Less is More: Data Pruning for Faster Adversarial Training
Northeastern University（东北大学）；Lawrence Livermore National Laboratory（劳伦斯利弗莫尔国家实验室）
深度神经网络（DNN）对对抗性样本敏感，导致在现实世界中性能脆弱且不可靠。虽然对抗训练（AT）是目前最有效的方法之一，以鲁棒DNN，它是计算上非常昂贵的（例如，5- 10倍的成本高于标准培训）。为了应对这一挑战，现有的方法专注于单步AT，称为快速AT，减少了对抗性示例生成的开销。不幸的是，这些方法在对付更强大的对手时失败了。为了使AT的计算效率，而不损害鲁棒性，本文采取了不同的观点，有效的AT问题。具体来说，我们建议通过利用数据修剪来最大限度地减少数据级别的冗余。大量的实验表明，基于数据修剪的AT可以实现类似或更好的鲁棒（和清洁）的准确性，其unpruned同行，同时显着更快。例如，所提出的战略将CIFAR-10培训加速到3.44倍，将CIFAR-100培训加速到2.02倍。此外，数据修剪方法可以很容易地与现有的对抗性加速技巧相协调，分别在CIFAR-10上获得5.66 X和5.12 X的惊人加速，在CIFAR-100上获得3.67 X和3.07 X的惊人加速。
2023-02-28 cs.CV cs.LG
Efficient Adversarial Training With Data Pruning
University of Cambridge（剑桥大学）；Vector Institute（向量研究所）；University of Toronto（多伦多大学）
神经网络容易受到对抗性样本的影响--小的输入扰动会导致模型失败。对抗性训练是停止对抗性示例的解决方案之一;模型在训练期间暴露于攻击，并学会对它们具有弹性。然而，这样一个过程目前是昂贵的，它需要很长的时间来生产和训练模型与敌对的样本，更糟糕的是，它偶尔会失败。在本文中，我们展示了数据修剪-一种通过数据子采样提高对抗训练效率的方法。我们的经验表明，数据修剪导致对抗训练的收敛性和可靠性的改善，尽管有不同程度的效用退化。例如，我们观察到，使用CIFAR 10的随机子采样来丢弃40%的数据，我们会损失8%的对抗准确性，而使用20%的数据，我们会损失14%的对抗准确性，并将运行时间减少3倍。有趣的是，我们发现在某些情况下，数据修剪可以从两个方面带来好处-它既提高了对抗准确性又提高了训练时间。
2022-07-01 cs.LG
Understanding Fault Tolerance of Adversarially Robust Pruned Models
Rochester Institute of Technology（罗切斯特理工学院）
该研究探究剪枝、对抗训练与硬件故障对CNN鲁棒性的交互影响，发现对抗训练提升抗扰动性但增权重故障敏感性，剪枝不显著增故障敏感性，需兼顾对抗鲁棒性与硬件可靠性。
2026-08-06 cs.CR cs.LG
Adversarial Neural Pruning with Latent Vulnerability Suppression
KAIST（韩国科学技术院）；AITRICS
尽管深度神经网络在各种计算机视觉任务上表现出色，但众所周知，它们容易受到对抗性扰动的影响，这使得将它们部署在现实世界的安全关键型应用中具有挑战性。在本文中，我们推测对抗脆弱性的主要原因是潜在特征空间的失真，并提供有效抑制它们的方法。解释一下，我们为每个潜在特征定义了\emph{vulnerability}，然后提出了一个新的对抗学习损失，\emph{Vulnerability Suppression (VS)}损失，旨在最大限度地减少训练过程中的特征级漏洞。我们进一步提出了一个贝叶斯框架来修剪具有高脆弱性的特征，以减少对抗样本的脆弱性和损失。我们在多个基准数据集上验证了我们的\emph{Adversarial Neural Pruning with Vulnerability Suppression (ANP-VS)}方法，在这些数据集上，它不仅获得了最先进的对抗鲁棒性，而且还提高了干净示例的性能，仅使用了整个网络使用的一小部分参数。进一步的定性分析表明，这些改进来自对特征级脆弱性的抑制。
2020-07-02 cs.CR cs.CV cs.LG
AutoAdversary: A Pixel Pruning Method for Sparse Adversarial Attack
Nanjing University（南京大学）
深度神经网络（DNN）已被证明容易受到对抗性示例的影响。对抗性示例的一个特殊分支，即稀疏对抗性示例，可以通过仅扰动几个像素来欺骗目标DNN。然而，现有的稀疏对抗攻击多采用探试法选择待扰动像素，将像素选择和对抗攻击视为两个独立的步骤。从神经网络剪枝的角度出发，提出了一种新的端到端稀疏对抗攻击方法AutoAdwords，该方法将像素选择融入到对抗攻击中，自动寻找最重要的像素。具体来说，我们的方法利用可训练的神经网络来生成用于像素选择的二进制掩码。在联合优化对抗性扰动和神经网络之后，仅扰动掩模中与值1相对应的像素。实验表明，我们提出的方法优于几个国家的最先进的方法。此外，由于AutoAdWorth不需要启发式像素选择过程，因此当图像大小增加时，它不会像其他方法那样过度减慢。
2022-03-18 cs.AI cs.CV cs.LG
Finding Dynamics Preserving Adversarial Winning Tickets
Nanjing University（南京大学）；Tencent AI Lab（腾讯人工智能实验室）；Hongkong University of Science and Technology（香港科技大学）
现代深度神经网络（DNN）容易受到对抗攻击的攻击，对抗训练已被证明是提高DNN对抗鲁棒性的一种有前途的方法。在对抗背景下，已经考虑了剪枝方法，以在训练中同时降低模型容量并提高对抗鲁棒性。现有的对抗性剪枝方法通常模仿自然训练的经典剪枝方法，遵循三个阶段的“训练-剪枝-微调”管道。我们观察到，这种修剪方法不一定能保持密集网络的动态性，这使得它可能很难被微调，以补偿修剪中的准确性下降。基于\textit{Neural Tangent Kernel}（NTK）最近的工作，我们系统地研究了对抗训练的动力学，证明了初始化时存在可训练的稀疏子网络，可以从头开始训练到对抗鲁棒性。这从理论上验证了\textit{lottery ticket hypothesis}在对抗环境中的作用，我们将这种子网络结构称为\textit{Adversarial Winning Ticket}（AWT）。我们还展示了经验证据，AWT保留了对抗训练的动态性，并实现了与密集对抗训练相同的性能。
2022-03-06 cs.LG
Pruning Graphs by Adversarial Robustness Evaluation to Strengthen GNN Defenses
Yongyu Wang（王永宇）
本研究通过对抗鲁棒性评估修剪图结构，提升GNN在高扰动环境下的防御能力。
2025-11-29 cs.CR cs.LG
Blind Adversarial Pruning: Balance Accuracy, Efficiency and Robustness
Qian Xuesen Laboratory of Space Technology, China Academy of Space Technology（中国空间技术研究院钱学森空间技术实验室）；School of Mathematics and Statistics, Wuhan University（武汉大学数学与统计学院）
随着人们对深度神经网络的攻击和防御兴趣的增长，研究人员更多地关注将其应用于内存有限的设备的鲁棒性。因此，与只考虑准确性和鲁棒性之间的平衡的对抗训练不同，我们来到了一个更有意义和关键的问题，即，准确性、效率和鲁棒性（AER）之间的平衡。近年来，一些相关的研究工作对这一问题进行了研究，但观察结果各不相同，AER之间的关系也不清楚。本文首先研究了不同压缩比的剪枝模型在渐进剪枝过程下的鲁棒性，得出结论：不同的剪枝过程对剪枝模型的鲁棒性有很大的影响，特别是对大强度攻击的鲁棒性。其次，我们测试了将干净数据和对抗性示例（使用规定的统一预算生成）混合到渐进修剪过程（称为对抗性修剪）中的性能，并发现：修剪后的模型的鲁棒性对预算具有很高的敏感性。此外，为了更好地平衡AER，我们提出了一种称为盲对抗修剪（BAP）的方法，该方法将盲对抗训练的思想引入渐进修剪过程中。其主要思想是使用一个截止尺度策略来自适应地估计一个非均匀的预算，以修改在修剪过程中使用的AE，从而确保AE的强度动态地位于一个合理的范围内，在每个修剪步骤，并最终提高整体AER的修剪模型。使用BAP对基于多个基准测试的分类模型进行剪枝的实验结果表明，该方法具有较好的性能：BAP剪枝后的模型在不同剪枝过程中具有更好的鲁棒性，并且BAP的总体AER优于对抗性剪枝。
2020-04-10 cs.LG stat.ML
Adversarial-Robustness-Guided Graph Pruning
Yongyu Wang（独立研究者）
本文提出了一种对抗鲁棒性引导的图剪枝框架，通过谱对抗鲁棒性评估提升图学习的鲁棒性和效率。
2025-12-09 cs.CV
Large-Scale Dataset Pruning in Adversarial Training through Data Importance Extrapolation
Friedrich-Alexander University Erlangen-Nürnberg（埃尔朗根-纽伦堡弗里德里希-亚历山大大学）；Technical University Munich（慕尼黑工业大学）
针对对抗训练耗时随数据规模增长的问题，提出基于数据重要性外推的剪枝策略，可在维持模型鲁棒性的同时高效缩减训练数据集规模。
2024-07-11 cs.LG
Achieving Adversarial Robustness via Sparsity
Shanghai Jiao Tong University（上海交通大学）
已知网络修剪可以产生紧凑的模型，而不会降低精度。然而，修剪过程如何影响网络的鲁棒性和背后的工作机制仍然没有得到解决。在这项工作中，我们从理论上证明了网络权重的稀疏性与模型的鲁棒性密切相关。通过对各种对抗性剪枝方法的实验，我们发现权值稀疏性不会损害但会提高鲁棒性，其中从彩票继承的权值和对抗性训练都提高了网络剪枝中的模型鲁棒性。基于这些发现，我们提出了一种新的对抗训练方法，称为逆权重继承，它通过继承小网络的权重来对大网络施加稀疏权重分布，从而提高大网络的鲁棒性。
2020-09-11 cs.LG stat.ML
Rethinking Impersonation and Dodging Attacks on Face Recognition Systems
Huazhong University of Science and Technology（华中科技大学）；Shanghai Jiao Tong University（上海交通大学）；Shanghai Shizhuang Information Technology Co., Ltd（上海石庄信息技术有限公司）；La Trobe University（拉筹伯大学）
针对黑盒场景下人脸识别仿冒攻击难同时实现规避攻击的问题，提出包含三阶段的Adv-Pruning攻击方法，可在保留仿冒能力的同时增强规避能力，性能优于现有最先进方法。
2024-08-18 cs.CV cs.LG
Holistic Adversarially Robust Pruning
KASTEL Security Research Labs, Karlsruhe Institute of Technology（卡尔斯鲁厄理工学院KASTEL安全研究实验室）
提出HARP方法，通过全局压缩策略和动态正则化，在整体网络层面优化各层剪枝率与参数选择，在99%压缩率下维持模型准确率与对抗鲁棒性。
2024-12-19 cs.LG
Robustness through Cognitive Dissociation Mitigation in Contrastive Adversarial Training
Rafael - Advanced Defense Systems Ltd.（拉斐尔先进防御系统有限公司）
在本文中，我们介绍了一种新的神经网络训练框架，通过将对比学习（CL）与对抗训练（AT）相结合，提高了模型对对抗攻击的对抗鲁棒性，同时保持了高的干净准确性。我们建议通过学习在数据增强和对抗性扰动下一致的特征表示来提高模型对对抗攻击的鲁棒性。我们利用对比学习来提高对抗性鲁棒性，将对抗性示例视为另一个正面示例，并旨在最大化数据样本的随机扩增与其对抗性示例之间的相似性，同时不断更新分类头，以避免分类头与嵌入空间之间的认知分离。这种分离是由于CL将网络更新到嵌入空间，同时冻结用于生成新的正面对抗示例的分类头。我们在CIFAR-10数据集上验证了我们的方法，具有对抗特征的对比学习（CLAF），在该数据集上，它比其他监督和自监督对抗学习方法具有更好的鲁棒准确性和干净准确性。
2022-09-11 cs.CR cs.CV cs.LG
Enhancing Adversarial Robustness for Deep Metric Learning
Johns Hopkins University（约翰斯·霍普金斯大学）
由于对抗性漏洞的安全影响，深度度量学习模型的对抗性鲁棒性必须得到提高。为了避免由于过于困难的例子而导致模型崩溃，现有的防御方法忽略了最小-最大对抗训练，而是从弱对手那里学习效率低下。相反，我们提出了硬度操纵，根据更硬的良性三元组或伪硬度函数，有效地干扰训练三元组，直到指定的对抗训练硬度水平。它是灵活的，因为常规训练和最小-最大对抗训练是它的边界情况。此外，提出了一系列伪硬度函数，即渐进式Adjuster函数，用于在训练过程中逐渐增加指定的硬度水平，以便在性能和鲁棒性之间实现更好的平衡。此外，良性和对抗性样本之间的类内结构损失项进一步提高了模型的鲁棒性和效率。综合的实验结果表明，所提出的方法，虽然简单的形式，压倒性地优于国家的最先进的防御措施的鲁棒性，训练效率，以及性能良性的例子。
2022-03-02 cs.CR cs.CV cs.LG
Squeeze Training for Adversarial Robustness
Harbin Institute of Technology（哈尔滨工业大学）；Tencent Security Big Data Lab（腾讯安全大数据实验室）；UC Davis（加州大学戴维斯分校）
深度神经网络（DNN）对对抗性样本的脆弱性在机器学习社区引起了极大的关注。这个问题与通常获得的损失景观的非平坦性和非平滑性有关。通过对抗性示例增强训练（也称为，对抗训练）被认为是一种有效的补救办法。在本文中，我们强调了一些协作示例，这些示例在感知上几乎无法与对抗性和良性示例区分开来，但预测损失极低，可以用来增强对抗性训练。因此，提出了一种新的方法，以实现新的最先进的对抗鲁棒性。代码：www.example.com.
2023-02-10 cs.CR cs.CV cs.LG
Layer Pruning with Consensus: A Triple-Win Solution
Escola Politécnica, Universidade de São Paulo, Brasil（圣保罗大学工学院，巴西）
本文提出Consensus准则，通过融合多个相似性度量识别低重要性层进行层剪枝，在保持精度的同时大幅降低计算与能耗，并提升对抗鲁棒性，实现三赢效果。
2024-11-21 cs.CV cs.LG
Masking Adversarial Damage: Finding Adversarial Saliency for Robust and Sparse Network
KAIST（韩国科学技术院）
对抗性示例会在深度神经网络中引发弱可靠性和潜在的安全问题。虽然对抗训练已经被广泛研究以提高对抗鲁棒性，但它工作在过度参数化的机制中，需要高计算量和大量内存预算。为了解决对抗性鲁棒性和模型压缩之间的矛盾，提出了一种新的对抗性剪枝方法--掩蔽对抗性损伤（MAD），该方法利用了对抗性损失的二阶信息。通过使用它，我们可以准确地估计模型参数的对抗显著性，并确定哪些参数可以被修剪而不削弱对抗鲁棒性。此外，我们揭示了初始层的模型参数对对抗性示例高度敏感，并表明压缩特征表示保留了目标对象的语义信息。通过在三个公共数据集上的大量实验，我们证明了MAD有效地修剪了经过对抗训练的网络，而不会失去对抗鲁棒性，并且比以前的对抗修剪方法表现出更好的性能。
2022-04-06 cs.CV
Deadwooding: Robust Global Pruning for Deep Neural Networks
Syracuse University（雪城大学）
深度神经网络逼近高度复杂函数的能力是其成功的关键。然而，这种好处是以较大的模型大小为代价的，这对在资源受限的环境中部署提出了挑战。剪枝是一种用于限制此问题的有效技术，但通常以降低准确性和对抗鲁棒性为代价。本文针对这些缺点，并介绍了Deadwooding，一种新的全局修剪技术，利用拉格朗日对偶方法，鼓励模型稀疏，同时保持准确性和确保鲁棒性。由此产生的模型显着优于国家的最先进的研究措施的鲁棒性和准确性。
2022-09-22 cs.LG
Towards Compact and Robust Deep Neural Networks
Princeton University（普林斯顿大学）；Columbia University（哥伦比亚大学）
深度神经网络在许多应用中取得了令人印象深刻的性能，但其大量参数导致显著的计算和存储开销。最近的几项工作试图通过使用修剪连接来设计紧凑的网络来减轻这些开销。然而，我们观察到，大多数现有的策略来设计紧凑的网络未能保持网络的鲁棒性对抗的例子。在这项工作中，我们严格研究了网络修剪策略的扩展，以保持网络的良性准确性和鲁棒性。从修剪过程的正式定义开始，包括预训练，权重修剪和微调，我们提出了一种新的修剪方法，可以创建紧凑的网络，同时保持良好的准确性和鲁棒性。我们的方法基于两个主要见解：（1）我们确保预训练和微调步骤的训练目标与所需鲁棒模型的训练目标相匹配（例如，对抗鲁棒性/可验证鲁棒性），以及（2）我们保持修剪策略与预训练和微调目标无关。我们在CIFAR-10数据集上的四个不同网络上评估了我们的方法，并测量了良性准确性，经验鲁棒准确性和可验证的鲁棒准确性。我们证明了我们的剪枝方法可以保持平均93%的良性准确率，92.5%的经验鲁棒准确率和85.0%的可验证鲁棒准确率，同时将测试网络压缩10个$\times$。
2019-06-14 cs.CV cs.LG stat.ML
Improved robustness to adversarial examples using Lipschitz regularization of the loss
我们使用最坏情况对抗训练（WCAT）增强对抗训练（AT），在CIFAR-10上的$\ell_2$规范中，它将对抗鲁棒性提高了11%。我们得到可验证的平均情况下和最坏情况下的鲁棒性保证，基于期望和最大值的范数的梯度的损失。我们将对抗训练解释为总变差正则化，这是数学图像处理中的基本工具，而WCAT则是Lipschitz正则化。
2019-09-13 cs.CR cs.CV cs.LG
Exploring the Adversarial Frontier: Quantifying Robustness via Adversarial Hypervolume
City University of Hong Kong（香港城市大学）
针对传统对抗准确率无法全面衡量模型鲁棒性的问题，提出对抗超体积指标从多目标优化角度全面评估扰动强度范围内的鲁棒性，并采用新训练算法均匀增强鲁棒性，为防御模型评估建立新标准。
2024-11-17 cs.AI cs.CR cs.CV
Recent Advances in Understanding Adversarial Robustness of Deep Neural Networks
Nanyang Technological University, Singapore（新加坡南洋理工大学）
在深度神经网络（DNN）的普及应用道路上，对抗性样本是不可避免的。应用于自然样本的不可感知的扰动可能会导致基于DNN的分类器输出错误的预测，并具有公平的置信度得分。越来越重要的是获得具有高鲁棒性的模型，以抵抗对抗性的例子。在本文中，我们从不同的角度调查了如何理解这种有趣的属性，即对抗鲁棒性的最新进展。我们给出了对抗攻击和鲁棒性的初步定义。在此之后，我们研究了常用的基准测试，并提到了理论上证明的对抗鲁棒性界限。然后，我们概述了分析对抗鲁棒性和DNN模型的其他关键指标之间的相关性。最后，我们介绍了最近的争论的潜在成本的对抗性训练，引起了研究界的广泛关注。
2020-11-03 cs.CV cs.LG
Increasing-Margin Adversarial (IMA) Training to Improve Adversarial Robustness of Neural Networks
University of Miami（迈阿密大学）
深度神经网络（DNN）容易受到对抗性噪声的影响。对抗性训练是提高DNN鲁棒性的通用且有效的策略（即，噪声数据上的准确性）对抗对抗性噪声。然而，由当前现有的对抗训练方法训练的DNN模型可能具有低得多的标准准确度（即，与通过标准方法在干净数据上训练的相同模型相比，这种现象被称为准确性和鲁棒性之间的权衡，并且被认为是不可避免的。这个问题阻止了对抗训练在许多应用领域中的使用，例如医学图像分析，因为从业者不想牺牲标准准确性来换取对抗鲁棒性。我们的目标是提升（即，减轻或甚至避免）医学图像分类和分割的标准准确性和对抗鲁棒性之间的这种权衡。我们提出了一种新的对抗训练方法，命名为增量边际对抗（IMA）训练，这是由对抗训练样本的最优性的平衡状态分析支持。我们的方法旨在通过生成最佳对抗训练样本来保持准确性，同时提高鲁棒性。我们评估我们的方法和其他八个有代表性的方法在六个公开可用的图像数据集上被AutoAttack和白噪声攻击产生的噪声破坏。我们的方法实现了最高的对抗性的鲁棒性图像分类和分割的最小的减少在干净的数据的准确性。对于其中一个应用程序，我们的方法提高了准确性和鲁棒性。我们的研究表明，我们的方法可以解除标准的准确性和对抗性的鲁棒性之间的权衡图像分类和分割应用。
2023-02-10 cs.CV cs.LG
Disentangling Adversarial Robustness and Generalization
Max Planck Institute for Informatics（马克斯·普朗克信息学研究所）；University of Tübingen（图宾根大学）
获得对对抗性示例具有鲁棒性并具有良好泛化能力的深度网络是一个开放性问题。最近的一个假设甚至指出，稳健和准确的模型都是不可能的，即，对抗鲁棒性和泛化是相互冲突的目标。为了澄清鲁棒性和泛化之间的关系，我们假设一个底层的，低维的数据流形，并表明：1。经常对抗的例子离开流形; 2.对抗性的例子约束到流形，即，流形上对抗的例子，存在; 3.流形上对抗性示例是泛化误差，并且流形上对抗性训练促进泛化; 4.规则的鲁棒性和通用性不一定是相互矛盾的目标。这些假设意味着稳健和准确的模型都是可能的。然而，不同的模型（架构，培训策略等）可以表现出不同的鲁棒性和泛化特性。为了证实我们的主张，我们提出了广泛的实验合成数据（与已知的流形），以及EMNIST，时尚MNIST和CelebA。
2019-04-10 cs.CR cs.CV cs.LG
Scaleable input gradient regularization for adversarial robustness
McGill University（麦吉尔大学）
在这项工作中，我们重新审视了梯度正则化的对抗鲁棒性与一些新的成分。首先，我们推导出新的每图像的理论鲁棒性边界的基础上局部梯度信息。这些边界强烈地激励了输入梯度正则化。其次，我们实现了一个可扩展版本的输入梯度正则化，避免了双重反向传播：对抗性强大的ImageNet模型在四个消费级GPU上训练了33小时。最后，我们通过实验和理论证明，输入梯度正则化与对抗训练具有竞争力。此外，我们证明了梯度正则化不会导致梯度混淆或梯度掩蔽。
2019-10-04 cs.CR cs.CV cs.LG
Improving Global Adversarial Robustness Generalization With Adversarially Trained GAN
Southwest Jiaotong University（西南交通大学）
卷积神经网络（CNN）在图像分类任务中已经实现了超越人类水平的准确性，并广泛应用于现实世界的环境中。然而，CNN显示出对抗性扰动的脆弱性，这些扰动是精心设计的噪声，旨在误导分类模型。为了抵御对抗性扰动，提出了对抗性训练的GAN（AT GAN），以提高通过对抗性训练的最新CNN的对抗性鲁棒性泛化能力。ATGAN将对抗性训练结合到标准GAN训练过程中，以去除模糊梯度，这可能导致在防御对抗性扰动时产生错误的感觉，并且在现有的基于GAN的对抗性防御方法中常见。此外，ATGAN采用图像到图像生成器作为数据增强，以增加对抗训练中对抗鲁棒性泛化所需的样本复杂度。在MNIST SVHN和CIFAR-10数据集上的实验结果表明，该方法不依赖于模糊梯度，并且比对抗训练的最先进CNN具有更好的全局对抗鲁棒性泛化性能。
2021-03-08 cs.CV cs.LG
On Model Robustness Against Adversarial Examples
我们研究了模型对对抗性示例的鲁棒性，这些示例被称为小扰动输入数据，但这些数据可能会欺骗许多最先进的深度学习模型。与以往的研究不同，我们建立了一个新的理论解决的鲁棒性问题的损失函数的稳定性的角度在小邻域的自然样本。我们建议利用一个能量函数来描述稳定性，并证明减少这种能量可以保证对对抗性示例的鲁棒性。我们还表明，传统的训练方法，包括对抗训练与$l_2$规范约束（AT）和虚拟对抗训练（VAT）往往最小化我们提出的能量函数的下限。我们做了一个分析表明，这种下限的最小化，但可能会导致输入样本周围的邻域内的鲁棒性不足。此外，我们设计了一个更合理的方法与能量正则化，证明了实现更好的鲁棒性比以前的方法。通过一系列的实验，我们证明了我们的模型在监督任务和半监督任务上的优越性。特别是，我们提出的对抗框架与以前的对抗训练方法相比，在基准数据集MNIST、CIFAR-10和SVHN上实现了最佳性能。重要的是，它们在对抗性示例中表现出比所有其他比较方法更好的鲁棒性。
2020-06-10 cs.CR cs.CV cs.LG
Robustness and Transferability of Universal Attacks on Compressed Models
Imperial College London（伦敦帝国学院）；DataSpartan
修剪和量化等神经网络压缩方法对于在边缘设备上有效部署深度神经网络（DNN）非常有效。然而，DNN仍然容易受到对抗性示例的影响，这些示例是专门设计用来欺骗这些模型的不显眼的输入。特别地，通用对抗扰动（Universal Adversarial Perturbations，UAP）是一类强大的对抗攻击，其创建可以在大的输入集合上概括的对抗扰动。在这项工作中，我们分析了各种压缩技术对UAP攻击的影响，包括不同形式的修剪和量化。我们测试了压缩模型对白盒和传输攻击的鲁棒性，并将其与CIFAR-10和SVHN数据集上的未压缩模型进行了比较。我们的评估揭示了修剪方法之间的明显差异，包括软过滤和训练后修剪。我们观察到，修剪和完整模型之间的UAP传输攻击是有限的，这表明这些模型的系统漏洞是不同的。这一发现具有实际意义，因为使用不同的压缩技术可以削弱黑盒传输攻击的有效性。我们表明，在某些情况下，量化可以产生梯度掩蔽，给人一种虚假的安全感。最后，我们的研究结果表明，压缩模型对UAP攻击的鲁棒性的结论是依赖于应用程序的，在我们的实验中使用的两个数据集中观察到不同的现象。
2020-12-10 cs.AI cs.CR cs.LG
Evaluating and Understanding the Robustness of Adversarial Logit Pairing
Massachusetts Institute of Technology（麻省理工学院）
我们评估了对抗性Logit配对的鲁棒性，这是最近提出的对抗性示例的防御方法。我们发现，使用对抗性Logit配对训练的网络在考虑防御的威胁模型中达到了0.6%的准确率。我们简要概述了防御和所考虑的威胁模型/声明，以及我们攻击的方法和结果的讨论，这可能会深入了解ALP易受对抗性攻击的原因。
2018-11-23 cs.CR cs.CV cs.LG
On the Sensitivity of Adversarial Robustness to Input Data Distributions
Borealis AI（北极光人工智能）
神经网络易受小的对抗性扰动的影响。现有的文献主要集中在理解和减轻学习模型的脆弱性。在本文中，我们证明了一个有趣的现象，在文献中最流行的鲁棒训练方法，对抗训练：对抗鲁棒性，不像干净的准确性，是敏感的输入数据分布。即使是对输入数据分布进行语义保留变换，也会导致对抗性训练模型的鲁棒性显著不同，该模型是在新分布上训练和评估的。我们发现这样的数据分布的敏感性是基于一项研究，该研究解开了贝叶斯分类器的清洁准确性和鲁棒准确性的行为。实证研究进一步证实了我们的发现。我们分别为MNIST和CIFAR10构建了语义相同的变体，并表明标准训练的模型在它们上实现了相当的干净精度，但逆向训练的模型实现了显着不同的鲁棒性精度。这种违反直觉的现象表明，输入数据分布本身就可以影响训练好的神经网络的对抗鲁棒性，而不一定是任务本身。最后，我们讨论了评估对抗鲁棒性的实际意义，并初步尝试理解这一复杂现象。
2019-02-22 cs.CR cs.CV cs.LG
A Useful Taxonomy for Adversarial Robustness of Neural Networks
Naval Center for Applied Research in Artificial Intelligence（海军人工智能应用研究中心）；U.S. Naval Research Laboratory（美国海军研究实验室）
对抗攻击和防御目前是深度学习社区的活跃研究领域。最近的一篇综述论文将防御方法分为三类：梯度掩蔽，鲁棒优化和对抗性示例检测。我们对梯度掩蔽和鲁棒优化进行了不同的划分：（1）增加特征向量的类内紧凑性和类间分离提高了对抗鲁棒性，（2）边缘化或去除非鲁棒图像特征也提高了对抗鲁棒性。通过以不同的方式重新构建这些主题，我们提供了一个新的视角，可以深入了解能够训练更强大的网络的潜在因素，并有助于激发新的解决方案。此外，在对抗性防御的文献中有几篇论文声称对抗性鲁棒性是有代价的，或者鲁棒性和准确性之间的权衡，但是，根据这个建议的分类法，我们假设这不是普遍的。我们在分类法的基础上，对建立在本文中的联系和见解基础上的深度学习研究社区提出了几个挑战。
2019-10-23 cs.CR cs.CV cs.LG
advertorch v0.1: An Adversarial Robustness Toolbox based on PyTorch
Borealis AI
advertorch是一个对抗鲁棒性研究的工具箱。它包含各种攻击，防御和强大的训练方法的实现。advertorch建立在PyTorch上（Paszke等人，2017），并利用动态计算图的优势，提供简洁高效的参考实现。该代码是在LGPL许可下授权的，并在https://github.com/BorealisAI/advertorch上开源。
2019-02-20 cs.CR cs.CV cs.LG
Revisiting Adversarial Robustness Distillation: Robust Soft Labels Make Student Better
Deakin University（迪肯大学）
对抗性训练是训练鲁棒的深度神经网络对抗对抗攻击的一种有效方法。虽然能够带来可靠的鲁棒性，但对抗训练（AT）方法通常倾向于高容量模型，即，模型越大，鲁棒性越好。这往往会限制它们在小模型上的有效性，而小模型在存储或计算资源非常有限的情况下更可取（例如，移动设备）。在本文中，我们利用知识蒸馏的概念，以提高小模型的鲁棒性，从对抗训练的大模型。我们首先从蒸馏的角度重新审视了几种最先进的AT方法，并确定了一种可以提高鲁棒性的常用技术：使用鲁棒的软标签-预测鲁棒的模型。根据这一观察，我们提出了一种新的对抗鲁棒性蒸馏方法称为鲁棒软标签对抗蒸馏（RSLAD）训练强大的小学生模型。RSLAD充分利用了由强大的（对抗训练的）大型教师模型产生的强大软标签，以指导学生在所有损失方面对自然和对抗示例的学习。我们通过经验证明了我们的RSLAD方法在现有对抗性训练和蒸馏方法中的有效性，以提高小模型对最先进攻击（包括AutoAttack）的鲁棒性。我们还提供了一组关于我们的RSLAD的理解，以及鲁棒软标签对对抗鲁棒性蒸馏的重要性。
2021-08-18 cs.CR cs.LG
Large Norms of CNN Layers Do Not Hurt Adversarial Robustness
South China Agricultural University（华南农业大学）；Pazhou Lab（琶洲实验室）
由于卷积神经网络（CNN）的Lipschitz性质被广泛认为与对抗鲁棒性有关，本文从理论上刻画了二维多通道卷积层的$\ell_1$范数和$\ell_\infty$范数，并给出了计算精确$\ell_1$范数和$\ell_\infty$范数的有效方法.基于我们的定理，我们提出了一种新的正则化方法，称为范数衰减，它可以有效地减少卷积层和全连接层的范数。实验表明，范数正则化方法，包括范数衰减，权重衰减和奇异值裁剪，可以提高CNN的泛化能力。然而，它们可能会轻微损害对抗性鲁棒性。观察到这种意想不到的现象，我们计算了用三种不同的对抗训练框架训练的CNN中的层的范数，并惊讶地发现对抗鲁棒CNN具有与非对抗鲁棒CNN相当甚至更大的层范数。此外，我们证明了在一个温和的假设下，对抗鲁棒分类器可以实现使用神经网络，和对抗鲁棒神经网络可以有一个任意大的Lipschitz常数。出于这个原因，在CNN层上强制执行小规范对于实现对抗鲁棒性可能既不必要也不有效。该代码可在https://github.com/youweiliang/norm_robustness上获得。
2021-08-15 cs.CR cs.CV cs.LG
On the Importance of Backbone to the Adversarial Robustness of Object Detectors
Tsinghua University（清华大学）；Chinese Institute for Brain Research（中国脑科学研究所）；THU-Bosch JCML Center（清华-博世联合计算与机器学习中心）
针对现有目标检测器对抗鲁棒性提升工作存在安全错觉的问题，提出基于对抗预训练骨干的快速对抗微调方案，证实骨干网络对检测器鲁棒性的关键作用，为设计SOTA鲁棒检测器提供启发并树立新里程碑。
2025-02-13 cs.AI cs.CR cs.CV
Understanding Adversarial Robustness of Vision Transformers via Cauchy Problem
University of Exeter（埃克塞特大学）
最近对深度学习鲁棒性的研究表明，视觉Transformer（ViTs）在某些扰动下优于卷积神经网络（CNN），例如，自然腐败，对抗攻击等。一些论文认为，卓越的鲁棒性ViT来自其输入图像的分割;其他人说，多头自注意（MSA）是保持鲁棒性的关键。在本文中，我们的目标是引入一个原则性和统一的理论框架，调查这样一个论点ViT的鲁棒性。我们首先从理论上证明，与自然语言处理中的Transformers不同，ViTs是Lipschitz连续的。然后，我们从柯西问题的角度从理论上分析了ViT的对抗鲁棒性，通过柯西问题我们可以量化鲁棒性如何在层之间传播。我们证明了第一层和最后一层是影响ViTs鲁棒性的关键因素。此外，基于我们的理论，我们实证表明，与现有研究的说法不同，MSA仅在弱对抗攻击下有助于ViTs的对抗鲁棒性，例如，FGSM，令人惊讶的是，MSA实际上包括模型在更强攻击下的对抗鲁棒性，例如，PGD攻击
2022-08-01 cs.CV cs.LG
Improving Ensemble Robustness by Collaboratively Promoting and Demoting Adversarial Robustness
Monash University（莫纳什大学）；Defence Science and Technology Group（国防科技集团）
基于集合的对抗训练是实现对抗对抗攻击的鲁棒性的原则性方法。这种方法的一个重要技术是控制对抗性样本在集成成员之间的可转移性。在这项工作中，我们提出了一个简单而有效的策略，委员会模型之间的合奏模型进行合作。这是通过为给定样本上的每个模型成员定义的安全和不安全集合来实现的，因此有助于我们量化和规范可转移性。因此，我们提出的框架提供了灵活性，以减少对抗性的可转移性，以及促进合奏成员的多样性，这是我们的合奏方法更好的鲁棒性的两个关键因素。我们进行了广泛而全面的实验，以证明我们提出的方法优于最先进的集成基线，同时可以以近乎完美的准确度检测到各种各样的对抗性示例。我们的代码可在https://github.com/tuananhbui89/Crossing-Collaborative-Ensemble上获得。
2022-02-04 cs.CV cs.LG
Q-TART: Quickly Training for Adversarial Robustness and in-Transferability
原始的深度神经网络（DNN）性能是不够的;在现实世界中，计算负载、训练效率和对抗安全性同样重要，甚至更重要。我们建议同时解决性能，效率和鲁棒性，使用我们提出的算法Q-TART，快速训练对抗鲁棒性和不可转移性。Q-TART遵循的直觉是，对噪声高度敏感的样本会强烈影响DNN学习的决策边界，这反过来会降低DNN的性能和对抗敏感性。通过识别和删除这些样本，我们证明了改进的性能和对抗鲁棒性，同时只使用一个子集的训练数据。通过我们的实验，我们强调了Q-TART在多个数据集-DNN组合（包括ImageNet）中的高性能，并深入了解了Q-TART与现有对抗训练方法的互补行为，将鲁棒性提高了1.3%以上，同时减少了17.9%的训练时间。
2022-04-14 cs.CV cs.LG
Narrowing Class-Wise Robustness Gaps in Adversarial Training
University of Limerick（利默里克大学）；Computer Science and Information Systems（计算机科学与信息系统）
针对对抗训练存在的干净样本泛化差、类别性能失衡问题，研究发现训练中增强标注可提升对抗鲁棒性与类别均衡性，同时改善干净及对抗场景下的准确率。
2025-03-20 cs.CV cs.LG
On Saliency Maps and Adversarial Robustness
IIT Hyderabad（海得拉巴印度理工学院）
最近出现的一种趋势是将可解释性和对抗性鲁棒性的概念结合起来，这与早期的努力不同，早期的努力只关注良好的解释或对抗对手的鲁棒性。工作表明，对抗训练的模型比非鲁棒的模型表现出更多可解释的显着性图，并且这种行为可以通过考虑输入图像和显着性图之间的对齐来量化。在这项工作中，我们为这种耦合提供了一个不同的视角，并提供了一种方法，基于显着性的对抗训练（SAT），使用显着性图来提高模型的对抗鲁棒性。特别是，我们表明，使用注释，如边界框和分割掩模，已经提供了一个数据集，作为弱显着性图，足以提高对抗鲁棒性，没有额外的努力来生成扰动本身。我们在CIFAR-10、CIFAR-100、Tiny ImageNet和Flower-17数据集上的实证结果一致地证实了我们的说法，即使用我们的方法提高了对抗鲁棒性。显着图。我们还展示了如何使用更精细、更强大的显着性图来构建更强大的模型，以及如何将SAT与现有的对抗训练方法相结合，进一步提高这些现有方法的性能。
2020-07-13 cs.CV cs.LG
Explicit Tradeoffs between Adversarial and Natural Distributional Robustness
University of Maryland（马里兰大学）
现有的一些工作分别研究深度神经网络的对抗性或自然分布鲁棒性。然而，在实践中，模型需要同时具有这两种类型的鲁棒性，以确保可靠性。在这项工作中，我们弥合了这一差距，并表明，事实上，对抗性和自然分布鲁棒性之间存在明确的权衡。我们首先考虑一个简单的线性回归设置高斯数据与不相交的核心和虚假的功能。在这种情况下，通过理论和实证分析，我们表明：（i）$\ell_1$和$\ell_2$规范的对抗训练增加了模型对虚假特征的依赖;（ii）对于$\ell_\infty$对抗训练，虚假依赖只发生在虚假特征的规模大于核心特征的规模时;（iii）对抗性训练可能会在降低分布鲁棒性方面产生意想不到的后果，特别是当伪相关性在新的测试域中发生变化时。接下来，我们提出了广泛的经验证据，使用在五个基准数据集（ObjectNet，RIVAL 10，Salient ImageNet-1 M，ImageNet-9，Waterbirds）上评估的20个对抗训练模型的测试套件，对抗训练的分类器比标准训练的分类器更依赖于背景，验证了我们的理论结果。我们还表明，虚假的相关性在训练数据（当保存在测试域）可以提高对抗的鲁棒性，揭示了以前的说法，对抗的脆弱性是植根于虚假的相关性是不完整的。
2022-09-15 cs.CV cs.LG
Model-Agnostic Meta-Attack: Towards Reliable Evaluation of Adversarial Robustness
Tsinghua University（清华大学）；Shanghai Jiao Tong University（上海交通大学）
深度神经网络对对抗性样本的脆弱性促使越来越多的防御策略来提高模型的鲁棒性。然而，进展通常受到稳健性评估不足的阻碍。作为评估对抗鲁棒性的事实标准，对抗攻击通常通过迭代过程来解决制作对抗示例的优化问题。在这项工作中，我们提出了一个模型不可知的元攻击（MAMA）的方法来自动发现更强的攻击算法。我们的方法在由递归神经网络参数化的对抗攻击中学习优化器，该网络在一类数据样本和防御上进行训练，以在对抗示例生成期间产生有效的更新方向。此外，我们开发了一个模型无关的训练算法，以提高学习优化器的泛化能力时，攻击看不见的防御。我们的方法可以灵活地与各种攻击，并不断提高性能，几乎没有额外的计算成本。大量的实验证明了MAMA学习攻击的有效性，与对不同防御的最新攻击相比，可以更可靠地评估对抗鲁棒性。
2021-10-13 cs.CR cs.LG
Are Adversarial Robustness and Common Perturbation Robustness Independent Attributes ?
Univ. Grenoble Alpes（格勒诺布尔阿尔卑斯大学）；Atos（源讯）
神经网络已被证明对常见的扰动敏感，如模糊，高斯噪声，旋转等，它们也容易受到一些被称为对抗性示例的人工恶意破坏。对抗性示例研究最近变得非常流行，有时甚至将术语“对抗性鲁棒性”简化为术语“鲁棒性”。然而，我们不知道对抗鲁棒性在多大程度上与全局鲁棒性相关。同样，我们不知道对各种常见扰动（例如平移或对比度损失）的鲁棒性是否有助于对抗性腐败。我们打算研究神经网络对这两种扰动的鲁棒性之间的联系。通过我们的实验，我们提供了第一个基准设计来估计神经网络的鲁棒性常见的扰动之一。我们表明，增加鲁棒性精心挑选的共同扰动，可以使神经网络更强大的看不见的共同扰动。我们还证明了对抗鲁棒性和对常见扰动的鲁棒性是独立的。我们的研究结果使我们相信，神经网络的鲁棒性应该在更广泛的意义上解决。
2019-10-09 cs.CV cs.LG stat.ML
On the Adversarial Robustness of Quantized Neural Networks
Rochester Institute of Technology（罗切斯特理工学院）
减小神经网络模型的大小是将人工智能从以云为中心的计算模式转变为以边缘为中心的计算模式的关键一步。这种从云到边缘的转变是由许多因素推动的，包括减少延迟，提高安全性，以及跨多个应用领域（例如运输，医疗保健，国防等）的AI算法的更高灵活性。然而，目前尚不清楚模型压缩技术如何影响AI算法对对抗攻击的鲁棒性。本文探讨了量化的效果，最常见的压缩技术之一，对抗的鲁棒性的神经网络。具体来说，我们调查和建模的准确性量化神经网络的不利扰动图像。结果表明，对于简单的基于梯度的攻击，量化可以提高或降低对抗鲁棒性取决于攻击强度。
2021-05-01 cs.CR cs.LG
Class-Aware Domain Adaptation for Improving Adversarial Robustness
Shenzhen University（深圳大学）；IBM（国际商业机器公司）；University of Nottingham（诺丁汉大学）
最近的工作已经证明了卷积神经网络容易受到对抗性示例的影响，即，攻击者故意设计的机器学习模型的输入，以使模型出错。为了提高神经网络的对抗鲁棒性，对抗训练已经被提出来通过将对抗样本注入到训练数据中来训练网络。然而，对抗性训练可能过度适应特定类型的对抗攻击，并且还导致干净图像的标准准确度下降。为此，我们提出了一种新的类感知领域自适应（CADA）方法，用于对抗性防御，而不直接应用对抗性训练。具体来说，我们建议通过域搜索来学习对抗性示例和干净图像的域不变特征。此外，我们还将一个类感知组件引入到网络中，以提高网络对对抗性示例的区分能力。我们使用多个基准数据集来评估我们新提出的方法。结果表明，我们的方法可以显着提高最先进的对抗性鲁棒性的各种攻击，并保持高性能的干净的图像。
2020-05-10 cs.CV cs.LG
Benchmarking Adversarial Robustness of Compressed Deep Learning Models
University of California, Davis（加州大学戴维斯分校）
本文构建跨攻击与模型的基准，研究未经对抗训练模型在剪枝后的对抗鲁棒性，发现压缩保留泛化与推理优势且不降低鲁棒性。
2023-08-16 cs.LG
PATROL: Privacy-Oriented Pruning for Collaborative Inference Against Model Inversion Attacks
Michigan Technological University（密歇根理工大学）；University of Houston（休斯顿大学）
针对协作推理中模型反演攻击的隐私威胁，提出PATROL方法，利用隐私导向剪枝在边缘部署更多层，结合Lipschitz正则化与对抗训练，平衡隐私、效率与效用，并在车辆重识别任务中验证其有效性。
2023-11-13 cs.CR cs.LG
Adversarial Robustness for Unsupervised Domain Adaptation
Dept. of Computer Science, Kyung-Hee University（庆熙大学计算机科学系）；Dept. of Computer Science, The University of Hong Kong（香港大学计算机科学系）
广泛的无监督领域自适应（UDA）研究已经在实践中取得了巨大的成功，通过使用深度模型学习标记源域和未标记目标域的可转移表示。然而，以前的工作集中在提高UDA模型对干净样本的泛化能力，而没有考虑对抗鲁棒性，这在现实世界的应用中是至关重要的。传统的对抗训练方法不适用于UDA的未标记目标域上的对抗鲁棒性，因为它们使用由监督损失函数生成的对抗示例来训练模型。在这项工作中，我们利用多个强大的ImageNet模型学习的中间表示来提高UDA模型的鲁棒性。我们的方法通过将UDA模型的特征与ImageNet预训练模型以及领域自适应训练所学习的鲁棒特征进行对齐来工作。它利用标记和未标记的域，并在领域自适应训练期间注入鲁棒性，而无需任何对抗性干预或标签要求。实验结果表明，与基线相比，我们的方法显着提高了对抗鲁棒性，同时在各种UDA基准上保持了干净的准确性。
2021-09-02 cs.CV cs.LG
Towards Natural Robustness Against Adversarial Examples
Institute of Information Science（信息科学研究所）；Beijing Jiaotong University（北京交通大学）
最近的研究表明，深度神经网络容易受到对抗性样本的攻击，但大多数为防御对抗性样本而提出的方法都不能从根本上解决这个问题。本文从理论上证明了具有单位映射的神经网络存在一个上界来约束对抗性噪声引起的误差。然而，在实际计算中，这种神经网络不再保持任何上限，因此容易受到对抗性样本的影响。遵循类似的过程，我们解释了为什么对抗性示例可以通过跳过连接来欺骗其他深度神经网络。此外，我们证明了一个新的称为神经ODE的深度神经网络家族（Chen et al.，2018年）持有较弱的上限。这个较弱的上限防止结果中的变化量过大。因此，神经ODE对对抗性示例具有天然的鲁棒性。我们评估了神经ODE与ResNet在三种白盒对抗攻击（FGSM、PGD、DI 2-FGSM）和一种黑盒对抗攻击（边界攻击）下的性能。最后，我们证明了神经常微分方程的自然鲁棒性甚至优于使用对抗训练方法（如TRADES和YOPO）训练的神经网络的鲁棒性。
2020-12-04 cs.CV cs.LG
ARBiBench: Benchmarking Adversarial Robustness of Binarized Neural Networks
National University of Defense Technology（国防科技大学）；University of Oulu（奥卢大学）
本文提出ARBiBench基准，系统评估二值化神经网络在CIFAR-10和ImageNet上面对白盒与黑盒攻击的对抗鲁棒性，发现数据集相关性和黑盒优势，为增强BNN安全性提供方向。
2023-12-21 cs.CV cs.LG
Recent Advances in Adversarial Training for Adversarial Robustness
Nanyang Technological University（南洋理工大学）；Wuhan University（武汉大学）
对抗性训练是深度学习模型防御对抗性样本的最有效方法之一。与其他防御策略不同，对抗性训练旨在从本质上提高模型的鲁棒性。近几年来，对抗性训练受到了多方面的研究和探讨。提出了对抗训练的各种改进和发展，然而，在现有的调查中被忽视。在这次调查中，我们首次系统地回顾了对抗训练的最新进展，并采用了一种新的分类法来提高对抗鲁棒性。然后从三个方面讨论了对抗训练中的泛化问题。最后，我们强调尚未充分解决的挑战，并提出潜在的未来方向。
2021-04-21 cs.AI cs.CR cs.LG
Neural Architecture Dilation for Adversarial Robustness
University of Sydney（悉尼大学）；Huawei Technologies（华为技术有限公司）；Peking University（北京大学）
随着卷积神经网络（CNN）在过去几十年中在架构和规模上的巨大进步，它们可以轻松达到甚至超过人类在某些任务中的表现。然而，最近发现CNN的一个缺点是它们容易受到对抗攻击的攻击。虽然CNN的对抗性鲁棒性可以通过对抗性训练来提高，但在标准准确性和对抗性鲁棒性之间存在权衡。从神经结构的角度来看，本文旨在提高具有令人满意的准确性的骨干CNN的对抗鲁棒性。在最小的计算开销下，扩张架构的引入有望与骨干CNN的标准性能友好，同时追求对抗鲁棒性。对标准误差界和对抗误差界的理论分析自然激发了所提出的神经结构膨胀算法。在真实世界数据集和基准神经网络上的实验结果表明，该算法能够有效地平衡准确性和对抗鲁棒性。
2021-08-16 cs.AI cs.CV cs.LG
Metric Learning for Adversarial Robustness
Columbia University（哥伦比亚大学）
众所周知，深度网络对于对抗攻击是脆弱的。我们对最先进的攻击方法PGD下的深层表示进行了实证分析，发现攻击导致内部表示向“假”类靠拢。出于这一观察结果，我们建议使用度量学习来正则化受到攻击的表示空间，以产生更鲁棒的分类器。通过仔细采样用于度量学习的示例，我们学习的表示不仅提高了鲁棒性，而且还检测了以前未见过的对抗样本。定量实验表明，鲁棒性的准确性提高了4%，检测效率提高了6%，根据曲线下面积得分比以前的工作。我们的工作代码可在https://github.com/columbia/Metric_Learning_Adversarial_Robustness上获得。
2019-10-28 cs.CR cs.CV cs.IR
