この作業は、敵対的攻撃に対して確実に堅牢なディープ ネットワークの開発に関するものです。共同ロバスト分類検出は、認定された防御メカニズムとして最近導入されました。この場合、敵対的な例は正しく分類されるか、「棄権」クラスに割り当てられます。この作業では、そのような証明可能なフレームワークが、敵対的な例がそれらに適応的に割り当てられる複数の明示的な棄権クラスを持つネットワークへの拡張によって利益を得ることができることを示します。複数の棄権クラスを単純に追加すると「モデルの縮退」が発生する可能性があることを示し、複数の棄権クラスの完全な使用を促進することにより、この縮退に対抗する正則化アプローチとトレーニング方法を提案します。私たちの実験は、提案されたアプローチが一貫して有利な標準と堅牢な検証済み精度のトレードオフを達成し、棄権クラスの数のさまざまな選択に対して最先端のアルゴリズムを上回ることを示しています。
This work concerns the development of deep networks that are certifiably robust to adversarial attacks. Joint robust classification-detection was recently introduced as a certified defense mechanism, where adversarial examples are either correctly classified or assigned to the "abstain" class. In this work, we show that such a provable framework can benefit by extension to networks with multiple explicit abstain classes, where the adversarial examples are adaptively assigned to those. We show that naively adding multiple abstain classes can lead to "model degeneracy", then we propose a regularization approach and a training method to counter this degeneracy by promoting full use of the multiple abstain classes. Our experiments demonstrate that the proposed approach consistently achieves favorable standard vs. robust verified accuracy tradeoffs, outperforming state-of-the-art algorithms for various choices of number of abstain classes.