Jacobian Ensembles Improve Robustness Trade-offs to Adversarial Attacks
Imperial College London（帝国理工学院）；DataSpartan
深度神经网络已经成为我们软件基础设施的一个组成部分，并被部署在许多广泛使用的安全关键应用程序中。然而，它们集成到许多系统中也带来了以通用对抗性扰动（UAP）形式的测试时间攻击的脆弱性。UAP是一类扰动，当应用于任何输入时会导致模型误分类。虽然有一个正在进行的努力，以保护模型免受这些对抗攻击，它往往是难以调和的权衡模型的准确性和鲁棒性的对抗攻击。雅可比正则化已被证明可以提高模型对UAP的鲁棒性，而模型集成已被广泛采用，以提高预测性能和模型鲁棒性。在这项工作中，我们提出了一种新的方法，雅可比集成-雅可比正则化和模型集成的组合，以显着提高对不稳定性，同时保持或提高模型的准确性。我们的研究结果表明，雅可比集成实现了以前看不到的准确性和鲁棒性水平，大大提高了以前的方法，往往倾向于只对准确性或鲁棒性倾斜。
2022-04-19 cs.CR cs.CV cs.LG
Robust Ensemble Model Training via Random Layer Sampling Against Adversarial Attack
KAIST（韩国科学技术院）
深度神经网络已经在多个计算机视觉领域取得了实质性的成就，但也存在漏洞，经常被人类无法识别的对抗性示例所愚弄。这对于安全或医疗应用来说是一个重要的问题。在本文中，我们提出了一个集成模型训练框架与随机层采样，以提高深度神经网络的鲁棒性。在所提出的训练框架中，我们通过随机分层采样生成各种采样模型，并更新采样模型的权重。在训练好集成模型后，采用随机分层抽样的方法，有效地隐藏了梯度信息，避免了基于梯度的攻击。为了评估我们提出的方法，全面和比较实验已经进行了三个数据集。实验结果表明，该方法提高了系统的对抗鲁棒性.
2021-01-27 cs.CR cs.CV cs.LG
ViT-EnsembleAttack: Augmenting Ensemble Models for Stronger Adversarial Transferability in Vision Transformers
School of Computer Science and Technology（计算机科学与技术学院）；Huazhong University of Science and Technology（华中科技大学）
本文提出ViT-EnsembleAttack，通过多头丢弃、注意力缩放和MLP特征混合三种对抗增强策略及自动重加权与步长放大模块，首次针对视觉Transformer构建集成攻击方法，显著提升对抗样本迁移性。
2025-08-17 cs.CR cs.CV
Improving Ensemble Robustness by Collaboratively Promoting and Demoting Adversarial Robustness
Monash University（莫纳什大学）；Defence Science and Technology Group（国防科技集团）
基于集合的对抗训练是实现对抗对抗攻击的鲁棒性的原则性方法。这种方法的一个重要技术是控制对抗性样本在集成成员之间的可转移性。在这项工作中，我们提出了一个简单而有效的策略，委员会模型之间的合奏模型进行合作。这是通过为给定样本上的每个模型成员定义的安全和不安全集合来实现的，因此有助于我们量化和规范可转移性。因此，我们提出的框架提供了灵活性，以减少对抗性的可转移性，以及促进合奏成员的多样性，这是我们的合奏方法更好的鲁棒性的两个关键因素。我们进行了广泛而全面的实验，以证明我们提出的方法优于最先进的集成基线，同时可以以近乎完美的准确度检测到各种各样的对抗性示例。我们的代码可在https://github.com/tuananhbui89/Crossing-Collaborative-Ensemble上获得。
2022-02-04 cs.CV cs.LG
CARE: Ensemble Adversarial Robustness Evaluation Against Adaptive Attackers for Security Applications
针对网络安全中集成防御能否抵御自适应攻击缺乏综合评估平台的问题，本文提出通用CARE平台以系统评估集成对抗攻击与防御。
2024-01-20 cs.CR cs.LG
MUTEN: Boosting Gradient-Based Adversarial Attacks via Mutant-Based Ensembles
Interdisciplinary Centre for Security, Reliability and Trust, University of Luxembourg（卢森堡大学安全、可靠性与信任跨学科中心）
深度神经网络（DNN）容易受到对抗性样本的攻击，这对安全关键型应用程序造成了严重威胁。这激发了许多关于提供机制以使模型对对抗攻击更鲁棒的研究。不幸的是，大多数防御措施（例如梯度掩蔽）都可以通过不同的攻击手段轻松克服。在本文中，我们提出了MUTEN，这是一种低成本的方法，可以提高针对梯度掩蔽模型的知名攻击的成功率。我们的想法是将攻击应用于通过在训练后突变原始模型元素而构建的集成模型。由于我们发现突变体的多样性是提高成功率的一个关键因素，我们设计了一个贪心算法来有效地产生多样的突变体。在MNIST、SVHN和CIFAR 10上的实验结果表明，MUTEN可以将四次攻击的成功率提高高达0.45。
2021-09-27 cs.CR cs.CV cs.LG
Self-Ensemble Adversarial Training for Improved Robustness
Peking University（北京大学）
由于机器智能在现实世界应用中带来的众多突破，深度神经网络（DNN）被广泛应用于关键应用中。然而，DNN的预测很容易被难以察觉的对抗性扰动所操纵，这阻碍了DNN的进一步部署，并可能导致深刻的安全和隐私影响。通过将对抗样本加入训练数据池，对抗训练是各种防御方法中对抗各种对抗攻击的最强原则性策略。最近的工作主要集中在开发新的损失函数或正则化器，试图在权重空间中找到唯一的最优点。但是，它们都没有挖掘从标准对抗训练中获得的分类器的潜力，特别是在训练的搜索轨迹上的状态。在这项工作中，我们致力于通过训练过程中的模型的权重状态，并设计了一个简单但功能强大的\emph{Self-Ensemble Adversarial Training}（SEAT）方法，通过平均历史模型的权重来产生一个强大的分类器。这大大提高了目标模型对几种众所周知的对抗攻击的鲁棒性，甚至仅仅利用朴素的交叉熵损失来监督。我们还讨论了来自不同对抗训练模型的预测集成与权重集成模型的预测之间的关系，并提供了理论和经验证据，证明所提出的自集成方法提供了比单个模型和来自不同分类器的预测集成更平滑的损失景观和更好的鲁棒性。我们进一步分析了一个微妙的，但致命的问题，在一般设置的自集成模型，这导致恶化的加权集成方法在后期阶段。
2022-05-03 cs.CR cs.LG
Certifying Joint Adversarial Robustness for Model Ensembles
University of Virginia（弗吉尼亚大学）
深度神经网络（DNN）通常容易受到对抗性样本的攻击。一些提出的防御方法部署了一个模型集合，希望尽管单个模型可能容易受到攻击，但对手将无法找到成功对抗集合的对抗性样本。根据集成的使用方式，攻击者可能需要找到一个对抗性的例子，成功地对抗集成中的所有或大多数模型。集成防御对强大对手的有效性取决于集成中模型的脆弱性空间是不相交的。我们认为，联合脆弱性的合奏模型，并提出了一种新的技术，用于证明合奏的联合鲁棒性，建立在以前的工作单模型的鲁棒性认证。我们评估了各种模型集成的鲁棒性，包括使用成本敏感鲁棒性训练的模型，以提高对集成模型作为对抗性示例防御的潜在有效性的理解。
2020-04-21 cs.CR cs.LG stat.ML
Defending Adversarial Examples by Negative Correlation Ensemble
Harbin Institute of Technology（哈尔滨工业大学）；Peng Cheng Laboratory（鹏城实验室）；Southern University of Science and Technology（南方科技大学）
DNN中的安全问题，如对抗性示例，引起了人们的广泛关注。对抗性示例是指通过引入精心设计的扰动，能够诱导DNN返回完全预测的示例。显然，对抗性样本给深度学习的发展带来了极大的安全隐患。近年来，针对对抗性实例提出了一些防御方法，但在我们看来，这些方法的性能仍然有限。在本文中，我们提出了一种新的集成防御方法命名为负相关增强（NCEn），它通过引入负相关的集成中的每个成员的梯度方向和梯度幅度，同时减少了对抗性示例之间的可转移性，从而实现了令人信服的结果。实验结果表明，NCEn能有效地提高集成的抗攻击鲁棒性。
2022-06-11 cs.AI cs.CR cs.LG
Interpretability is a Kind of Safety: An Interpreter-based Ensemble for Adversary Defense
Beihang University（北京航空航天大学）
本文揭示了DNN解释器与对抗样本生成之间的梯度相关性，并提出基于解释器的集成框架X-Ensemble，通过检测-校正流程和随机森林集成检测器实现鲁棒的对抗性防御。
2023-04-14 cs.CR cs.CV cs.LG
Omni: Automated Ensemble with Unexpected Models against Adversarial Evasion Attack
North Carolina State University（北卡罗来纳州立大学）
背景：基于机器学习的安全检测模型在现代恶意软件和入侵检测系统中已经变得普遍。然而，以前的研究表明，这种模型容易受到对抗性逃避攻击。在这种类型的攻击中，输入（即，对抗性示例）是由智能恶意对手特别制作的，目的是被现有技术水平的模型错误分类（例如，深度神经网络）。一旦攻击者可以欺骗分类器，使其认为恶意输入实际上是良性的，他们就可以使基于机器学习的恶意软件或入侵检测系统失效。目标：通过集成模型的思想，帮助安全从业者和研究人员构建一个更强大的模型来对抗非自适应、白盒和非针对性的对抗性规避攻击。方法：我们提出了一种名为Omni的方法，其主要思想是探索创建“意外模型”集合的方法;即，模型的控制超参数有一个大的距离对手的目标模型的超参数，我们然后做一个优化的加权集成预测。测试结果：在对五种安全数据集（NSL-KDD，CIC-IDS-2017，CSE-CIC-IDS 2018，CICAnd-Mal 2017和Contagio PDF数据集）进行的五种类型的对抗性规避攻击（FGSM，BIM，JSMA，DeepFool和Carlini-Wagner）的研究中，我们发现与其他基线治疗方法相比，Omni是一种很有前途的对抗对抗攻击的防御策略。结论：当采用集成防御对抗性逃避攻击时，我们建议使用与攻击者的预期模型（即，目标模型）通过超参数优化等方法。
2021-10-12 cs.CR cs.LG
Toward Adversarial Robustness by Diversity in an Ensemble of Specialized Deep Neural Networks
Université Laval（拉瓦尔大学）；Oregon State University（俄勒冈州立大学）；Mila（米拉）
我们的目标是展示CNN集成中的多样性对黑盒对抗实例检测的影响，并加强白盒对抗攻击的生成。为此，我们提出了一个多样化的专门CNN的集合，以及一个简单的投票机制。这种集合的多样性在对手的预测置信度和干净样本的预测置信度之间产生了差距，使得对手可检测。然后，我们分析了这样一个专家集合的多样性如何减轻黑盒和白盒对抗性示例的风险。使用MNIST和CIFAR-10，我们经验性地验证了我们的集合检测大部分已知黑盒对抗性示例的能力，这导致对手的风险率显著降低，而代价是干净样本的风险率略有增加。此外，我们表明，与普通CNN和普通CNN的集成相比，我们的集成生成白盒攻击的成功率显着降低，突出了集成中多样性对开发更强大模型的有益作用。
2020-05-17 cs.CR cs.LG stat.ML
D4: Detection of Adversarial Diffusion Deepfakes Using Disjoint Ensembles
University of Michigan（密歇根大学）；University of Wisconsin-Madison（威斯康星大学麦迪逊分校）
本文提出D4方法，通过在频谱不相交子集上构建模型集成降低对抗子空间维数，显著提升扩散深度伪造检测的黑盒对抗鲁棒性，并优于现有最先进防御方法。
2023-08-06 cs.CV cs.LG
Denoising and Verification Cross-Layer Ensemble Against Black-box Adversarial Attacks
Georgia Institute of Technology（佐治亚理工学院）
深度神经网络（DNN）在许多具有挑战性的机器学习任务中表现出令人印象深刻的性能。然而，DNN容易受到通过向良性输入添加恶意制作的扰动而生成的对抗性输入的影响。据报告，越来越多的攻击产生了不同复杂程度的对抗性投入，因此，防御-攻击军备竞赛加快了。在本文中，我们提出了MODEF，跨层模型多样性集成框架。MODEF通过量化模型多样性，智能地将无监督模型去噪集成与有监督模型验证集成相结合，旨在提高目标模型对对抗性示例的鲁棒性。使用流行的基准数据集上的11个代表性攻击进行评估，我们表明，与现有的防御方法相比，MODEF实现了显着的防御成功率，并提供了卓越的修复对抗性输入的能力，并在黑盒攻击的存在下以高精度做出正确的预测。
2019-10-26 cs.CR cs.LG stat.ML
Guardian of the Ensembles: Introducing Pairwise Adversarially Robust Loss for Resisting Adversarial Attacks in DNN Ensembles
Centre for Computational and Data Sciences, IIT Kharagpur（印度理工学院克勒格布尔分校计算与数据科学中心）；Computer Science and Engineering Department, IIT Kharagpur（印度理工学院克勒格布尔分校计算机科学与工程系）；Center for Cyber Security, New York University Abu Dhabi（纽约大学阿布扎比分校网络安全中心）；Department of Artificial Intelligence, IIT Kharagpur（印度理工学院克勒格布尔分校人工智能系）；Computer Science and Engineering Department, IIT Patna（印度理工学院巴特那分校计算机科学与工程系）
针对对抗攻击的可迁移性问题，本文提出成对对抗鲁棒损失（PARL）训练DNN集成，通过同时利用集成内分类器各层输出与梯度生成决策边界多样的集成，提升黑盒迁移攻击鲁棒性，在保持干净准确率的同时使鲁棒准确率提升24.8%。
2024-12-03 cs.LG
Understanding and Improving Ensemble Adversarial Defense
The University of Manchester（曼彻斯特大学）
本文建立解释集成对抗防御鲁棒性的误差理论，并据此提出 iGAT，通过全局对抗样本概率分配和弱点正则化，在白盒与黑盒攻击下显著提升现有方法。
2023-11-02 cs.LG
Adversarial Ensemble Training by Jointly Learning Label Dependencies and Member Models
Zhejiang Lab（之江实验室）
提出联合学习标签依赖与成员模型的对抗性集成训练方法，利用标签依赖促进成员多样性，在MNIST等数据集上对黑盒攻击实现了优于现有方法的鲁棒性。
2023-05-23 cs.CR cs.LG
Dynamic Defense Approach for Adversarial Robustness in Deep Neural Networks via Stochastic Ensemble Smoothed Model
PLA Strategy Support Force Information Engineering University（解放军战略支援部队信息工程大学）
深度神经网络已被证明在对抗攻击下存在严重漏洞。这种现象刺激了类似于网络空间安全所采用的不同攻击和防御战略的产生。这种策略对攻击和防御机制的依赖使得双方的相关算法表现为紧密的往复过程。在这一过程中，防御战略尤其被动，增强防御战略的主动性是摆脱军备竞赛的有效途径。受网络空间动态防御方法的启发，本文在随机平滑和模型集成防御方法的基础上，建立了随机集成平滑。该方法以网络结构和平滑参数作为集成属性，在每次推理预测请求前动态改变基于属性的集成模型。所提出的方法处理极端的可移植性和脆弱性的集成模型下的白盒攻击。不同攻击场景下的ASR与失真曲线的实验比较表明，即使具有最高攻击能力的攻击者也不能轻易超过与集成平滑模型相关的攻击成功率，特别是在非目标攻击下。
2021-05-06 cs.CR cs.CV
MEAT: Median-Ensemble Adversarial Training for Improving Robustness and Generalization
Fujian Province Key Laboratory of Information Security（福建省信息安全重点实验室）；College of Computer Science and Big Data, Fuzhou University（福州大学计算机与大数据学院）；Yuan Ze University（元智大学）
针对自集成对抗训练中权重异常导致的鲁棒过拟合问题，提出基于历史模型权重中位数的MEAT方法，可有效缓解过拟合、提升AutoAttack下的鲁棒性，且能与多数防御方法结合增强效果。
2024-06-20 cs.CV cs.LG
Resisting Adversarial Attacks in Deep Neural Networks using Diverse Decision Boundaries
Indian Institute of Technology Kharagpur（印度理工学院卡哈拉格普尔分校）
本文提出一种基于集成的防御方法，通过Split-and-Shuffle和Contrast-Significant-Features构建多样决策边界，降低对抗样本迁移，在MNIST、CIFAR-10和CIFAR-100上验证了鲁棒性。
2026-10-06 cs.CR cs.CV cs.LG
Strength in Numbers: Trading-off Robustness and Computation via Adversarially-Trained Ensembles
DeepMind（深度思维）
虽然深度学习在许多具有挑战性的问题上取得了显着的成果，但研究人员发现了神经网络在对抗环境中的脆弱性，在这种环境中，对输入的微小但精心选择的扰动可能会使模型产生极不准确的输出。这使得这些模型特别不适合安全关键应用领域（例如自动驾驶汽车），在这些领域中，鲁棒性非常重要。最近的工作表明，用逆向生成的数据增强训练可以提供一定程度的鲁棒性，以抵御测试时的攻击。在本文中，我们将探讨这种方法的规模，因为我们增加了计算预算的后卫。我们发现，增加逆向训练模型中的参数数量可以提高其鲁棒性，特别是在将整个集合作为单个模型进行逆向训练的同时，将较小的模型集合起来，这是一种比简单地使用较大的单个模型更有效的花费所述预算的方式。至关重要的是，我们证明了它是集成的对抗训练，而不是对抗训练模型的集成，这提供了鲁棒性。
2018-11-22 cs.CR cs.LG cs.NE
Adversarial Detection by Approximation of Ensemble Boundary
University of Surrey（萨里大学）
针对深度神经网络易受对抗攻击的问题，提出基于Walsh系数的二分类DNN集成模型对抗检测方法，通过近似决策边界、利用曲率变化差异检测攻击，还可辅助理解DNN特性，方法具备跨领域应用潜力。
2025-01-10 cs.AI cs.CR cs.CV
AdIoTack: Quantifying and Refining Resilience of Decision Tree Ensemble Inference Models against Adversarial Volumetric Attacks on IoT Networks
UNSW Sydney（悉尼新南威尔士大学）
基于机器学习的技术在网络智能方面取得了成功。然而，他们越来越多地成为复杂的数据驱动的对抗攻击的目标，导致错误预测，削弱了他们检测网络设备上威胁的能力。在本文中，我们介绍了AdIoTack，这是一个系统，它突出了决策树对对抗攻击的脆弱性，帮助网络安全团队量化和改进其用于监控物联网网络的训练模型的弹性。为了评估最坏情况下的模型，AdIoTack执行白盒对抗学习，以发起决策树集成模型无法标记的成功体积攻击。我们的第一个贡献是开发一个白盒算法，需要一个训练有素的决策树集成模型和配置文件的一个受害者类的基于网络的攻击作为输入。然后，它会自动生成配方，在缩进的攻击数据包之上指定某些数据包（开销小于15%），这些数据包一起可以绕过推理模型而不被注意到。我们确保生成的攻击实例可在IP网络上启动，并有效地产生体积影响。我们的第二个贡献开发了一种方法来主动监控连接设备的网络行为，代表受害者物联网设备注入对抗性流量（在可行的情况下），并成功发起预期的攻击。我们的第三个贡献是对AdIoTack进行原型设计，并在一个由经过训练的推理模型监控的少数真实物联网设备组成的测试平台上验证其有效性。我们演示了该模型如何检测物联网设备上的所有非对抗性体积攻击，同时错过许多对抗性攻击。第四个贡献开发了系统的方法，用于将补丁应用于训练的决策树集成模型，提高其对对抗性体积攻击的弹性。
2022-03-18 cs.CR cs.LG
A Note on Implementation Errors in Recent Adaptive Attacks Against Multi-Resolution Self-Ensembles
Google DeepMind（谷歌DeepMind）
本文指出近期自适应攻击实现中的错误导致扰动超出界限20倍，修正后多分辨率自集成防御仍具鲁棒性，且正确有界攻击与人类感知一致，引发对抗鲁棒性度量反思。
2025-01-24 cs.CR cs.CV cs.LG
A New Ensemble Adversarial Attack Powered by Long-term Gradient Memories
Shanghai Jiao Tong University（上海交通大学）；MarkableAI Inc.（MarkableAI公司）；Université de Nantes（南特大学）；Alibaba Group（阿里巴巴集团）
深度神经网络容易受到对抗攻击的攻击。
2019-11-18 cs.LG stat.ML
Learning Transferable Adversarial Examples via Ghost Networks
Johns Hopkins University（约翰斯·霍普金斯大学）；University of Oxford（牛津大学）
对抗攻击的最新发展已经证明，基于集成的方法在黑盒攻击中优于传统的非集成方法。然而，由于获取一系列不同的模型在计算上是禁止的，这些方法实现了受限于有限数量的待集成模型的较差性能。在本文中，我们提出了Ghost网络来提高对抗性示例的可移植性。幽灵网络的关键原理是将特征级扰动应用于现有模型，以潜在地创建大量不同的模型。然后，通过纵向系综对模型进行融合。大量的实验结果表明，网络的数量是必不可少的，以提高对抗性的例子的可移植性，但它是不必要的独立训练不同的网络和集成他们在一个密集的聚合方式。相反，我们的工作可以作为一个计算成本低，易于应用的插件来改进单模型和多模型攻击中的对抗方法，与残差和非残差网络兼容。通过再现NeurIPS 2017对抗性竞争，我们的方法大幅优于No.1攻击提交，证明了其有效性和效率。代码可在https://github.com/LiYingwei/ghost-network上获得。
2019-11-25 cs.CV cs.LG
Improving Hyperspectral Adversarial Robustness Under Multiple Attacks
University of Maine（缅因大学）
针对高光谱图像语义分割模型在多种对抗攻击下鲁棒性下降的问题，提出对抗判别器集成网络（ADE-Net），通过判别器按攻击类型分配数据至专家集成网络，在统一模型下提升整体对抗鲁棒性。
2023-05-11 cs.CR cs.CV cs.LG
Dynamic Stochastic Ensemble with Adversarial Robust Lottery Ticket Subnetworks
PLA Strategy Support Force Information Engineering University（中国人民解放军战略支援部队信息工程大学）；University of Science and Technology of China（中国科学技术大学）
对抗攻击被认为是CNN固有的脆弱性。为攻击而设计的防御战略一直卡在对抗攻击-防御的军备竞赛中，反映出攻防不平衡。动态防御框架（DDF）最近改变了被动安全的现状，基于随机集成模型。子网络的多样性，在DDF的一个重要关注，可以有效地评估不同网络之间的对抗转移。针对不同剩余率的刮刮乐子网络间对抗性较差的可转移性，提出了一种动态随机集成防御策略的实现方法。我们发现了从不同的基本结构和稀疏性的鲁棒彩票子网络之间的对抗性可转移的多样性。实验结果表明，该方法通过对抗性的可转移多样性获得了更好的鲁棒性和干净的识别准确率，这将降低攻击的可靠性。
2022-10-06 cs.CV
Evaluating Ensemble Robustness Against Adversarial Attacks
University of Toronto（多伦多大学）
对抗性样本是为了欺骗神经网络而产生的轻微扰动输入，已知会在模型之间转移;对一个模型有效的对手通常会欺骗另一个模型。这种可转移性的概念带来了严重的安全问题，因为它导致在黑盒设置中攻击模型的可能性，在此期间，目标模型的内部参数是未知的。在本文中，我们试图分析和最小化的对手之间的模型集成的可转移性。为此，我们引入了一个基于梯度的度量，来衡量集成的组成模型如何有效地合作，以减少针对集成本身的对抗性示例的空间。此外，我们还证明了这种措施可以在训练过程中使用，以增加集成对对抗性示例的鲁棒性。
2020-05-12 cs.LG stat.ML
Adversarial Deep Ensemble: Evasion Attacks and Defenses for Malware Detection
Nanjing University of Science and Technology（南京理工大学）
恶意软件仍然是网络安全的一大威胁，需要基于机器学习的恶意软件检测。虽然很有前途，但已知这种检测器容易受到规避攻击。包围学习通常有助于采取对策，而攻击者也可以利用这种技术来提高攻击效率。这促使我们研究集成防御的鲁棒性或集成攻击的有效性，特别是当它们相互攻击时。因此，我们提出了一种新的攻击方法，命名为混合攻击，使攻击者能够多个生成方法和多个操作集，扰乱恶意软件的例子，而不会破坏其恶意功能。这自然会导致对抗性训练的新实例化，从而进一步增强深度神经网络的整体。我们使用Android恶意软件检测器对两个实际数据集上的26种不同攻击进行防御评估。实验结果表明，新的对抗性训练显著增强了深度神经网络对各种攻击的鲁棒性，当基分类器足够鲁棒时，集成方法可以提高鲁棒性，但集成攻击可以有效地避开增强的恶意软件检测器，甚至显着降低了VirusTotal服务。
2020-06-30 cs.CR cs.LG stat.ML
Understanding Model Ensemble in Transferable Adversarial Attack
Huazhong University of Science and Technology（华中科技大学）
本文针对模型集成对抗攻击理论基础不足的问题，通过定义可迁移性误差并对其进行分解，利用信息论工具给出误差边界，提出减少误差的三条实用指南，并通过54个模型的实验验证了该理论框架。
2025-05-28 cs.AI cs.LG
Reliable evaluation of adversarial robustness with an ensemble of diverse parameter-free attacks
University of Tübingen（蒂宾根大学）
对抗对抗攻击的防御策略领域在过去几年中有了显著的发展，但进展受到阻碍，因为对抗性防御的评估往往不足，从而给人一种错误的鲁棒性印象。许多有希望的防御可能在以后被打破，这使得很难识别最先进的技术。评估中经常出现的陷阱是攻击的超参数调整不当，梯度混淆或掩蔽。在本文中，我们首先提出了两个扩展的PGD攻击克服失败，由于次优步长和目标函数的问题。然后，我们将我们的新攻击与两个互补的现有攻击相结合，形成一个无参数、计算负担得起且与用户无关的攻击集合，以测试对抗鲁棒性。我们将我们的集合应用于最近顶级机器学习和计算机视觉场所发表的论文中的50多个模型。在所有情况下，除了一个，我们实现了较低的鲁棒性测试的准确性比在这些论文中报道的，往往超过$10\%$，确定几个破碎的防御。
2020-08-04 cs.CV cs.LG stat.ML
An Adaptive Model Ensemble Adversarial Attack for Boosting Adversarial Transferability
Fuzhou University（福州大学）；Yuan Ze University（元智大学）
本文提出自适应集成攻击AdaEA，通过监测各模型贡献差异比率自适应融合输出并引入差异缩减滤波器，从而显著提升对抗样本在不同架构模型间的迁移性。
2023-08-05 cs.CV
Improving Adversarial Robustness of Ensembles with Diversity Training
Georgia Institute of Technology（佐治亚理工学院）
深度神经网络很容易受到对抗性攻击，即使在攻击者无法直接访问被攻击模型的情况下。这种攻击通常依赖于可转移性原则，即在代理模型上构建的攻击倾向于转移到目标模型。我们证明了具有不一致损失梯度的模型的集合可以提供对基于传输的攻击的有效防御。我们的关键见解是，如果集合中的多个模型的损失函数不以相关的方式增加，则对抗性示例不太可能欺骗它们。为此，我们提出了多样性训练，一种新的方法训练一个整体的模型与不相关的损失函数。我们表明，我们的方法显着提高了合奏的对抗鲁棒性，也可以与现有的方法相结合，以创建更强大的防御。
2019-01-28 cs.LG stat.ML
Ensemble Adversarial Training: Attacks and Defenses
Stanford University（斯坦福大学）；Google Brain（谷歌大脑）；Pennsylvania State University（宾夕法尼亚州立大学）
对抗性示例是被设计用于欺骗机器学习模型的扰动输入。对抗性训练将这些示例注入训练数据以提高鲁棒性。为了将这种技术扩展到大型数据集，使用快速单步方法制作扰动，该方法最大化模型损失的线性近似。我们证明了这种形式的对抗训练收敛到退化的全局最小值，其中数据点附近的小曲率伪影模糊了损失的线性近似。因此，模型学会了产生弱扰动，而不是防御强扰动。因此，我们发现对抗性训练仍然容易受到黑盒攻击，在这种攻击中，我们转移了在不设防的模型上计算的扰动，以及一种强大的新型单步攻击，这种攻击通过一个小的随机步骤来逃避输入数据的非光滑附近。我们进一步介绍了Ensemble Adversarial Training，这是一种通过从其他模型转移的扰动来增强训练数据的技术。在ImageNet上，Encourage Adversarial Training生成的模型对黑盒攻击具有很强的鲁棒性。特别是，我们最强大的模型赢得了NIPS 2017对抗性攻击防御竞赛的第一轮。然而，随后的工作发现，更复杂的黑盒攻击可以显着提高可转移性，并降低我们的模型的准确性。
2020-04-26 cs.CR cs.LG stat.ML
Improving Adversarial Robustness via Promoting Ensemble Diversity
Tsinghua University（清华大学）；Tsinghua-Fuzhou Institute for Data Technology（清华-福州数据技术研究院）
虽然深度神经网络在各种任务上取得了重大进展，通常通过模型集成来增强，但现有的高性能模型可能容易受到对抗攻击的攻击。许多努力已经致力于增强个体网络的鲁棒性，然后构建简单的系综，例如，通过直接平均输出，忽略了网络之间的相互作用。本文提出了一种新的方法，探索个体网络之间的相互作用，以提高集成模型的鲁棒性。从技术上讲，我们将对抗环境中的集成多样性定义为个体成员的非最大预测之间的多样性，并提出了一种自适应多样性促进（ADP）正则化器来鼓励多样性，通过使对抗示例难以在个体成员之间传输，从而使集成具有更好的全局鲁棒性。我们的方法是计算效率和兼容的防御方法作用于个别网络。各种数据集上的实证结果验证了我们的方法可以提高对抗鲁棒性，同时保持正常示例的最新准确性。
2019-05-29 cs.LG stat.ML
DVERGE: Diversifying Vulnerabilities for Enhanced Robust Generation of Ensembles
Duke University（杜克大学）；Radiance Technologies（辐射技术公司）
最近的研究发现，用于图像分类的CNN模型表现出重叠的对抗性漏洞：对抗攻击可以误导具有小扰动的CNN模型，这可以有效地在同一数据集上训练的不同模型之间进行转移。对抗性训练作为一种通用的鲁棒性改进技术，通过强制单个模型学习鲁棒特征来消除其脆弱性。这个过程很难，通常需要大容量的模型，并且在干净的数据准确性上有很大的损失。或者，提出集成方法来诱导具有不同输出的子模型对抗转移对抗性示例，使得集成对转移攻击具有鲁棒性，即使每个子模型单独地是非鲁棒的。在该过程中仅观察到小的清洁精度下降。然而，以前的集成训练方法在诱导这种多样性方面并不有效，因此在达到鲁棒集成方面无效。我们提出了DVERGE，它通过提取非鲁棒特征来隔离每个子模型中的对抗性漏洞，并使对抗性漏洞多样化，以诱导不同的输出来对抗转移攻击。新的多样性度量和训练过程，使DVERGE实现更高的鲁棒性对转移攻击相比，以前的集成方法，并使更多的子模型时，增加到集成的鲁棒性。该工作的代码可在https://github.com/zjysteven/DVERGE上获得
2020-10-18 cs.CR cs.LG stat.ML
Learning from Peers: Collaborative Ensemble Adversarial Training
Laboratory of Big Data and Decision（大数据与决策实验室）
针对现有集成对抗训练子模型独立训练、忽略协作的问题，提出基于预测差异加权与校准距离正则的协同集成对抗训练方法，实现了更优的鲁棒性且模型无关、适用性广。
2025-08-27 cs.LG
Ensemble Methods as a Defense to Adversarial Perturbations Against Deep Neural Networks
ETAS GmbH（伊塔斯有限公司）；Bosch Group（博世集团）
深度学习已经成为许多机器学习问题（如分类）的最先进方法。最近的研究表明，深度学习非常容易受到对抗性扰动的影响。以自动驾驶汽车的摄像头系统为例，微小的对抗性扰动可能会导致系统在重要任务中出错，例如对交通标志进行分类或检测行人。因此，为了在没有安全问题的情况下使用深度学习，需要适当的防御策略。我们建议使用集成方法作为对抗性扰动的防御策略。我们发现，导致一个模型错误分类的攻击并不意味着执行相同任务的其他网络也会发生同样的情况。这使得集成方法成为对抗性攻击的有吸引力的防御策略。我们的经验表明，MNIST和CIFAR-10数据集集成方法不仅提高了测试数据的准确性神经网络，但也增加了他们对对抗性扰动的鲁棒性。
2018-02-08 cs.LG stat.ML
Rethinking Model Ensemble in Transfer-based Adversarial Attacks
School of Computer Science, Beijing Institute of Technology（北京理工大学计算机学院）；RealAI
本文重新审视迁移对抗攻击中的模型集成，从损失景观平坦性和局部最优邻近性定义共同弱点，并提出CWA以显著提升对抗样本跨模型迁移与黑盒攻击能力。
2024-03-04 cs.CV
Improving Adversarial Robustness for Free with Snapshot Ensemble
University of Illinois at Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）；Department of Statistics（统计学系）
对抗性训练作为为数不多的针对对抗攻击的认证防御之一，可能非常复杂和耗时，而结果可能不够稳健。为了解决鲁棒性不足的问题，提出了集成方法，旨在通过对重复训练过程的选择结果进行加权来获得最终输出。它被证明是非常有用的，在实现强大的和准确的结果，但计算和内存成本甚至更高。快照集成是近年来提出的一种新的集成方法，它将多个局部极小值组合在一个训练过程中进行最终预测，从而减少了训练多个网络所花费的时间和存储结果的内存。基于快照集成，我们提出了一种更容易实现的新方法：与原始快照集成寻求局部最小值不同，我们的快照集成专注于训练的最后几次迭代并存储其中的参数集。我们的算法要简单得多，但结果的准确性并不低于原始算法：基于不同的超参数和数据集，与传统的对抗训练相比，我们的快照集合的准确性提高了5%到30%。
2021-10-07 cs.AI cs.LG
Ensemble Federated Adversarial Training with Non-IID data
Zhejiang University（浙江大学）
尽管联邦学习在保护数据隐私和安全的前提下赋予了分布式客户端一种协同训练模式，但由于缺乏鲁棒性，客户端在遇到对抗样本时仍然很脆弱。对抗性样本可以通过向正常输入中注入精心设计的噪声来混淆和欺骗客户端模型，以达到恶意目的。在本文中，我们介绍了一种新的Ensemble联合对抗训练方法，称为EFAT，它可以实现有效和强大的耦合训练机制。我们的核心思想是通过扩展来自其他参与客户端的不同干扰的训练数据来增强对抗样本的多样性，这有助于对抗训练在非IID环境中表现良好。在不同的非IID情况下的实验结果表明，与单独将联邦学习与对抗方法相结合相比，我们提出的方法取得了令人满意的结果，包括特征分布偏斜和标签分布偏斜。
2021-10-26 cs.AI cs.LG
Adversarial Training via Adaptive Knowledge Amalgamation of an Ensemble of Teachers
University of Waterloo（滑铁卢大学）
本文提出AT-AKA方法，通过教师集成生成多样对抗样本并自适应融合其逻辑输出，训练广义鲁棒的学生模型，解决对抗训练中模型规模限制和对抗样本泛化差的问题。
2024-05-22 cs.AI cs.LG
Towards the Transferable Audio Adversarial Attack via Ensemble Methods
Shandong University（山东大学）；Quancheng Laboratory（泉城实验室）
本文研究语音识别中对抗样本的可迁移性，提出随机梯度集成和动态梯度加权集成方法，实验证明其生成的对抗样本可有效攻击黑盒API。
2023-04-18 cs.CR cs.LG cs.SD
An Efficient Adversarial Attack for Tree Ensembles
Department of Computer Science, UCLA（加利福尼亚大学洛杉矶分校计算机科学系）
研究了基于树的集成算法的有效对抗攻击问题，如梯度提升决策树（GBDTs）和随机森林（RFs）。由于这些模型是非连续的阶跃函数，并且不存在梯度，因此大多数现有的有效对抗攻击都不适用。虽然可以应用基于决策的黑盒攻击，但它们不能利用树的特殊结构。在我们的工作中，我们将攻击问题转化为一个专门为树集合设计的离散搜索问题，其目标是找到一个有效的“叶元组”，导致错误分类，同时具有到原始输入的最短距离。有了这个公式，我们表明，一个简单而有效的贪心算法可以应用到迭代优化的对抗性的例子，通过移动叶元组到其附近的汉明距离1。在几个大型GBDT和RF模型上的实验结果表明，我们的方法可以比以前基于混合整数线性规划（MILP）的方法快数千倍，同时还提供了比基于决策的黑箱攻击更小（更好）的对抗性示例。我们的代码可在https://github.com/chong-z/tree-ensemble-attack上获得。
2020-10-22 cs.LG
Robust Ensemble Morph Detection with Domain Generalization
West Virginia University（西弗吉尼亚大学）
虽然有大量的研究致力于变形检测，他们中的大多数未能概括变形的脸以外的训练范式。此外，最近的变形检测方法非常容易受到对抗攻击的攻击。在本文中，我们打算学习一个变形检测模型，该模型对各种变形攻击具有很高的泛化能力，对不同的对抗攻击具有很高的鲁棒性。为此，我们开发了卷积神经网络（CNN）和Transformer模型的集成，以同时受益于它们的功能。为了提高集成模型的鲁棒精度，我们采用多扰动对抗训练，并为多个单个模型生成具有高可移植性的对抗示例。我们详尽的评估表明，所提出的强大的集成模型推广到几个变形攻击和人脸数据集。此外，我们验证了我们的鲁棒集成模型获得更好的鲁棒性对几个对抗攻击，同时优于国家的最先进的研究。
2022-09-16 cs.CV
The robust way to stack and bag: the local Lipschitz way
IIT Madras（印度理工学院马德拉斯分校）
最近的研究表明，神经网络的局部Lipschitz常数直接影响其对抗鲁棒性。我们利用这种关系来构建一个集成的神经网络，不仅提高了准确性，但也提供了增加的对抗鲁棒性。局部Lipschitz常数为两种不同的集成方法-装袋和堆叠-推导出最适合于确保对抗鲁棒性的架构。在白盒攻击、FGSM和PGD的情况下，在MNIST和CIFAR-10数据集上对所提出的集成架构进行了测试。所提出的架构被发现是更强大的a）一个单一的网络和b）传统的集成方法。
2022-06-01 cs.CR cs.LG
Strong Transferable Adversarial Attacks via Ensembled Asymptotically Normal Distribution Learning
School of Computer Science and Technology, Beijing Jiaotong University（北京交通大学计算机科学与技术学院）；Collaborative Innovation Center of Railway Traffic Safety（轨道交通安全协同创新中心）
本文提出MultiANDA方法，利用随机梯度上升的渐近正态性和深度集成策略估计高斯混合后验分布，为每个输入生成无限对抗扰动，在14个模型上超越10种最先进黑盒攻击。
2024-03-29 cs.CV cs.LG
EMPIR: Ensembles of Mixed Precision Deep Networks for Increased Robustness against Adversarial Attacks
Purdue University（普渡大学）；Indian Institute of Technology (IIT) Madras（印度理工学院马德拉斯分校）
确保深度神经网络（DNN）的鲁棒性对于它们在自动驾驶汽车、无人机和医疗保健等安全关键型应用中的采用至关重要。值得注意的是，DNN容易受到对抗攻击的攻击，其中小的输入扰动可能会产生灾难性的错误分类。在这项工作中，我们提出了EMPIR，具有不同数值精度的量化DNN模型的集合，作为一种新的方法来提高对对抗攻击的鲁棒性。EMPIR是基于这样的观察，即量化神经网络通常比全精度网络对对抗攻击表现出更高的鲁棒性，但代价是原始（未扰动）输入的准确性大幅下降。EMPIR克服了这一限制，实现了“两全其美”，即，全精度模型的更高的无扰动精度与低精度模型的更高的鲁棒性相结合，通过将它们组成一个集合。此外，由于低精度DNN模型的计算和存储需求比全精度模型低得多，因此与单个全精度模型相比，EMPIR模型只会产生适度的计算和内存开销（在我们的评估中<25%）。我们在一套DNN上评估EMPIR，用于3种不同的图像识别任务（MNIST，CIFAR-10和ImageNet）和4种不同的对抗攻击。我们的研究结果表明，与单个全精度模型相比，EMPIR分别将MNIST，CIFAR-10和ImageNet数据集上训练的DNN模型的平均对抗准确率提高了42.6%，15.2%和10.5%，而不会牺牲未扰动输入的准确性。
2020-04-21 cs.CV cs.LG stat.ML
DICE: Diversity in Deep Ensembles via Conditional Redundancy Adversarial Estimation
Sorbonne Université（索邦大学）
由于其成员的多样性，深度合奏比单一网络表现得更好。最近的方法使预测规则化以增加多样性;然而，它们也大大降低了个体成员的表现。在本文中，我们认为，深度集成的学习策略需要解决集成多样性和个体准确性之间的权衡。受信息论的启发，并利用条件互信息神经估计的最新进展，我们引入了一种新的训练标准DICE：它通过减少特征之间的虚假相关性来增加多样性。其主要思想是从成对成员中提取的特征应该只共享对目标类预测有用的信息，而不是有条件冗余。因此，除了信息瓶颈的分类损失外，我们还可以防止特征之间的条件预测。我们设法减少同时发生的错误，同时保护类信息。我们在CIFAR-10/100上获得了最先进的精度结果：例如，使用DICE训练的5个网络的集合与独立训练的7个网络的集合相匹配。我们进一步分析了校准，不确定性估计，分布外检测和在线共蒸馏的后果。
2021-01-14 cs.CV cs.IT cs.LG
Improved Robustness Against Adaptive Attacks With Ensembles and Error-Correcting Output Codes
Institute Intelligence and Data (IID), Université Laval（拉瓦尔大学智能与数据研究所（IID））；Mila（米拉研究所）
神经网络集成已经在对抗鲁棒性的背景下被广泛研究，并且大多数基于集成的方法仍然容易受到自适应攻击。在本文中，我们研究的鲁棒性的纠错输出码（ECOC）集成，通过结构的改进和集成多样性的促进。我们对自适应攻击进行了全面的鲁棒性评估，并研究了集成多样性和鲁棒性之间的关系。我们的研究结果表明，与卷积神经网络（CNN）的常规集成相比，ECOC集成对对抗鲁棒性的好处，并显示了为什么以前实现的鲁棒性是有限的。我们还提出了一种针对ECOC集成的对抗性训练方法，可以进一步提高对自适应攻击的鲁棒性。
2023-03-04 cs.LG
Unity is strength: Improving the Detection of Adversarial Examples with Ensemble Approaches
Università degli Studi di Milano-Bicocca（米兰比可卡大学）；B4 - Bicocca Bioinformatics Biostatistics and Bioimaging Centre（比可卡生物信息学生物统计学和生物成像中心）；Dept. of Biotechnology and Biosciences, Università degli Studi di Milano-Bicocca（米兰比可卡大学生物技术与生物科学系）；Bioinformatics Program, Tandon School of Engineering, NYU Poly（纽约大学工学院坦登工程学院生物信息学项目）；Institute of Molecular Bioimaging and Physiology, National Research Council (IBFM-CNR)（分子生物成像与生理学研究所（CNR））
计算机视觉和深度学习的一个关键挑战是定义用于检测对抗性示例的鲁棒策略。在这里，我们建议采用集成方法来利用多个检测器的有效性，利用不同的属性的输入数据。为此，ENERGY对抗检测器（ENAD）框架集成了基于Mahalanobis距离、局部内在相似性和一类支持向量机的最新检测器的评分函数，这些检测器处理深层神经网络的隐藏特征。ENAD旨在确保计算工作流程的高度标准化和再现性。重要的是，对基准数据集，模型和对抗攻击的广泛测试表明，ENAD在大多数设置中优于所有竞争方法。对最先进技术的改进和框架的内在通用性，允许人们轻松地扩展ENAD以包括任何一组检测器，为集成对抗检测的新领域奠定了基础。
2022-02-15 cs.CV
Dynamic ensemble selection based on Deep Neural Network Uncertainty Estimation for Adversarial Robustness
PLA Strategy Support Force Information Engineering University（中国人民解放军战略支援部队信息工程大学）
针对深度神经网络在对抗攻击下的鲁棒性不足，提出基于不确定性估计的动态集成选择方法，利用Dirichlet分布和参数空间多样性约束构建轻量级子模型，在测试阶段动态选择低不确定性子模型进行预测，在不损害准确性的前提下显著提升了对抗白盒攻击的防御能力。
2023-08-01 cs.AI cs.CR cs.LG
Ensemble everything everywhere: Multi-scale aggregation for adversarial robustness
Google DeepMind（谷歌DeepMind）
该研究提出基于多分辨率输入与CrossMax动态自集成的对抗鲁棒方法，无需对抗训练即可在CIFAR数据集上取得优异鲁棒性，结合对抗训练进一步刷新SOTA，还可用于生成可控图像与构造可迁移攻击。
2024-08-08 cs.CV cs.LG
