ディープニューラルネットワーク(DNN)は、多くの実際のタスクで優れたパフォーマンスを実現しますが、敵対的な攻撃に対して非常に脆弱です。このような攻撃に対する主要な防御策は、敵対者のトレーニングです。これは、DNNが入力に敵対的なノイズを導入することにより、敵対者の攻撃に対して堅牢になるようにトレーニングされる手法です。この手順は効果的ですが、トレーニングフェーズ中に実行する必要があります。この作業では、重みを変更せずに既存の事前トレーニング済みDNNを堅牢化するためのシンプルで使いやすい戦略であるAugmented Random Forest(ARF)を提案します。すべての画像について、さまざまな色、ぼかし、ノイズ、および幾何学的変換を適用することにより、ランダム化されたテスト時間の増加を生成します。次に、DNNのロジット出力を使用して、単純なランダムフォレストをトレーニングし、実際のクラスラベルを予測します。私たちの方法は、自然画像の分類への妥協を最小限に抑えながら、ホワイトボックスとブラックボックスの多様な攻撃に対して最先端の敵対的ロバスト性を実現します。 ARFは、多数の適応型ホワイトボックス攻撃に対してもテストされており、敵対的なトレーニングと組み合わせると優れた結果が得られます。コードはhttps://github.com/giladcohen/ARFで入手できます。
Although Deep Neural Networks (DNNs) achieve excellent performance on many real-world tasks, they are highly vulnerable to adversarial attacks. A leading defense against such attacks is adversarial training, a technique in which a DNN is trained to be robust to adversarial attacks by introducing adversarial noise to its input. This procedure is effective but must be done during the training phase. In this work, we propose Augmented Random Forest (ARF), a simple and easy-to-use strategy for robustifying an existing pretrained DNN without modifying its weights. For every image, we generate randomized test time augmentations by applying diverse color, blur, noise, and geometric transforms. Then we use the DNN's logits output to train a simple random forest to predict the real class label. Our method achieves state-of-the-art adversarial robustness on a diversity of white and black box attacks with minimal compromise on the natural images' classification. We test ARF also against numerous adaptive white-box attacks and it shows excellent results when combined with adversarial training. Code is available at https://github.com/giladcohen/ARF.