arXiv reaDer
複数の摂動境界内で認定された敵対的ロバスト性
Certified Adversarial Robustness Within Multiple Perturbation Bounds
ランダム化平滑化 (RS) は、敵対的攻撃に対するよく知られた認定された防御であり、推論中の入力のランダム ノイズ摂動の下で最も可能性の高いクラスを予測することによって、平滑化された分類子を作成します。最初の研究では、ガウス分布からサンプリングされたノイズを使用して ℓ_2 ノルムの摂動に対するロバスト性に焦点を当てていましたが、その後の研究では、さまざまなノイズ分布が他の ℓ_p ノルム境界に対してもロバスト性をもたらす可能性があることが示されました。一般に、特定のノイズ分布は、特定の ℓ_p ノルム ベースの攻撃に対する防御に最適です。この作業では、複数の摂動境界に対する認定された敵対的ロバスト性を同時に改善することを目指しています。これに向けて、まず、さまざまなノイズ分布を使用して取得した証明書を効果的に組み合わせて、複数の摂動境界に対して最適な結果を取得する新しい認証スキームを提示します。さらに、ℓ_1 と ℓ_2 の両方の摂動ノルム内で同時に認証を改善するために、正則化されたトレーニング スキームと共に新しいトレーニング ノイズ分布を提案します。以前の研究とは対照的に、トレーニングと認証に使用される固定ノイズ レベルではなく、同じ自然な (クリーンな) 精度で、さまざまなトレーニング アルゴリズムの認定された堅牢性を比較します。また、同じ量のノイズで分類器をトレーニングして認証することが最良の結果をもたらすという議論を経験的に無効にします。提案されたアプローチは、ℓ_1 と ℓ_2 摂動境界の両方で ACR (Average Certified Radius) メトリックの改善を達成します。
Randomized smoothing (RS) is a well known certified defense against adversarial attacks, which creates a smoothed classifier by predicting the most likely class under random noise perturbations of inputs during inference. While initial work focused on robustness to ℓ_2 norm perturbations using noise sampled from a Gaussian distribution, subsequent works have shown that different noise distributions can result in robustness to other ℓ_p norm bounds as well. In general, a specific noise distribution is optimal for defending against a given ℓ_p norm based attack. In this work, we aim to improve the certified adversarial robustness against multiple perturbation bounds simultaneously. Towards this, we firstly present a novel certification scheme, that effectively combines the certificates obtained using different noise distributions to obtain optimal results against multiple perturbation bounds. We further propose a novel training noise distribution along with a regularized training scheme to improve the certification within both ℓ_1 and ℓ_2 perturbation norms simultaneously. Contrary to prior works, we compare the certified robustness of different training algorithms across the same natural (clean) accuracy, rather than across fixed noise levels used for training and certification. We also empirically invalidate the argument that training and certifying the classifier with the same amount of noise gives the best results. The proposed approach achieves improvements on the ACR (Average Certified Radius) metric across both ℓ_1 and ℓ_2 perturbation bounds.
updated: Thu Apr 20 2023 16:42:44 GMT+0000 (UTC)
published: Thu Apr 20 2023 16:42:44 GMT+0000 (UTC)
参考文献 (このサイトで利用可能なもの) / References (only if available on this site)
被参照文献 (このサイトで利用可能なものを新しい順に) / Citations (only if available on this site, in order of most recent)
Amazon.co.jpアソシエイト