研究者提出最小范数攻击集成，用鲁棒性曲线替代单一 ε 评测
Adversarial Frontiers: Minimum-Norm Attack Ensembles for Robustness Evaluation
AI 导读
研究者提出一套统一的对抗鲁棒性评测框架，用覆盖 ℓ0、ℓ1、ℓ2、ℓ∞ 四种范数的最小范数攻击池和鲁棒性-扰动曲线，替代在单一扰动预算 ε 下使用 AutoAttack 等预设攻击集成的做法。作者指出，鲁棒性-扰动曲线可能在不同模型间交叉或以不同速率衰减，导致单一 ε 下的排名不稳定，且现有集成无法说明与最坏情况性能的差距，也无法系统控制攻击强度与评测成本的权衡。为此他们把评测形式化为前沿逼近问题，构造最小范数攻击集成，在可控查询预算下逼近攻击前沿，预算越大估计越紧。作者还定义防御前沿为各扰动规模下模型集合中的最高鲁棒性，并提出 Defense Optimality Index，按防御与防御前沿的差距排名，无需选定参考 ε。在 CIFAR-10 和 ImageNet 上，该集成在多数防御和各个预算档位上达到或超过 AutoAttack，且查询成本固定可控。