マスク画像モデリング (MIM) の最近の進歩により、MIM は自己教師ありの視覚表現学習の一般的なフレームワークになりました。 MIM 事前トレーニング済みモデルは、ほとんどのディープ ニューラル ネットワーク手法と同様、依然として敵対的な攻撃に対して脆弱であり、実用化が制限されており、この問題は研究でほとんど注目されていません。この論文では、この強力な自己教師あり学習パラダイムがどのようにして下流の分類器に敵対的な堅牢性を提供できるかを調査します。調査の過程で、プリテキスト タスクとしてノイズ除去を採用する MIM の単純な変形であるノイジー イメージ モデリング (NIM) が、深刻な破損にもかかわらず、ノイズのある画像を驚くほどうまく再構築できることがわかりました。この観察に動機づけられて、我々は De^3 と呼ばれるノイズ除去用の事前トレーニング済みデコーダーを利用することによる敵対的防御方法を提案します。これにより、NIM は事前トレーニング済みの機能の提供を超えて敵対的堅牢性を強化できます。さらに、ランダムな分布からノイズ スケール ハイパーパラメータをサンプリングするという単純な変更を組み込んで、防御側が精度と堅牢性の間でより適切な調整可能なトレードオフを達成できるようにします。実験結果は、効果的なノイズ除去機能のおかげで、敵対的な堅牢性の点で NIM が MIM と比較して優れていることを示しています。さらに、NIM によって提供される防御は、追加の調整可能性の利点を提供しながら、敵対的トレーニングと同等のパフォーマンスを達成します。ソースコードとモデルは利用可能になります。
Recent advancements in masked image modeling (MIM) have made it a prevailing framework for self-supervised visual representation learning. The MIM pretrained models, like most deep neural network methods, are still vulnerable to adversarial attacks, limiting their practical application, and this issue has received little research attention. In this paper, we investigate how this powerful self-supervised learning paradigm can provide adversarial robustness to downstream classifiers. During the exploration, we find that noisy image modeling (NIM), a simple variant of MIM that adopts denoising as the pre-text task, reconstructs noisy images surprisingly well despite severe corruption. Motivated by this observation, we propose an adversarial defense method by exploiting the pretrained decoder for denoising, referred to as De^3, through which NIM is able to enhance adversarial robustness beyond providing pretrained features. Furthermore, we incorporate a simple modification, sampling the noise scale hyperparameter from random distributions, and enable the defense to achieve a better and tunable trade-off between accuracy and robustness. Experimental results demonstrate that, in terms of adversarial robustness, NIM is superior compared to MIM thanks to its effective denoising capability. Moreover, the defense provided by NIM achieves performance on par with adversarial training while offering the extra tunability advantage. Source code and models will be made available.