高レベルの表現に基づくピクセルノイズ除去と敵対的トレーニングは、入力データの前処理とモデルの再トレーニングによって、敵対的攻撃に対するCNNの堅牢性をそれぞれ強化するための独立したソリューションです。最近では、ピクセルノイズ除去ベースの方法の魅力が低下している一方で、敵対的なトレーニング手法が広く研究され、改善されています。ただし、より高度なピクセルノイズ除去ベースの方法が存在するかどうか、および2つのソリューションの組み合わせが互いに利益をもたらすかどうかは依然として疑問です。この目的のために、まず、画像レベルとセマンティックレベルの復元の損失関数の下で、敵対的なロバスト性を強化するための2種類のピクセルノイズ除去方法(つまり、既存の加法ベースと未踏のフィルタリングベースの方法)を包括的に調査し、次のことを示します。ピクセル単位のフィルタリングは、既存のピクセル単位の加法ベースの方法よりもはるかに高い画質(たとえば、より高いPSNR)と、より高いロバスト性(たとえば、敵対的な例でのより高い精度)を得ることができます。ただし、フィルタリングベースの方法のロバスト性の結果は、トレーニングに使用される敵対的な例の摂動振幅に依存していることもわかります。この問題に対処するために、予測摂動対応ピクセル単位のフィルタリングを提案します。ここでは、デュアル摂動フィルタリングと不確実性対応融合モジュールが設計され、トレーニングおよびテストプロセス中に摂動振幅を自動的に認識するように採用されています。提案された方法は、AdvFilterと呼ばれます。さらに、敵対的なピクセルノイズ除去手法を3つの敵対的なトレーニングベースの手法と組み合わせて、データとモデルを一緒に検討することで、より堅牢なCNNを実現できることを示唆しています。実験はNeurIPS-2017DEV、SVHN、およびCIFAR10データセットで実施され、CNNの堅牢性、さまざまなモデルへの高度な一般化、およびノイズレベルを強化することに対する利点を示しています。
High-level representation-guided pixel denoising and adversarial training are independent solutions to enhance the robustness of CNNs against adversarial attacks by pre-processing input data and re-training models, respectively. Most recently, adversarial training techniques have been widely studied and improved while the pixel denoising-based method is getting less attractive. However, it is still questionable whether there exists a more advanced pixel denoising-based method and whether the combination of the two solutions benefits each other. To this end, we first comprehensively investigate two kinds of pixel denoising methods for adversarial robustness enhancement (i.e., existing additive-based and unexplored filtering-based methods) under the loss functions of image-level and semantic-level restorations, respectively, showing that pixel-wise filtering can obtain much higher image quality (e.g., higher PSNR) as well as higher robustness (e.g., higher accuracy on adversarial examples) than existing pixel-wise additive-based method. However, we also observe that the robustness results of the filtering-based method rely on the perturbation amplitude of adversarial examples used for training. To address this problem, we propose predictive perturbation-aware pixel-wise filtering, where dual-perturbation filtering and an uncertainty-aware fusion module are designed and employed to automatically perceive the perturbation amplitude during the training and testing process. The proposed method is termed as AdvFilter. Moreover, we combine adversarial pixel denoising methods with three adversarial training-based methods, hinting that considering data and models jointly is able to achieve more robust CNNs. The experiments conduct on NeurIPS-2017DEV, SVHN, and CIFAR10 datasets and show the advantages over enhancing CNNs' robustness, high generalization to different models, and noise levels.