Building an Ensemble of Classifiers via Randomized Models of Ensemble Members
Wrocław University of Science and Technology（弗罗茨瓦夫科技大学）
文献中已知许多动态系综选择（DES）方法。一个先前开发的作者，方法包括在建立一个随机分类器，被视为一个模型的基础分类。该模型在一定概率意义上等价于基分类器。然后，将随机化分类器正确分类的概率作为被评估分类器的能力。本文提出了一种新的基分类器随机化模型。在所提出的方法中，模型的随机操作是从固定大小的学习集族中随机选择学习集的结果。本文介绍了这种方法的数学基础，并展示了如何在实际应用中的学习和验证集时，可以确定的措施的能力，并建立一个MC系统的DES计划。DES计划与建议的模型的能力进行了实验评估收集的67个基准数据集，并在8个质量标准与两个集成分类器，使用先前提出的概念的随机模型进行比较。所提出的方法实现了几乎所有的调查质量标准的最低排名。
2021-09-16 cs.LG
On the Efficacy of Adversarial Data Collection for Question Answering: Results from a Large-Scale Randomized Study
Carnegie Mellon University（卡内基梅隆大学）；Facebook AI Research（脸书人工智能研究院）
在对抗性数据汇集（ADC）中，人类劳动力与模型进行实时的交互，试图产生导致错误预测的示例。研究人员希望，在这些更具挑战性的数据集上训练的模型将更少地依赖于表面模式，从而不那么脆弱。然而，尽管ADC具有直观的吸引力，但在对抗性数据集上进行训练何时会产生更强大的模型仍不清楚。在本文中，我们进行了一项大规模的对照研究，重点是问答，随机分配工人组成的问题（i）对抗（在循环中的模型）;或（ii）在标准的方式（没有模型）。在各种模型和数据集中，我们发现在对抗数据上训练的模型通常在其他对抗数据集上表现更好，但在不同的域外评估集上表现更差。最后，我们对对抗性（与标准）数据进行了定性分析，确定了关键差异，并为未来的研究提供了指导。
2021-06-02 cs.AI cs.CL cs.LG
Understanding Model Ensemble in Transferable Adversarial Attack
Huazhong University of Science and Technology（华中科技大学）
本文针对模型集成对抗攻击理论基础不足的问题，通过定义可迁移性误差并对其进行分解，利用信息论工具给出误差边界，提出减少误差的三条实用指南，并通过54个模型的实验验证了该理论框架。
2025-05-28 cs.AI cs.LG
On the robustness of randomized classifiers to adversarial examples
Facebook AI Research（Facebook人工智能研究院）；LAMSADE, Université Paris-Dauphine（巴黎多芬大学LAMSADE实验室）；Institut LIST, CEA, Université Paris-Saclay（巴黎萨克雷大学CEA LIST研究所）；Ecole Polytechnique Fédérale de Lausanne（洛桑联邦理工学院）
本文研究了抵抗对抗攻击的鲁棒性理论。我们专注于随机分类器（输出随机变量的\emph{i.e.}分类器），并通过统计学习理论和信息论的视角对其行为进行深入分析。为此，我们引入了一个新的概念，随机分类器的鲁棒性，强制执行本地Lipschitzness使用概率度量。根据这一定义，我们做出了两个新的贡献。第一个是在设计一个新的上限的对抗性推广差距的随机分类器。更准确地说，我们设计的泛化差距和对抗差距（\emph{i.e.}之间的差距的风险和攻击下的最坏情况下的风险）的随机分类的界限。第二个贡献提出了一个简单但有效的噪声注入方法来设计强大的随机分类器。我们表明，我们的研究结果适用于广泛的机器学习模型在温和的假设。我们使用深度神经网络对标准图像数据集（即CIFAR-10和CIFAR-100）进行实验，进一步证实了我们的发现。我们训练的所有鲁棒模型都可以同时达到最先进的精度（超过CIFAR-10上的$0.82$干净精度），并享受\emph{guaranteed}鲁棒的精度范围（$0.45$对抗CIFAR-10上具有$0.5$量级的$\ell_2$对手）。
2021-02-22 cs.LG
Certified Adversarial Robustness via Randomized Smoothing
Carnegie Mellon University（卡内基梅隆大学）；Bosch Center for AI（博世人工智能中心）
我们展示了如何将任何在高斯噪声下分类良好的分类器变成一个新的分类器，该分类器在$\ell_2$规范下对对抗性扰动具有可证明的鲁棒性。这种“随机平滑”技术最近在文献中提出，但现有的保证是松散的。我们证明了严格的鲁棒性保证$\ell_2$规范平滑高斯噪声。我们使用随机平滑来获得ImageNet分类器，例如，在$\ell_2$范数小于0.5（=127/255）的对抗性扰动下，认证的前1精度为49%。在ImageNet上，除了平滑之外，没有任何认证的防御是可行的。在较小规模的数据集上，竞争性的认证$\ell_2$鲁棒性方法是可行的，平滑提供了更高的认证精度。我们强有力的实证结果表明，随机平滑是一个很有前途的方向，为未来的研究对抗性强的分类。代码和型号可在http://github.com/locuslab/smoothing上获得。
2019-06-15 cs.LG stat.ML
Boosted Ensemble Learning based on Randomized NNs for Time Series Forecasting
Częstochowa University of Technology（琴斯托霍瓦工业大学）；Facebook（脸书）
时间序列预测是一个具有挑战性的问题，特别是当一个时间序列表示多个季节性，非线性趋势和变化的方差。在这项工作中，预测复杂的时间序列，我们提出了集成学习，这是基于随机神经网络，并提高了三种方式。这些包括基于残差、校正目标和相对响应的集成学习。后两种方法用于确保所有集合成员解决类似的预报任务，这证明在集合的所有阶段使用完全相同的基础模型是合理的。统一所有成员的任务简化了集成学习，并提高了预测精度。这一点在一项涉及预测具有三重季节性的时间序列的实验研究中得到了证实，在该研究中，我们比较了我们的三种集成增强变体。基于RandNN的建议集成的优点是非常快速的训练和基于模式的时间序列表示，从时间序列中提取相关信息。
2022-03-02 cs.LG
Defending against Whitebox Adversarial Attacks via Randomized Discretization
Microsoft Corporation（微软公司）；Stanford University（斯坦福大学）
对抗性扰动显著降低了最先进的图像分类器的准确性。在本文中，我们提出并分析了一种简单且计算效率高的防御策略：注入随机高斯噪声，离散化每个像素，然后将结果馈送到任何预训练的分类器中。从理论上讲，我们表明，我们的随机离散化策略减少了原始输入和对抗输入之间的KL分歧，导致任何分类器对任何（潜在的白盒）$\ell_\infty$有界对抗攻击的分类准确性的下限。从经验上讲，我们评估了我们对强迭代PGD攻击生成的对抗性示例的防御。在ImageNet上，我们的防御比对抗训练的网络和NIPS 2017对抗攻击和防御竞赛的获胜防御更强大。
2019-03-25 cs.CR cs.LG stat.ML
Certifiably-Robust Federated Adversarial Learning via Randomized Smoothing
University of Utah（犹他大学）；Lawrence Livermore National Laboratory（劳伦斯利弗莫尔国家实验室）
针对联邦学习易受对抗攻击且缺乏可认证保证的问题，本文将随机化平滑引入联邦对抗训练，在分布式隐私设置下获得与集中式训练相当的 ℓ2 可认证鲁棒性，并使训练速度提升 2–3 倍。
2021-03-30 cs.LG
Improving Adversarial Robustness for Free with Snapshot Ensemble
University of Illinois at Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）；Department of Statistics（统计学系）
对抗性训练作为为数不多的针对对抗攻击的认证防御之一，可能非常复杂和耗时，而结果可能不够稳健。为了解决鲁棒性不足的问题，提出了集成方法，旨在通过对重复训练过程的选择结果进行加权来获得最终输出。它被证明是非常有用的，在实现强大的和准确的结果，但计算和内存成本甚至更高。快照集成是近年来提出的一种新的集成方法，它将多个局部极小值组合在一个训练过程中进行最终预测，从而减少了训练多个网络所花费的时间和存储结果的内存。基于快照集成，我们提出了一种更容易实现的新方法：与原始快照集成寻求局部最小值不同，我们的快照集成专注于训练的最后几次迭代并存储其中的参数集。我们的算法要简单得多，但结果的准确性并不低于原始算法：基于不同的超参数和数据集，与传统的对抗训练相比，我们的快照集合的准确性提高了5%到30%。
2021-10-07 cs.AI cs.LG
Ensemble Federated Adversarial Training with Non-IID data
Zhejiang University（浙江大学）
尽管联邦学习在保护数据隐私和安全的前提下赋予了分布式客户端一种协同训练模式，但由于缺乏鲁棒性，客户端在遇到对抗样本时仍然很脆弱。对抗性样本可以通过向正常输入中注入精心设计的噪声来混淆和欺骗客户端模型，以达到恶意目的。在本文中，我们介绍了一种新的Ensemble联合对抗训练方法，称为EFAT，它可以实现有效和强大的耦合训练机制。我们的核心思想是通过扩展来自其他参与客户端的不同干扰的训练数据来增强对抗样本的多样性，这有助于对抗训练在非IID环境中表现良好。在不同的非IID情况下的实验结果表明，与单独将联邦学习与对抗方法相结合相比，我们提出的方法取得了令人满意的结果，包括特征分布偏斜和标签分布偏斜。
2021-10-26 cs.AI cs.LG
Adversarial Training via Adaptive Knowledge Amalgamation of an Ensemble of Teachers
University of Waterloo（滑铁卢大学）
本文提出AT-AKA方法，通过教师集成生成多样对抗样本并自适应融合其逻辑输出，训练广义鲁棒的学生模型，解决对抗训练中模型规模限制和对抗样本泛化差的问题。
2024-05-22 cs.AI cs.LG
Adversarial Vulnerability of Randomized Ensembles
University of Illinois at Urbana-Champaign（伊利诺伊大学厄巴纳-香槟分校）
尽管深度神经网络在各种任务中取得了巨大的成功，但它们对难以察觉的对抗性扰动的脆弱性阻碍了它们在现实世界中的部署。最近，随机集成的工作经验表明，对抗鲁棒性的显着改善标准对抗训练（AT）模型，具有最小的计算开销，使其成为安全关键的资源受限的应用程序的一个有前途的解决方案。然而，这种令人印象深刻的性能提出了一个问题：随机集成提供的这些鲁棒性增益是真实的吗？在这项工作中，我们解决这个问题的理论和经验。我们首先从理论上建立，常用的鲁棒性评估方法，如自适应PGD提供了一个虚假的安全感，在这种情况下。随后，我们提出了一个理论上合理和有效的对抗攻击算法（ARC）能够妥协的随机合奏，即使在自适应PGD未能做到这一点的情况下。我们在各种网络架构、训练方案、数据集和规范中进行了全面的实验，以支持我们的主张，并根据经验建立了随机集合实际上比标准AT模型更容易受到$\ell_p$有界对抗性扰动的影响。我们的代码可以在https://github.com/hsndbk4/ARC上找到。
2022-06-14 cs.CR cs.CV cs.LG
Parallelized and Randomized Adversarial Imitation Learning for Safety-Critical Self-Driving Vehicles
Korea University（高丽大学）；Mofl Inc.（Mofl 公司）；Hallym University（翰林大学）；California State University, Long Beach（加州州立大学长滩分校）
自动驾驶汽车和自动驾驶研究作为现代人工智能应用中的主要有前途的前景一直受到相当大的关注。随着先进驾驶辅助系统（ADAS）的发展，自动驾驶汽车和自动驾驶系统的设计变得复杂和安全。一般来说，智能系统可以同时有效地激活ADAS功能。因此，必须考虑可靠的ADAS功能协调，以安全地控制驾驶系统。针对这一问题，提出了一种随机对抗模仿学习（RAIL）算法。RAIL是一种新的无导数模仿学习方法，用于协调各种ADAS功能的自动驾驶;因此，它模仿了控制具有各种ADAS功能的自动驾驶的决策者的操作。所提出的方法能够训练决策者处理激光雷达数据和控制多车道复杂公路环境中的自动驾驶。基于仿真的评估验证了所提出的方法达到了预期的性能。
2021-12-26 cs.AI cs.LG cs.RO
The Shooting Regressor; Randomized Gradient-Based Ensembles
介绍了一种集成方法，该方法利用随机化和损失函数梯度来计算预测。多个弱相关估计近似误差表面上随机采样点处的梯度，并聚集成最终解。描述了控制系综相关性和精度之间的权衡的缩放参数。数值方法估计的参数的最佳值进行说明。经验结果是在一个流行的数据集上计算的。对这些结果的推断统计表明，该方法能够在提高准确性方面优于现有技术。
2020-09-14 cs.LG stat.ML
(De-)Randomized Smoothing for Decision Stump Ensembles
ETH Zurich（苏黎世联邦理工学院）
基于树的模型被用于许多高风险的应用领域，如金融和医学，其中鲁棒性和可解释性至关重要。然而，与那些专注于神经网络的方法相比，用于改进和证明其鲁棒性的方法严重不足。针对这一重要挑战，我们提出了确定性平滑决策树桩合奏。虽然大多数先前的工作随机平滑的重点是评估任意的基础模型近似输入随机化，我们的工作的关键见解是，决策树桩合奏，使准确而有效的评估通过动态规划。重要的是，我们获得了确定性的鲁棒性证书，甚至联合在数字和分类功能，在现实世界中无处不在的设置。此外，我们推导出一个MLE最优的训练方法，在随机化下平滑的决策树桩，并提出了两个助推方法，以提高其可证明的鲁棒性。对计算机视觉和表格数据任务的广泛实验评估表明，我们的方法比最先进的基于树的模型产生更高的认证精度。我们在https://github.com/eth-sri/drs上发布所有代码和训练模型。
2022-11-14 cs.AI cs.CR cs.LG
Ensembles of Randomized NNs for Pattern-based Time Series Forecasting
Częstochowa University of Technology（琴希托霍瓦工业大学）
在这项工作中，我们提出了一个集成预测方法的基础上随机神经网络。改进的随机学习通过根据数据和目标函数特征生成网络参数来简化个体学习器的拟合能力。一个基于模式的时间序列表示，使所提出的方法适用于预测时间序列的多个季节性。我们提出了六个策略来控制合奏成员的多样性。对四个实际预报问题进行的案例研究验证了所提出的集合预报方法的有效性和优越性能。它在预测准确性方面优于统计模型以及最先进的机器学习模型。所提出的方法具有几个优点：快速和容易的训练，结构简单，易于实现，高精度和处理非平稳性和多个季节性的时间序列的能力。
2021-07-08 cs.LG stat.ML
Towards Bridging the gap between Empirical and Certified Robustness against Adversarial Examples
National University of Singapore（新加坡国立大学）；Technical University of Munich（慕尼黑工业大学）
目前最先进的对抗性示例的防御方法通常集中在提高经验或认证的鲁棒性。其中，对抗性训练（AT）模型可以对对抗性示例进行经验性的最先进防御，而不会为大型分类器或高维输入提供任何鲁棒性保证。相比之下，现有的基于随机平滑的模型实现了最先进的认证鲁棒性，同时显着降低了对抗性示例的经验鲁棒性。在本文中，我们提出了一种新的方法，称为\emph{Certification through Adaptation}，在推理过程中将AT模型转换为随机平滑分类器，为$\ell_2$范数提供认证的鲁棒性，而不影响其对对抗攻击的经验鲁棒性。我们还提出了\emph{Auto-Noise}技术，有效地近似适当的噪声水平，灵活地证明使用随机平滑技术的测试示例。我们提出的\emph{Certification through Adaptation}与\emph{Auto-Noise}技术实现了一个\textit{average certified radius (ACR) scores}高达$1.102$和$1.148$分别为CIFAR-10和ImageNet数据集使用AT模型，而不影响其经验的鲁棒性或良性的准确性。因此，我们的论文是通过使用相同的分类器来实现对抗性示例的经验和认证鲁棒性之间的差距。
2022-07-30 cs.AI cs.LG
Distributed randomized Kaczmarz for the adversarial workers
University of California, Los Angeles（加利福尼亚大学洛杉矶分校）
开发大规模分布式方法，使其对敌对或腐败工人的存在具有鲁棒性，是使此类方法适用于现实世界问题的重要组成部分。在这里，我们提出了一个迭代的方法，是敌对容忍的最小二乘问题。该算法利用简单的统计来保证收敛性，并能够学习对抗分布。此外，所提出的方法的效率在模拟中示出的存在的对手。结果表明，这种方法具有很大的能力，以容忍不同水平的对手率，并确定错误的工人具有高精度。
2022-02-28 cs.LG cs.NA math.NA
Understanding the Robustness of Randomized Feature Defense Against Query-Based Adversarial Attacks
VinUniversity（文大大学）；Clemson University（克莱姆森大学）；VinAI Research（VinAI研究院）
针对深度神经网络易受黑盒对抗攻击的问题，提出推理时向中间层隐藏特征加随机噪声的轻量防御方法，经理论与实验验证其鲁棒性，无需对抗训练且不影响准确率，适用于任意预训练模型。
2023-10-01 cs.AI cs.CV cs.LG
Lattice Climber Attack: Adversarial attacks for randomized mixtures of classifiers
LAMSADE, CNRS, Université Paris Dauphine - PSL（LAMSADE、CNRS、巴黎第十一大学-PSL）
针对现有攻击方法不适用于分类器随机混合模型的问题，本文提出具备有效性与极大性的lattice climber attack攻击方法，该方法在二元线性设置下有理论保证，且经实验验证性能优异。
2025-06-12 cs.LG
Treatment of Statistical Estimation Problems in Randomized Smoothing for Adversarial Robustness
Tübingen AI center, University of Tübingen（蒂宾根大学蒂宾根人工智能中心）
本文针对随机平滑认证中的统计估计问题，提出基于置信序列的估计方法，在保持统计保证的同时降低样本复杂度，并引入随机化Clopper-Pearson区间以增强证书强度。
2025-01-20 cs.LG stat.ML
Harmonizing Intra-coherence and Inter-divergence in Ensemble Attacks for Adversarial Transferability
针对模型集成攻击中共享梯度捕捉不足和权重分配缺乏自适应的问题，提出HEAT方法，首次将领域泛化引入对抗样本生成，通过奇异值分解合成共识梯度并动态平衡内一致性与间多样性，显著提升了对抗迁移性。
2025-05-02 cs.AI cs.LG
Defending Adversarial Examples by Negative Correlation Ensemble
Harbin Institute of Technology（哈尔滨工业大学）；Peng Cheng Laboratory（鹏城实验室）；Southern University of Science and Technology（南方科技大学）
DNN中的安全问题，如对抗性示例，引起了人们的广泛关注。对抗性示例是指通过引入精心设计的扰动，能够诱导DNN返回完全预测的示例。显然，对抗性样本给深度学习的发展带来了极大的安全隐患。近年来，针对对抗性实例提出了一些防御方法，但在我们看来，这些方法的性能仍然有限。在本文中，我们提出了一种新的集成防御方法命名为负相关增强（NCEn），它通过引入负相关的集成中的每个成员的梯度方向和梯度幅度，同时减少了对抗性示例之间的可转移性，从而实现了令人信服的结果。实验结果表明，NCEn能有效地提高集成的抗攻击鲁棒性。
2022-06-11 cs.AI cs.CR cs.LG
Adaptive Randomized Smoothing: Certified Adversarial Robustness for Multi-Step Defences
University of British Columbia（不列颠哥伦比亚大学）；Google DeepMind（谷歌DeepMind）
提出ARS方法，利用 $f$-差分隐私认证多步防御的自适应组合，通过高维输入依赖掩码提升模型对有界 $L_{\infty}$ 对抗样本的鲁棒性，在多个基准上显著提升了准确率。
2025-07-10 cs.CR cs.LG
An Ensemble Approach Towards Adversarial Robustness
IBM T. J. Watson Research Center（IBM托马斯·J·沃森研究中心）
众所周知，对抗性鲁棒性是以自然准确性为代价的。为了改善这种权衡，本文提出了一种集成方法，将复杂的鲁棒分类任务划分为更简单的子任务。具体地，分形划分从训练数据导出多个训练集，并且分形聚合组合来自在这些集上训练的多个分类器的推理输出。所得到的集成分类器具有独特的属性，如果满足某些不关心的条件，则该属性确保输入的鲁棒性。新技术在MNIST和Fashion-MNIST上进行评估，没有对抗训练。MNIST分类器具有99%的自然准确性，70%的测量鲁棒性和36.9%的可证明鲁棒性，在L2距离为2内。Fashion-MNIST分类器具有90%的自然准确性，54.5%的测量鲁棒性和28.2%的可证明鲁棒性，L2距离为1.5。这两个结果都是最新的最先进的，我们也提出了新的最先进的二进制结果具有挑战性的标签对。
2021-06-10 cs.AI cs.LG
Detecting Textual Adversarial Examples through Randomized Substitution and Vote
Huazhong University of Science and Technology（华中科技大学）
一系列工作表明，自然的文本处理模型容易受到对抗性示例的影响。相应地，提出了各种防御方法，以减轻威胁的文本对抗性的例子，例如，对抗性训练，输入变换，检测等。在这项工作中，我们对待的优化过程同义词替换为基础的文本对抗攻击作为一个特定的序列的字替换，其中每个字相互影响其他的话。我们发现，我们可以破坏这种相互作用，消除敌对扰动随机替换一个词与它的同义词。基于这一观察，我们提出了一种新的文本对抗性示例检测方法，称为随机替换和投票（RS&V），它通过累积k个样本的logits来投票预测标签，这些样本是通过用同义词随机替换输入文本中的单词而生成的。所提出的RS&V通常适用于任何现有的神经网络，而无需修改架构或额外的训练，并且它与使分类网络本身更鲁棒的先前工作正交。在三个基准数据集上的实证评估表明，我们的RS&V可以比现有的检测方法更成功地检测文本对抗性示例，同时保持良性样本的高分类准确率。
2022-07-20 cs.CL cs.LG
Certified Robustness for Top-k Predictions against Adversarial Perturbations via Randomized Smoothing
Duke University（杜克大学）
众所周知，分类器容易受到对抗性扰动的影响。为了抵御对抗性扰动，已经推导出各种经过认证的鲁棒性结果。然而，现有的认证鲁棒性仅限于前1预测。在许多现实世界的应用中，顶级$k$预测更相关。在这项工作中，我们的目标是获得认证的鲁棒性顶部$k$预测。特别是，我们认证的鲁棒性是基于随机平滑，它通过向输入示例添加噪声将任何分类器转换为新的分类器。我们采用随机平滑，因为它是可扩展的大规模神经网络和适用于任何分类器。当使用高斯噪声的随机平滑时，我们推导出在顶$k$预测的$\ell_2$范数中的紧鲁棒性。我们发现，推广认证的鲁棒性从顶部1到顶部$k$预测面临着重大的技术挑战。我们还在CIFAR 10和ImageNet上对我们的方法进行了经验评估。例如，当对抗扰动的$\ell_2$范数小于0.5（=127/255）时，我们的方法可以获得具有62.8\%的认证前5名准确度的ImageNet分类器。我们的代码可在以下网址公开获取：\url{https://github.com/jjy1994/Certify_Topk}。
2019-12-20 cs.CR cs.LG stat.ML
Projected Randomized Smoothing for Certified Adversarial Robustness
University of California, Berkeley（加州大学伯克利分校）
本文提出先将输入投影到数据流形低维近似再进行随机平滑的复合分类框架，在高维空间刻画认证区域并证明体积下界，实验显示其认证体积较现有方法提升多个数量级。
2023-09-25 cs.LG
Uncertainty-Aware Ensemble Deep Randomized Neural Networks for Classification
Indian Institute of Technology Indore（印度印多尔印度理工学院）；Qatar University（卡塔尔大学）
针对现有深度随机神经网络对噪声/异常值鲁棒性不足的问题，提出IF-dRVFL与IF-edRVFL框架，通过直觉模糊理论分配样本自适应权重，在UCI、KEEL数据集上的实验验证了其性能优于现有SOTA方法。
2026-08-12 cs.AI cs.LG
Robust Neural Networks using Randomized Adversarial Training
PSL, Université Paris-Dauphine, Miles Team（PSL，巴黎 Dauphine 大学，Miles 团队）；Wavestone；Facebook AI Research（Facebook 人工智能研究）；CEA, Université Paris-Saclay（法国原子能委员会，巴黎萨克雷大学）
本文解决了保护神经网络免受不同规范（特别是$\ell_\infty$和$\ell_2$有界对抗性示例）的对抗对抗攻击的问题。已经观察到，设计用于防止一种类型的攻击的防御机制通常提供针对另一种类型的较差性能。我们发现，$\ell_\infty$防御机制不能提供良好的保护，对$\ell_2$攻击，反之亦然，我们提供了理论和经验的见解，这种现象。然后，我们讨论了现有的防御机制相结合，以训练神经网络对这两种类型的攻击鲁棒的各种方式。我们的实验表明，这些新的防御机制提供了更好的保护时，攻击与规范。
2020-02-13 cs.LG stat.ML
RAID: Randomized Adversarial-Input Detection for Neural Networks
MPI-SWS；ConsenSys/MythX
近年来，神经网络已成为图像分类和许多其他学习任务的默认选择，尽管它们容易受到所谓的对抗攻击。为了提高它们对这些攻击的鲁棒性，出现了许多检测机制，旨在自动确定输入是否是对抗性的。然而，最先进的检测机制要么依赖于针对每种类型的攻击进行调整，要么它们不能跨不同的攻击类型进行推广。为了缓解这些问题，我们提出了一种用于对抗图像检测的新技术RAID，该技术训练二级分类器来识别良性和对抗输入之间的神经元激活值差异。我们的技术是更可靠和更有效的比最先进的评估时，对六个流行的攻击。此外，RAID的直接扩展增加了其对检测感知对手的鲁棒性，而不会影响其有效性。
2020-02-07 cs.CR cs.LG
Enhancing Quantum Adversarial Robustness by Randomized Encodings
Tsinghua University（清华大学）；Shanghai Qi Zhi Institute（上海期智研究院）
量子物理学和机器学习之间的相互作用产生了量子机器学习的新兴前沿，先进的量子学习模型在解决某些具有挑战性的问题时可能优于经典模型。然而，量子学习系统容易受到对抗性攻击：在合法输入样本上添加精心制作的微小扰动可能会导致错误分类。为了解决这个问题，我们提出了一个通用的方案来保护量子学习系统免受对抗性攻击，通过酉或量子纠错编码器随机编码合法的数据样本。特别是，我们严格证明了全球和本地随机酉编码器导致指数消失的梯度（即贫瘠的高原）的任何变分量子线路，旨在增加对抗扰动，独立于输入数据和内部结构的对抗电路和量子分类器。此外，我们证明了量子分类器在局部酉对抗攻击下的脆弱性的严格界限。我们表明，随机黑盒量子纠错编码器可以保护量子分类器免受本地对抗性噪声和他们的鲁棒性增加，因为我们级联纠错码。为了量化鲁棒性增强，我们采用量子差分隐私作为量子分类器预测稳定性的度量。我们的研究结果为量子分类器建立了对抗性扰动的通用防御策略，为提高近期和未来量子学习技术的可靠性和安全性提供了有价值的指导。
2022-12-05 cond-mat.dis-nn cs.AI cs.LG
Divided We Fall: Defending Against Adversarial Attacks via Soft-Gated Fractional Mixture-of-Experts with Randomized Adversarial Training
Trustworthy and Secure AI (TSAI) Lab, Faculty of Computer Science, University of New Brunswick（新不伦瑞克大学计算机科学学院可信与安全人工智能实验室）
本文提出基于混合专家架构的对抗训练模块，通过多个专家提升模型对白盒攻击的鲁棒性，优于现有MoE防御方法，推理成本较低。
2026-03-26 cs.LG
PuriDefense: Randomized Local Implicit Adversarial Purification for Defending Black-box Query-based Attacks
City University of Hong Kong, Hong Kong（香港城市大学）；Southeast University, China（东南大学）
针对黑盒查询式攻击威胁，提出高效防御机制PuriDefense，通过轻量级净化模型集合执行随机分块净化，在低推理成本下重建图像流形并引入随机性减缓攻击收敛，显著提升了模型鲁棒性。
2025-06-26 cs.AI cs.CR cs.CV
An Empirical Investigation of Randomized Defenses against Adversarial Attacks
Kiel University（基尔大学）；Waterloo University（滑铁卢大学）
近年来，深度神经网络（DNN）对长期以来被认为非常困难的各种问题产生了巨大的影响，例如：例如，在一个实施例中，图像分类和自动语言翻译仅举几例。现代DNN在分类任务中的准确性确实非常出色。与此同时，攻击者已经设计出强大的方法来构建特制的恶意输入（通常称为对抗性示例），这些输入可以欺骗DNN对它们进行错误分类。更糟糕的是，尽管提出了许多防御机制来保护DNN免受对抗攻击，但攻击者通常能够绕过这些防御，使它们变得无用。这种状况非常令人担忧，特别是在机器学习系统被大规模采用的情况下。在本文中，我们提出了一种科学的评估方法，旨在评估随机防御的质量，有效性，鲁棒性和效率，以保护DNN免受对抗性示例的影响。使用这种方法，我们评估了各种防御机制。此外，我们还提出了一种防御机制，我们称之为随机扰动包围神经网络（RPENNs）。我们提供了一个彻底和全面的评估所考虑的防御机制对白盒攻击模型，六种不同的对抗攻击方法，并使用ILSVRC 2012验证数据集。
2019-09-12 cs.LG stat.ML
Robustness Certificates for Sparse Adversarial Attacks by Randomized Ablation
University of Maryland, College Park（马里兰大学帕克分校）
最近，技术已经发展到可证明地保证分类器的鲁棒性有界L_1和L_2幅度的对抗性扰动通过使用随机平滑：鲁棒分类是随机噪声样本的基础分类的共识，其中噪声是加性的。在本文中，我们将这种技术扩展到L_0威胁模型。我们提出了一个有效的和可证明的强大的防御稀疏对抗攻击随机消融输入功能，而不是使用加性噪声。实验上，在MNIST上，我们可以证明超过50%的图像的分类对最多8个像素的任何失真都是鲁棒的。这与MNIST上未受保护的分类器对现代L_0攻击的经验鲁棒性相当，证明了所提出的鲁棒性证书的紧密性。我们还评估了我们在ImageNet和CIFAR-10上的证书。我们的证书代表了对使用随机噪声而不是消融的并行工作（Lee et al. 2019）中提供的证书的改进（MNIST上的中值证书为8像素与4像素; ImageNet上的中值证书为16像素与1像素）。此外，我们的经验表明，我们的分类是高度稳健的现代稀疏对抗攻击MNIST。我们的分类在中位数上对高达31个像素的对抗性扰动是鲁棒的，相比之下，22个像素被报道为最先进的防御，其代价是分类准确性略有下降（约2.3%）。代码可在https://github.com/alevine0/randomizedAblation/上获得。
2019-11-21 cs.LG stat.ML
Randomized Adversarial Style Perturbations for Domain Generalization
Seoul National University（首尔大学）
提出随机对抗式风格扰动（RASP）技术，通过对抗性扰动特征风格提升模型对未见领域的泛化能力，并结合归一化特征混合（NFM）缓解训练中知识学习退化问题，在大规模基准上显著提升性能。
2023-11-21 cs.CV cs.LG
Guardian of the Ensembles: Introducing Pairwise Adversarially Robust Loss for Resisting Adversarial Attacks in DNN Ensembles
Centre for Computational and Data Sciences, IIT Kharagpur（印度理工学院克勒格布尔分校计算与数据科学中心）；Computer Science and Engineering Department, IIT Kharagpur（印度理工学院克勒格布尔分校计算机科学与工程系）；Center for Cyber Security, New York University Abu Dhabi（纽约大学阿布扎比分校网络安全中心）；Department of Artificial Intelligence, IIT Kharagpur（印度理工学院克勒格布尔分校人工智能系）；Computer Science and Engineering Department, IIT Patna（印度理工学院巴特那分校计算机科学与工程系）
针对对抗攻击的可迁移性问题，本文提出成对对抗鲁棒损失（PARL）训练DNN集成，通过同时利用集成内分类器各层输出与梯度生成决策边界多样的集成，提升黑盒迁移攻击鲁棒性，在保持干净准确率的同时使鲁棒准确率提升24.8%。
2024-12-03 cs.LG
Differentially Private Adversarial Robustness Through Randomized Perturbations
University of Southern California（南加利福尼亚大学）；Amazon Alexa（亚马逊 Alexa）
尽管深度神经网络在不同领域取得了巨大成功，但可以证明，它对正确分类的样本的小扰动很敏感，并导致错误的预测。最近，有人提出，这种行为可以通过优化最坏情况下的损失函数在所有可能的替代训练样本。然而，这可能倾向于对不太可能的替换进行更高的加权，从而限制了准确性增益。本文通过随机扰动来研究对抗鲁棒性，它有两个直接的优点：（1）通过确保替换可能性由与原始词的接近度加权，我们避免了优化最坏情况保证并获得了性能增益;以及（2）经校准的随机性赋予差分私有模型训练，这另外提高了对模型输出的对抗攻击的鲁棒性。我们的方法使用了一种基于截断Gumbel噪声的新的基于密度的机制，该机制确保了对词汇表中稀有和密集单词的替换进行训练，同时保持语义相似性以提高模型的鲁棒性。
2020-09-27 cs.CR cs.LG stat.ML
Understanding and Improving Ensemble Adversarial Defense
The University of Manchester（曼彻斯特大学）
本文建立解释集成对抗防御鲁棒性的误差理论，并据此提出 iGAT，通过全局对抗样本概率分配和弱点正则化，在白盒与黑盒攻击下显著提升现有方法。
2023-11-02 cs.LG
Cascading Randomized Weighted Majority: A New Online Ensemble Learning Algorithm
Sharif University of Technology（谢里夫理工大学）；Ohio State University（俄亥俄州立大学）
随着世界上数据量的增加，从这些数据中学习的最佳方法是利用在线学习算法。在线集成方法是利用分类器的集成来预测数据标签的在线算法。专家建议的预测是在线集成学习文献中研究得很好的问题。加权多数算法和随机加权多数（RWM）是最知名的解决方案，这个问题，旨在收敛到最好的专家。由于在某些专家中，最好的专家不一定在数据空间的所有区域中具有最小误差，因此定义特定区域并收敛到每个区域中的最佳专家将导致更好的结果。本文针对RWM算法的这一缺陷，提出了一种新颖的在线集成算法来解决专家建议预测问题。我们提出了一个级联版本的RWM，以实现不仅更好的实验结果，但也有足够大的数据集更好的误差界。
2015-02-02 cs.LG stat.ML
Distributional Adversarial Loss
Toyota Technological Institute at Chicago（丰田技术研究所芝加哥分校）
提出分布对抗损失新概念，将对抗扰动视为分布族，在PAC学习下给出样本复杂度界，统一随机平滑与鲁棒学习，并提出保持鲁棒性的去随机化技术。
2025-06-19 cs.LG
Ensembles of Randomized Time Series Shapelets Provide Improved Accuracy while Reducing Computational Costs
Johannes Gutenberg University Mainz（美因茨约翰内斯·古腾堡大学）
Shaperies是一种判别性的时间序列连续性，它允许生成可解释的分类模型，与最近邻方法相比，它提供了更快且通常更好的分类。然而，shapelet发现过程需要评估训练集中所有时间序列的所有可能的连续性，这使得它非常计算密集。因此，大型时间序列数据集的shapelet发现很快变得棘手。为减少培训时间，提出了若干改进建议。这些技术使用近似或离散化，并且与精确方法相比通常导致降低的分类精度。我们建议使用集合的shapelet为基础的分类器使用随机抽样的shapelet候选人。使用随机抽样减少了被评估的候选者的数量，从而减少了所需的计算成本，同时所得模型的分类准确度也与精确算法的分类准确度没有显著差异。由于解决方案的多样性，随机分类器的组合纠正了单个模型的不准确性。基于所进行的实验，它表明，所提出的方法，使用一个合奏的廉价分类器提供了更好的分类精度相比，精确的方法在一个显着降低计算成本。
2017-02-22 cs.LG
Randomized Kaczmarz in Adversarial Distributed Setting
Michigan State University（密歇根州立大学）；Microsoft Corporation（微软公司）；University of California Los Angeles（加利福尼亚大学洛杉矶分校）
本文提出一种基于简单统计量的对抗容忍迭代方法，用于凸优化问题，在存在对抗性节点的分布式环境中确保收敛，并通过仿真验证其高精度识别对抗节点及适应不同对抗率的能力。
2024-03-13 cs.CR cs.LG cs.NA
Measuring the Algorithmic Convergence of Randomized Ensembles: The Regression Setting
University of California, Davis（加州大学戴维斯分校）
当随机集成方法，如装袋和随机森林的实施，一个基本的问题出现了：是合奏足够大？特别是，从业者希望严格保证给定的合奏将执行几乎以及理想的无限合奏（在相同的数据上训练）。本文的目的是在回归的背景下开发一种解决这个问题的自助方法-这补充了我们在分类背景下的配套论文（Lopes 2019）。与分类设置相反，本文表明，在弱得多的假设下，可以建立所提出的自举的理论保证。此外，我们说明了该方法的灵活性，显示它可以适应于测量算法的收敛变量的选择。最后，我们提供的数值结果表明，该方法在一系列的情况下工作良好。
2019-08-04 cs.LG math.ST stat.ME
Don't Explain Noise: Robust Counterfactuals for Randomized Ensembles
Polytechnique Montreal（蒙特利尔理工学院）；Ecole des Ponts（巴黎桥路学院）
研究随机化集成的鲁棒反事实解释生成问题，提出概率方法并给出理论保证，实验显示其有效性远高于现有方法且距离代价小。
2024-03-21 cs.LG math.OC
Provably Cost-Sensitive Adversarial Defense via Randomized Smoothing
CISPA Helmholtz Center for Information Security（信息安全研究中心赫尔姆霍茨中心）；Max Planck Institute for Intelligent Systems（智能系统马克斯·普朗克研究所）
针对不同误分类危害不等的现实场景，论文基于随机化平滑提出成本敏感认证半径、紧致证书算法及不损失准确率的鲁棒训练方法，并在多个基准上验证其有效性。
2025-06-10 cs.CR cs.LG
Boosting Randomized Smoothing with Variance Reduced Classifiers
ETH Zurich（苏黎世联邦理工学院）
随机平滑（RS）是一种很有前途的方法，用于通过在噪声下评估基础模型来获得鲁棒性证书。在这项工作中，我们：（i）从理论上激发为什么合奏是一个特别合适的选择作为RS的基础模型，和（ii）经验上确认这一选择，获得国家的最先进的结果，在多种设置。我们工作的关键见解是，在RS中引入的扰动上的集合方差的减少导致对给定输入的分类显著更一致。这又导致接近决策边界的样本的可认证半径显著增加。此外，我们引入了关键的优化，使高达55倍的减少样本复杂性的RS预定半径，从而大大降低了计算开销。在实验中，我们发现，只有3到10个分类器的集合在CIFAR10和ImageNet上的平均认证半径（ACR）方面始终提高了5%到21%，分别达到了0.86和1.11的最新ACR。我们在https://github.com/eth-sri/smoothing-ensembles上发布复制我们的结果所需的所有代码和模型。
2022-03-30 cs.AI cs.CV cs.LG
DNNShield: Dynamic Randomized Model Sparsification, A Defense Against Adversarial Machine Learning
The Ohio State University（俄亥俄州立大学）
已知DNN容易受到所谓的对抗攻击的攻击，这些攻击操纵输入以导致可能对攻击者有利或对受害者有害的不正确结果。最近的工作提出了近似计算作为防御机制对机器学习攻击。我们表明，这些方法，虽然成功的一系列输入，是不够的，以解决更强大的，高信心的对抗攻击。为了解决这个问题，我们提出了DNNSHIELD，这是一种硬件加速的防御方法，可以根据对抗性输入的置信度来调整响应的强度。我们的方法依赖于DNN模型的动态和随机稀疏化，以有效地实现推理近似，并对近似误差进行细粒度控制。DNNSHIELD使用稀疏推理的输出分布特征与密集参考相比来检测对抗性输入。当应用于VGG 16时，我们显示出86%的对抗检测率，当应用于ResNet 50时，我们显示出88%的对抗检测率，这超过了最先进方法的检测率，并且开销要低得多。我们展示了一个软件/硬件加速的FPGA原型，它降低了DNNSHIELD相对于纯软件CPU和GPU实现的性能影响。
2022-07-31 cs.AR cs.CR cs.LG
On the Role of Randomization in Adversarially Robust Classification
CNRS（法国国家科学研究中心）；Université Paris Dauphine - PSL（巴黎多芬大学-PSL）；Payflows
本文厘清随机化在对抗鲁棒分类中的作用，证明随机化集成在特定条件下可优于确定性假设集，同时证明任何概率二分类器都存在更优的确定性分类器，并给出相应确定性假设集的显式描述。
2023-11-28 cs.LG
RUSH: Robust Contrastive Learning via Randomized Smoothing
最近，对抗性训练已被纳入自监督对比预训练中，以增强标签效率和令人兴奋的对抗性鲁棒性。然而，这种鲁棒性是以昂贵的对抗性训练为代价的。在本文中，我们展示了一个令人惊讶的事实，即对比预训练与鲁棒性有一个有趣而隐含的联系，这种预训练表示的自然鲁棒性使我们能够设计一个强大的鲁棒算法来对抗对抗攻击，RUSH，它结合了标准的对比预训练和随机平滑。它提高了标准准确性和鲁棒准确性，并与对抗训练相比显着降低了训练成本。我们使用广泛的实证研究来表明，在一阶攻击下，所提出的RUSH在常见基准（CIFAR-10，CIFAR-100和STL-10）上的表现优于对抗训练的鲁棒分类器。特别是，在CIFAR-10上大小为8/255 PGD攻击的$\ell_{\infty}$范数扰动下，我们使用ResNet-18作为主干的模型达到了77.8%的鲁棒准确率和87.9%的标准准确率。与最先进的技术相比，我们的工作在鲁棒精度方面提高了15%以上，在标准精度方面略有提高。
2022-10-30 cs.CR cs.CV cs.LG
Towards Optimal Randomized Strategies in Adversarial Example Game
College of Computer Science and Technology, Zhejiang University（浙江大学计算机科学与技术学院）；Advanced Technology Institute, Zhejiang University（浙江大学先进技术研究院）；Qiushi Academy for Advanced Studies, Zhejiang University（浙江大学求是高等研究院）；State Key Lab of CAD&CG, Zhejiang University（浙江大学CAD&CG国家重点实验室）
针对完全随机化环境下缺乏高效算法寻找最优策略的问题，提出FRAT算法，通过无限维连续时间流建模，为防御者和攻击者构建轻量级随机策略，并证明其收敛于零和博弈的混合纳什均衡。
2023-06-29 cs.CR cs.GT cs.LG
Robustness Verification for Classifier Ensembles
Radboud University Nijmegen（拉德堡德大学奈梅亨分校）；University of Antwerp（安特卫普大学）；TNO（荷兰应用科学研究组织）；Leiden University（莱顿大学）
我们给出了一个形式化验证过程，以决定分类器集成是否对任意随机攻击具有鲁棒性。这种攻击由一组确定性攻击和在这组上的分布组成。鲁棒性检查问题包括评估，给定一组分类器和一个标记的数据集，是否存在一个随机攻击，导致一定的预期损失对所有分类器。我们显示的NP-硬度的问题，并提供了一个上限的攻击，足以形成一个最佳的随机攻击的数量。这些结果提供了一种有效的方法来推理分类器集成的鲁棒性。我们提供SMT和MILP编码来计算最优的随机攻击或证明没有攻击引起一定的预期损失。在后一种情况下，分类器集成可证明是鲁棒的。我们的原型实现验证了为图像分类任务训练的多个神经网络集成。使用MILP编码的实验结果是有前途的可扩展性和我们的验证过程的一般适用性。
2020-07-09 cs.LG stat.ML
Improving Ensemble Robustness by Collaboratively Promoting and Demoting Adversarial Robustness
Monash University（莫纳什大学）；Defence Science and Technology Group（国防科技集团）
基于集合的对抗训练是实现对抗对抗攻击的鲁棒性的原则性方法。这种方法的一个重要技术是控制对抗性样本在集成成员之间的可转移性。在这项工作中，我们提出了一个简单而有效的策略，委员会模型之间的合奏模型进行合作。这是通过为给定样本上的每个模型成员定义的安全和不安全集合来实现的，因此有助于我们量化和规范可转移性。因此，我们提出的框架提供了灵活性，以减少对抗性的可转移性，以及促进合奏成员的多样性，这是我们的合奏方法更好的鲁棒性的两个关键因素。我们进行了广泛而全面的实验，以证明我们提出的方法优于最先进的集成基线，同时可以以近乎完美的准确度检测到各种各样的对抗性示例。我们的代码可在https://github.com/tuananhbui89/Crossing-Collaborative-Ensemble上获得。
2022-02-04 cs.CV cs.LG
