对迭代攻击的鲁棒性，但对一步攻击的鲁棒性下降。我们表明，结合这两种技术也可以提高最坏情况下的黑盒攻击场景下的鲁棒性。
2018-03-17 cs.LG stat.ML
LRS: Enhancing Adversarial Transferability through Lipschitz Regularized Surrogate
Missouri University of Science and Technology（密苏里科技大学）
本文提出 Lipschitz 正则化替代模型 LRS，通过平滑替代模型损失景观提升对抗样本的黑盒迁移攻击成功率，并揭示其与局部 Lipschitz 常数、损失景观及鲁棒性的关系。
2024-01-22 cs.CR cs.LG
Regularized Conditional Alignment for Multi-Domain Text Classification
School of Artificial Intelligence, Jilin University（吉林大学人工智能学院）
针对多领域文本分类中对抗对齐易错位、标注数据不足导致判别力弱的问题，提出正则化条件对齐方法，结合半监督约束提升特征判别性与模型鲁棒性，性能超越现有最优技术。
2023-12-18 cs.CL cs.CR cs.LG
Convex training of Lipschitz-regularized shallow neural networks
Polytechnique Montréal, GERAD & Mila, Montréal, QC, Canada（蒙特利尔理工学院，GERAD & Mila，加拿大魁北克省蒙特利尔市）
提出一种凸限制方法求解非凸Lipschitz正则化训练问题，可全局最优求解，并作为预训练网络的后处理步骤，提升对抗鲁棒性和准确性。
2026-06-19 cs.LG
Adversarially Regularized Graph Attention Networks for Inductive Learning on Partially Labeled Graphs
The University of Hong Kong（香港大学）；The Hong Kong Polytechnic University（香港理工大学）；Harbin Institute of Technology（哈尔滨工业大学）
在实际应用中，数据标记的高成本往往导致节点标签短缺。为了提高节点分类精度，基于图的半监督学习利用大量的未标记节点与稀缺的可用标记节点一起进行训练。然而，大多数现有的方法需要所有节点的信息，包括那些要预测的，在模型训练，这是不实际的动态图与新添加的节点。为了解决这个问题，提出了一种逆向正则化图注意力模型，用于对部分标记图中新添加的节点进行分类。基于注意力的聚合器被设计为通过聚合来自其相邻节点的信息来生成节点的表示，从而自然地推广到以前看不见的节点。此外，对抗性训练通过强制节点表示匹配先验分布来提高模型的鲁棒性和泛化能力。在真实数据集上的实验表明，与现有方法相比，该方法是有效的。该代码可在https://github.com/JiarenX/AGAIN上获得。
2023-03-13 cs.LG cs.SI
GReAT: A Graph Regularized Adversarial Training Method
University of Delaware（特拉华大学）
本文提出图正则化对抗训练方法GReAT，将数据结构信息融入对抗训练，在CIFAR10和SVHN上对FGSM及PGD攻击均取得显著鲁棒性提升。
2024-05-03 cs.CV cs.LG
Guided Interpolation for Adversarial Training
Zhejiang University（浙江大学）；RIKEN Center for Advanced Intelligence Project (AIP)（理化学研究所先进智能项目中心）；Shandong University（山东大学）；The University of Tokyo（东京大学）
为了增强对抗性鲁棒性，对抗性训练在其自然数据生成的对抗性变体上学习深度神经网络。然而，随着训练的进行，训练数据变得越来越不可攻击，破坏了鲁棒性增强。一个简单的补救办法是合并更多的训练数据，但有时会产生无法承受的成本。在本文中，为了缓解这个问题，我们提出了引导插值框架（GIF）：在每个时期，GIF采用前一个时期的Meta信息来指导数据的插值。与vanilla mixup相比，GIF能够提供更高比例的可攻击数据，这有利于增强鲁棒性;同时，GIF也缓解了模型类间的线性行为，线性行为有利于泛化，但不利于鲁棒性。因此，GIF鼓励模型在每个类的聚类中进行不变的预测。实验表明，GIF确实可以增强各种对抗训练方法和各种数据集的对抗鲁棒性。
2021-02-15 cs.LG
Adversarially robust generalization theory via Jacobian regularization for deep neural networks
Northwest University（西北大学）
本研究证明雅可比正则化可作为对抗训练的近似上界，并建立其鲁棒泛化差距，实验表明降低雅可比范数可提升标准和鲁棒泛化。
2024-12-17 cs.LG stat.ML
FMix: Enhancing Mixed Sample Data Augmentation
混合样本数据增强（MSDA）近年来受到越来越多的关注，有许多成功的变体，如MixUp和CutMix。通过研究VAE在原始数据和增强数据上学习的函数之间的互信息，我们表明MixUp以CutMix没有的方式扭曲了学习的函数。我们通过展示MixUp作为对抗训练的一种形式来进一步证明这一点，提高了对Deep Fool和Uniform Noise等攻击的鲁棒性，这些攻击产生的示例与MixUp生成的示例类似。我们认为，这种扭曲会阻止模型学习数据中的样本特定特征，从而有助于泛化性能。相比之下，我们认为CutMix更像是一种传统的增强，通过防止记忆而不扭曲数据分布来提高性能。然而，我们认为，建立在CutMix上的MSDA包括任意形状的掩码，而不仅仅是正方形，可以进一步防止记忆，同时以同样的方式保留数据分布。为此，我们提出FMix，MSDA，使用随机二进制掩码通过应用阈值从傅立叶空间采样的低频图像。这些随机掩码可以呈现各种形状，并且可以生成用于一维、二维和三维数据。与MixUp和CutMix相比，FMix在不增加训练时间的情况下，针对一系列数据集和问题设置的多个模型提高了性能，在没有外部数据的情况下，在CIFAR-10上获得了新的单一模型最先进的结果。最后，我们证明了内插MSDA（如MixUp）和掩蔽MSDA（如FMix）之间的差异，这两者可以结合起来进一步提高性能。所有实验的代码在https://…
2021-02-28 cs.CV cs.IT cs.LG
Regularized Training and Tight Certification for Randomized Smoothed Classifier with Provable Robustness
Cornell University（康奈尔大学）；Alibaba Group Inc.（阿里巴巴集团）
最近，通过各向同性高斯扰动平滑基于深度神经网络的分类器被证明是一种有效且可扩展的方式，可以提供最先进的概率鲁棒性保证，以对抗$\ell_2$范数有界的对抗性扰动。然而，如何训练一个良好的基础分类器，是准确的和强大的平滑时，还没有得到充分的研究。在这项工作中，我们得到了一个新的正则化的风险，其中正则化可以自适应地鼓励平滑对应的准确性和鲁棒性时，训练的基础分类。它是计算效率高，可以与其他经验防御方法并行实施。我们讨论了如何在标准（非对抗性）和对抗性训练计划下实现它。同时，我们还设计了一个新的认证算法，它可以利用正则化效应提供更严格的鲁棒性下限，保持高概率。我们广泛的实验证明了CIFAR-10和ImageNet数据集上提出的训练和认证方法的有效性。
2020-02-17 cs.LG stat.ML
Gradient-Based Adversarial Training on Transformer Networks for Detecting Check-Worthy Factual Claims
Plano West Senior High School（普莱诺西部高中）；The University of Texas at Arlington（德克萨斯大学阿灵顿分校）
我们提出了一个对抗性训练的有效性研究Transformer神经网络模型，相对于检测检查值得索赔的任务。在这项工作中，我们介绍了第一个逆向正则化的，基于transformer的索赔检举模型，该模型在多个具有挑战性的基准测试中获得了最先进的结果。我们分别在ClaimBuster数据集和CLEF2019数据集上获得了比当前最先进模型高4.70分的F1分数。在此过程中，我们提出了一种将对抗训练应用于Transformer模型的方法，该方法有可能推广到许多类似的文本分类任务。随着我们的结果，我们正在发布我们的代码库和手动标记的数据集。我们还通过一个实时的公共API展示了我们模型的真实使用情况。
2020-05-21 cs.CL cs.LG
SHIELD: Secure Hypernetworks for Incremental Expansion Learning Defense
Jagiellonian University, Faculty of Mathematics and Computer Science（杰洛内维大学数学与计算机科学学院）；Jagiellonian University, Doctoral School of Exact and Natural Sciences（杰洛内维大学精确与自然科学研究博士学院）；Akces NCBR；IDEAS Research Institute（IDEAS研究所）
提出一种结合区间边界传播（IBP）与超网络的框架SHIELD，通过生成任务特定参数和区间混合训练策略，实现可认证鲁棒的持续学习，在保持可扩展性的同时达到最优平均准确率。
2026-05-29 cs.AI cs.CR cs.LG
Learning Graph Embedding with Adversarial Training Methods
Monash University（莫纳什大学）；University of Technology Sydney（悉尼科技大学）；City University of Hong Kong（香港城市大学）
图嵌入旨在将图转换为向量，以促进后续的图分析任务，如链接预测和图聚类。图嵌入的大多数方法都集中在保持图的结构或最小化图数据的重建误差。他们大多忽略了潜在代码的嵌入分布，不幸的是，这可能会导致在许多情况下表现较差。在本文中，我们提出了一个新的逆向正则化框架图嵌入。通过采用图卷积网络作为编码器，我们的框架嵌入的拓扑信息和节点内容到一个矢量表示，从该图解码器进一步构建重建输入图。对抗性训练原则被应用于强制我们的潜码匹配先验高斯或均匀分布。基于这个框架，我们推导出两种对抗模型的变体，对抗正则化图自动编码器（ARGA）及其变分版本，对抗正则化变分图自动编码器（ARVGA），以有效地学习图嵌入。我们还利用ARGA和ARVGA的其他潜在变体来深入了解我们的设计。通过对12种链接预测算法和20种图聚类算法的实验比较，验证了本文提出的方法的有效性。
2019-07-29 cs.LG stat.ML
Adversarial Unlearning: Reducing Confidence Along Adversarial Directions
Carnegie Mellon University（卡内基梅隆大学）；UC Berkeley（加州大学伯克利分校）
用最大似然目标训练的监督学习方法经常在训练数据上过拟合。大多数防止过拟合的正则化器看起来是为了增加对其他示例的信心（例如，数据增强、对抗训练），或在训练数据上减少它（例如，标签平滑）。在这项工作中，我们提出了一个互补的正则化策略，降低了对自我生成的例子的信心。我们称之为RCAD（沿对抗方向降低置信度）的方法旨在降低沿对抗方向分布的样本的置信度，以增加训练损失。与对抗训练相比，RCAD并不试图对模型进行鲁棒性处理以输出原始标签，而是将其正则化，以降低使用比传统对抗训练更大的扰动生成的点的置信度。RCAD可以通过几行代码轻松集成到培训管道中。尽管它很简单，但我们发现在许多分类基准上，RCAD可以添加到现有技术中（例如，标签平滑，MixUp训练），以将测试精度的绝对值提高1-3%，在低数据状态下有更显著的增益。我们还提供了一个理论分析，有助于在简化的设置中解释这些好处，表明RCAD可以证明帮助模型忘记训练数据中的虚假特征。
2022-06-03 cs.CR cs.LG
Better Robustness by More Coverage: Adversarial Training with Mixup Augmentation for Robust Fine-tuning
University of Maryland, College Park（马里兰大学帕克分校）；Tsinghua University（清华大学）；Beijing National Research Center for Information Science and Technology（北京信息科学与技术国家研究中心）；Huawei Noah’s Ark Lab（华为诺亚方舟实验室）
预训练语言模型（PLM）在对抗攻击下表现不佳。为了提高对抗攻击的鲁棒性，对抗数据增强（ADA）被广泛采用，通过在训练过程中添加文本对抗样本来覆盖更多的对抗攻击搜索空间。然而，由于指数级大的攻击搜索空间，用于文本增强的对抗性示例的数量仍然极其不足。在这项工作中，我们提出了一种简单有效的方法来覆盖更大比例的攻击搜索空间，称为对抗和混合数据增强（AMDA）。具体来说，AMDA线性插值训练样本对的表示，以形成新的虚拟样本，这是更丰富和多样性比传统ADA中的离散文本对抗性的例子。此外，为了公平地评估不同模型的鲁棒性，我们采用了一个具有挑战性的评估设置，它针对每个模型生成一组新的对抗性示例。在BERT和RoBERTa的文本分类实验中，AMDA算法在两种强对抗攻击下均获得了显著的鲁棒性提高，并在干净数据上弥补了ADA算法的性能下降。我们的代码可在https://github.com/thunlp/MixADA上获得。
2021-06-06 cs.CL
Robustness Cannot be Reduced to Regularization: Studying Adversarial Training Beyond the Linear Case
Université Paris Dauphine PSL Research University（巴黎多芬纳大学PSL研究大学）；Sorbonne Université LPSM, UMR 8001（索邦大学LPSM, UMR 8001）
本文证明两层网络中对抗风险无法等价于任何简单正则化风险，并通过实验表明深层架构中同样存在这种不可简化性。
2026-06-23 cs.LG
The Geometry of Adversarial Training in Binary Classification
Hausdorff Center for Mathematics（豪斯多夫数学中心）；University of Bonn（波恩大学）；University of Wisconsin-Madison（威斯康星大学麦迪逊分校）；North Carolina State University（北卡罗来纳州立大学）
我们建立了一个非参数二进制分类的对抗训练问题的家庭和一个家庭的正则化风险最小化问题，其中正则化是一个非局部周边功能之间的等价性。由此产生的正则化风险最小化问题承认$L^1+$（非局部）$\operatorname{TV}$，一种经常在图像分析和基于图形的学习中研究的形式的精确凸松弛。一个丰富的几何结构，揭示了这一重新制定，这反过来又使我们能够建立一系列的性质的最佳解决方案的原始问题，包括存在的最小和最大的解决方案（解释在一个合适的意义上），并存在的正规解决方案（也解释在一个合适的意义上）。此外，我们强调了对抗训练和周长最小化问题之间的联系如何为涉及周长/总变差的正则化风险最小化问题家族提供了一种新颖的、可直接解释的统计动机。我们的大多数理论结果与用于定义对抗攻击的距离无关。
2022-08-01 cs.LG math.AP math.MG
Adversary-Free Counterfactual Prediction via Information-Regularized Representations
CAIR-CAS（中国科学院自动化研究所）；CityUHK（香港城市大学）；HKUST（香港理工大学）
本文提出一种基于信息正则化表示的无对抗因果预测方法，通过减少处理-协变量依赖性来提升预测性能，适用于动态场景并优于现有平衡、重加权和对抗方法。
2026-04-27 cs.LG stat.ML
On-manifold Adversarial Data Augmentation Improves Uncertainty Calibration
Bosch Center for Artificial Intelligence（博世人工智能中心）；University of Stuttgart（斯图加特大学）
不确定性估计有助于识别模糊、新颖或异常的输入，但对不确定性的可靠量化已被证明对现代深度网络具有挑战性。为了提高不确定性估计，我们提出了流形上对抗性数据增强或OMADA，它特别试图通过遵循基于自动编码器的生成模型的潜在空间中的流形上对抗攻击路径来生成最具挑战性的示例，该生成模型非常接近两个或多个类之间的决策边界。在各种数据集以及多种不同的网络架构上，OMADA始终比基线模型产生更准确和更好的校准分类器，并优于Mixup等竞争方法，以及实现与温度缩放等后处理校准方法相似的性能（有时更好）。OMADA的变体可以基于其估计的软标签的熵对模糊的流形上示例采用不同的采样方案，这些软标签表现出泛化、预测不确定性的校准或分布外输入的检测的特定强度。
2021-01-14 cs.LG stat.ML
UQ-ARMED: Uncertainty quantification of adversarially-regularized mixed effects deep learning for clustered non-iid data
这项工作证明了为模型拟合、固定效应协方差系数和预测置信度生成易于解释的统计指标的能力。重要的是，这项工作比较了4个合适的和常用的认知UQ方法，BNN，SWAG，MC辍学，和合奏的方法，在他们的能力来计算这些统计指标的ARMED MEDL模型。在我们对AD预后的实验中，不仅UQ方法提供了这些益处，而且几种UQ方法保持了原始ARMED方法的高性能，有些甚至提供了适度的（但不具有统计学显著性）性能改善。集成模型，特别是具有90%子采样的集成方法，在我们测试的所有指标中表现良好，具有（1）与非UQ ARMED模型相当的高性能，（2）适当地对混淆探针进行去权重，并为其分配统计学上不显著的p值，（3）获得相对较高的输出预测置信度校准。结果表明，在保持ARMED方法的基本性能的同时，集成方法（尤其是90%子采样的集成方法）在预测和不确定性估计方面提供了最好的综合性能，并实现了我们的目标：提供模型拟合的统计显著性、统计显著性协变量系数和预测置信度
2022-11-29 cs.AI cs.LG stat.ME
Adapters Mixup: Mixing Parameter-Efficient Adapters to Enhance the Adversarial Robustness of Fine-tuned Pre-trained Text Classifiers
Indiana University（印第安纳大学）
针对参数高效微调的预训练文本分类器对抗训练存在的干净样本性能下降、需频繁重训的问题，提出AdpMixup方法，通过混合多适配器实现鲁棒推理，在训练效率与鲁棒性间取得最优平衡。
2024-06-17 cs.CL
TRACER: Trace-Regularized Training Against Indirect Prompt Injection
Mohamed bin Zayed University of Artificial Intelligence（穆罕默德·本·扎耶德人工智能大学）
本文针对间接提示注入的通道依赖性问题，提出TRACER对抗训练方法，在GSM8K数据集上使Qwen2.5-3B-Instruct的RAG框架ASR大幅下降，证明稳健防御需跨部署通道训练评估。
2026-10-13 cs.LG
Unsupervised Domain Adaptation for COVID-19 Information Service with Contrastive Adversarial Domain Mixup
University of Illinois Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）；University of Notre Dame（圣母大学）
在COVID-19错误信息检测的实际应用中，一个根本的挑战是缺乏标记的COVID数据来实现模型的监督端到端训练，特别是在大流行的早期阶段。为了应对这一挑战，我们提出了一个无监督的领域自适应框架，该框架使用对比学习和对抗性领域混合来将知识从现有的源数据领域转移到目标COVID-19数据领域。特别是，为了弥合源域和目标域之间的差距，我们的方法减少了基于径向基函数（RBF）这两个域之间的差异。此外，我们利用领域对抗性示例的力量来建立一个中间领域混合，其中来自两个领域的输入文本的潜在表示可以在训练过程中混合。在多个真实世界数据集上进行的大量实验表明，我们的方法可以有效地使错误信息检测系统适应看不见的COVID-19目标域，与最先进的基线相比有显着改进。
2022-10-06 cs.AI cs.CL
On Data Augmentation and Adversarial Risk: An Empirical Analysis
Johannes Kepler University（约翰内斯·开普勒大学）；Software Competence Center Hagenberg GmbH（哈根贝格软件能力中心有限公司）
数据增强技术已成为深度学习的标准实践，因为它已被证明可以大大提高模型的泛化能力。这些技术依赖于不同的想法，例如保持不变的变换（例如，专家定义的增强），统计分析（例如，Mixup）和学习数据分布（例如，GANs）。然而，在对抗性环境中，仍然不清楚在什么条件下这种数据增强方法降低甚至恶化了错误分类的风险。因此，在本文中，我们分析了不同的数据增强技术对对抗风险的影响，通过三个措施：（a）众所周知的风险下的对抗攻击，（b）一个新的措施的预测变化的压力的基础上拉普拉斯算子，（c）的影响，训练样本预测。我们的实证分析的结果反驳的假设，即数据增强引起的分类性能的改善总是伴随着对抗攻击下的风险的改善。此外，我们的研究结果表明，增广数据比非增广数据有更大的影响，对所产生的模型。总之，我们的研究结果表明，通用数据增强，不考虑到数据和任务的特点，必须谨慎应用。
2020-07-06 cs.LG stat.ML
Variational Inference with Latent Space Quantization for Adversarial Resilience
SigTuple Technologies（SigTuple科技公司）；Indian Institute of Technology Delhi（印度理工学院德里分校）
尽管深度神经网络在对高维数据流形建模方面取得了巨大的成功，但它们仍受到对抗攻击的威胁-通过仔细扰动获得的感知有效的输入类样本的存在，导致底层模型的性能下降。现有防御机制的主要问题包括不同攻击、模型和大量推理时间的不可推广性。在本文中，我们提出了一个广义的防御机制，利用正则化的潜在空间的生成模型的表达能力。我们设计了一个对抗过滤器，没有访问分类器和对手，这使得它可以与任何分类器串联使用。其基本思想是从数据流形学习Lipschitz约束映射，将对抗性扰动引入到量化的潜在空间，并将其重新映射到真实的数据流形。具体来说，我们同时自动编码的数据流形和它的扰动隐式通过扰动的正则化和量化生成的潜在空间，实现变分推理。我们证明了所提出的配方在提供针对多种攻击类型（黑盒和白盒）和方法的弹性方面的有效性，同时几乎是实时的。我们的实验表明，所提出的方法超越了国家的最先进的技术在几种情况下。
2019-09-06 cs.CV cs.LG
Reliably fast adversarial training via latent adversarial perturbation
KAIST（韩国科学技术院）
虽然多步对抗训练作为对抗强对抗攻击的有效防御方法而广泛流行，但与标准训练相比，其计算成本非常昂贵。已经提出了几种单步对抗训练方法来减轻上述开销成本;然而，根据优化设置，它们的性能并不足够可靠。为了克服这些限制，我们偏离了现有的基于输入空间的对抗训练机制，并提出了一种单步潜在对抗训练方法（SLAT），该方法利用潜在表示的梯度作为潜在对抗扰动。我们证明了特征梯度的L1范数通过所采用的潜在扰动被隐式正则化，从而恢复局部线性并确保可靠的性能，与现有的单步对抗训练方法相比。由于潜在扰动是基于潜在表示的梯度，而这些梯度可以在输入梯度计算过程中免费获得，因此所提出的方法与快速梯度符号方法的时间大致相同。实验结果表明，尽管该方法结构简单，但性能优于最先进的加速对抗训练方法。
2021-11-29 cs.LG
Adaptive Model Inversion Attacks Generalize a Privacy-Robustness Tradeoff
Dartmouth College（达特茅斯学院）
本文通过自适应攻击调整揭示标准模型反演攻击评估低估隐私泄露，并发现重建泄露与对抗鲁棒性紧密相关，提出鲁棒性可作为重建脆弱性的广泛代理。
2026-10-07 cs.CR cs.LG
CAARMA: Class Augmentation with Adversarial Mixup Regularization
Carnegie Mellon University（卡内基梅隆大学）
CAARMA通过在嵌入空间中生成合成类别并采用对抗性细化机制，提升说话人验证和零样本语音分析任务的性能。
2026-02-02 cs.CL cs.LG cs.SD
Sounderfeit: Cloning a Physical Model with Conditional Adversarial Autoencoders
Inria Chile（法国国家信息与自动化研究所智利分所）
一个对抗性的自动编码器的物理建模弓弦合成器的已知参数的条件下进行评估，用于参数估计和再合成任务。提供潜在维度以捕获条件参数无法解释的方差。结果进行了比较，没有对抗性的训练，并能够“复制”一个给定的参数信号的双向关系的系统进行检查。一个实时合成系统建立在一个生成的，有条件的和正规化的神经网络，允许构建从事声音合成器纯粹基于记录的数据。
2018-02-22 cs.LG cs.SD eess.AS
Detection of Adversarial Attacks and Characterization of Adversarial Subspace
对抗攻击一直是任何数据驱动模型的严重威胁。在本文中，我们探索了酉向量域中对抗性样本的子空间，并提出了一种新的检测器来保护我们为环境声音分类训练的模型。我们测量弦的距离之间的合法和恶意表示的声音在酉空间的广义Schur分解，并表明他们的流形远离对方。我们的前端检测器是一个正则化的逻辑回归，它可以区分合法和对抗谱图的特征值。在三个以声谱图表示的环境声音基准数据集上的实验结果表明，该检测器对八种类型的对抗攻击具有较高的检测率，优于其他检测方法。
2019-10-26 cs.CR cs.LG cs.SD
Unifying Adversarial Training Algorithms with Flexible Deep Data Gradient Regularization
The Pennsylvania State University（宾夕法尼亚州立大学）
许多以前针对深度神经网络对抗训练的建议包括直接修改梯度，在原始和对抗样本的混合上进行训练，使用收缩惩罚，以及近似优化约束对抗目标函数。在本文中，我们展示了这些建议实际上都是优化一个通用的正则化目标的实例，我们称之为DataGrad。我们提出的DataGrad框架可以被视为逐层压缩自动编码器惩罚的深度扩展，它干净地简化了先前的工作，并轻松地允许扩展，例如具有多任务提示的对抗训练。在我们的实验中，我们发现DataGrad的深度梯度正则化（也有L1和L2正则化）在原始数据集和对抗集上的性能优于其他正则化形式，包括经典的L1，L2和多任务。此外，我们发现将多任务优化与DataGrad对抗训练相结合可以获得最强大的性能。
2016-07-29 cs.LG cs.NE
Improving Adversarial Robustness by Putting More Regularizations on Less Robust Samples
Seoul National University（首尔国立大学）
本文提出一种新的对抗训练算法，通过对易受攻击样本施加更多正则化来最小化鲁棒风险上界，从而同时提升模型泛化能力与对抗鲁棒性，达到最先进性能。
2023-06-01 cs.LG stat.ML
Sparse and Imperceptible Adversarial Attack via a Homotopy Algorithm
The University of Texas at Austin（德克萨斯大学奥斯汀分校）
稀疏对抗攻击可以通过仅扰动几个像素（由l_0范数正则化）来欺骗深度神经网络（DNN）。最近的努力将它与另一个在微扰幅度上难以察觉的l_infty结合起来。由此产生的稀疏和不可感知的攻击实际上是相关的，并且表明DNN的脆弱性比我们通常想象的还要高。然而，由于通过将l_0正则化器和框约束与非凸目标耦合而产生的优化困难，因此这种攻击更具挑战性。在本文中，我们提出了一个同伦算法，共同解决稀疏性和扰动界在一个统一的框架，以应对这一挑战。每次迭代，我们算法的主要步骤是优化l_0正则化的对抗损失，通过利用非单调加速邻近梯度方法（nmAPG）进行非凸规划;其次是l_0变化控制步骤，以及一个可选的后攻击步骤，旨在逃避坏的局部极小值。我们还扩展了算法处理的结构稀疏正则化。我们在CIFAR-10和ImageNet数据集上广泛地研究了我们提出的同伦攻击对目标和非目标攻击场景的有效性。与最先进的方法相比，我们的同伦攻击导致显著更少的扰动，例如，在CIFAR-10上减少42.91%，在ImageNet上减少75.03%（平均情况，有针对性的攻击），在类似的最大扰动幅度下，仍然实现100%的攻击成功率。我们的代码可在https://github.com/VITA-Group/SparseADV_Homotopy上获得。
2021-06-10 cs.AI cs.CV cs.LG
Universal Adversarial Attacks with Natural Triggers for Text Classification
Princeton University（普林斯顿大学）
最近的工作已经证明了现代文本分类器对通用对抗攻击的脆弱性，这些攻击是添加到分类器处理的文本中的输入不可知的单词序列。尽管成功，在这种攻击中产生的单词序列往往是不合语法的，可以很容易地从自然文本中区分出来。我们开发的对抗攻击看起来更接近自然的英语短语，但当添加到良性输入时，会混淆分类系统。我们利用一个adversarially正则化自动编码器（ARAE）生成触发器，并提出了一个基于梯度的搜索，旨在最大限度地提高下游分类器的预测损失。我们的攻击有效地降低了分类任务的模型准确性，同时根据自动检测指标和人类受试者研究，比以前的模型更难识别。我们的目标是证明对抗攻击可以比以前想象的更难检测，并能够开发适当的防御。
2021-04-07 cs.CL cs.CR
Dynamical Low-Rank Compression of Neural Networks with Robustness under Adversarial Attacks
Computer Science and Mathematics Division（计算机科学与数学 division）；Geospatial Science and Human Security Division（地理科学与人类安全 division）
本文提出动态低秩训练与谱正则化方法，在实现94%以上压缩的同时保持或提升对抗鲁棒性，且支持秩自适应。
2025-09-23 cs.LG cs.NA math.NA
Understanding Adversarial Robustness: The Trade-off between Minimum and Average Margin
University of Waterloo（滑铁卢大学）
深度模型虽然非常通用和准确，但容易受到对抗攻击的影响：人类无法感知的轻微扰动可以完全翻转深度模型的预测。已经提出了许多攻击和防御机制，尽管令人满意的解决方案在很大程度上仍然难以捉摸。在这项工作中，我们给出了强有力的证据，证明在训练过程中，深度模型最大化最小余量以实现高精度，但同时降低了\emph{average}余量，从而损害了鲁棒性。我们的实证结果强调了当前深度模型训练的准确性和鲁棒性之间的内在权衡。为了进一步解决这个问题，我们提出了一个新的正则化显式地促进平均利润，我们通过广泛的实验验证，它确实导致更好的鲁棒性。我们的正则化目标保持Fisher一致性，因此渐进地仍然可以恢复贝叶斯最优分类器。
2019-07-26 cs.LG stat.ML
Watch out! Motion is Blurring the Vision of Your Deep Neural Networks
Nanyang Technological University（南洋理工大学）；Alibaba Group（阿里巴巴集团）；Kyushu University（九州大学）；Tianjin University（天津大学）
最先进的深度神经网络（DNN）容易受到具有加性类随机噪声扰动的对抗性示例的攻击。虽然这样的例子在物理世界中几乎找不到，但是另一方面，由对象运动引起的图像模糊效应在实践中通常发生，使得对其的研究非常重要，特别是对于广泛采用的实时图像处理任务（例如，目标检测、跟踪）。在本文中，我们首先全面研究了由物体运动引起的DNN模糊效应的潜在危害。我们提出了一种新的对抗攻击方法，可以生成视觉上自然的运动模糊对抗示例，命名为基于运动的对抗模糊攻击（ABBA）。为此，我们首先制定了基于内核预测的攻击，其中输入图像以像素方式与内核卷积，并且通过调整内核权重来实现误分类能力。为了生成视觉上更自然和合理的例子，我们进一步提出了显着性正则化对抗核预测，其中显着区域作为移动对象，预测的核被正则化以实现自然的视觉效果。此外，通过自适应调整目标和背景的平移，进一步增强了攻击。对NeurIPS的17个对抗性竞争数据集的综合评估通过考虑各种内核大小、平移和区域来证明ABBA的有效性。深入的研究进一步证实，与其他模糊方法相比，我们的方法对最先进的基于GAN的去模糊机制表现出更有效的穿透能力。我们将代码发布到https://github.com/tsingqguo/ABBA。
2020-11-09 cs.CV cs.LG
Sounderfeit: Cloning a Physical Model using a Conditional Adversarial Autoencoder
Inria Chile（智利国家数字科学技术研究所）
一个对抗性的自动编码器的物理建模弓弦合成器的已知参数的条件下进行评估，用于参数估计和再合成任务。提供潜在维度以捕获条件参数无法解释的方差。结果进行了比较，没有对抗性的训练，并能够“复制”一个给定的参数信号的双向关系的系统进行检查。一个实时合成系统建立在一个生成的，有条件的和正规化的神经网络，允许构建从事声音合成器纯粹基于记录的数据。
2018-06-25 cs.LG cs.NE cs.SD
Duality for the Adversarial Total Variation
Institute of Mathematics, Center for Artificial Intelligence and Data Science (CAIDAS), University of Würzburg（数学研究所、人工智能与数据科学中心（CAIDAS）、乌尔姆大学）
本文通过将对抗训练重新表述为包含非局部总变分的正则化风险最小化问题，建立了非局部总变分的子微分特征，利用对偶技术推导了非局部总变分的对偶表示及其积分部分公式。
2026-11-13 cs.LG math.AP math.FA
Understanding Overfitting in Adversarial Training via Kernel Regression
本文在再生核希尔伯特空间中建立对抗训练与噪声数据增强的极限公式，证明缺乏适当正则化时二者比标准核回归更易过拟合，而适当正则化可使其获得更小的泛化误差和Lipschitz常数。
2023-04-19 cs.LG math.ST stat.ML
