鲁棒性是准确率的代价吗？——对 18 个深度图像分类模型鲁棒性的全面研究

1. 01这篇论文试图解决什么问题？

   作者问：追求更高 ImageNet 准确率是否以牺牲对抗鲁棒性为代价，哪些因素影响鲁棒性。

   核心问题：图像分类模型的预测准确率与对抗鲁棒性之间是否存在此消彼长的关系，以及哪些模型因素影响鲁棒性。

   • 问题场景：作者指出，自 AlexNet 在 ILSVRC 2012 突破后，DNN 准确率持续上升，但鲁棒性未被充分研究；对抗样本可对自然图像做人眼不可察觉的扰动并导致误分类，作者引用物理世界 Stop 标志被误识别的研究说明其现实风险。
   • 现有不足：作者认为准确率长期是比较模型（包括 ImageNet 竞赛）的唯一标准，鲁棒性缺乏系统基准；已有工作多为单一攻击或理论估计，缺少跨大量模型的全面比较。
   • 核心观察：作者假设鲁棒性可通过对抗攻击的失真、成功率、迁移性和 attack-agnostic 指标共同刻画，且 18 个分属 7 个架构家族、大小和准确率各异的模型适合分析影响因素。
   • 论文产出：一项覆盖 18 个 ImageNet 模型的鲁棒性基准研究，含 306 对模型的迁移攻击实验、准确率-鲁棒性 Pareto 前沿，以及公开实验代码（作者称已公开，地址略）。
   • 威胁模型：
     • 攻击者目标：生成对抗样本使模型误分类（untargeted）或预测为指定目标类（targeted，含 random target 与 least likely target）。
     • 攻击者知识：主实验为 white-box attack，假设对目标 DNN 有 full access；迁移实验对应 black-box 设定，攻击者无目标模型的显式知识。
     • 攻击者能力：对输入图像施加 l1、l2、l∞ 范数扰动，使用 FGSM、I-FGSM、C&W、EAD-L1 四种攻击算法。
     • 受害系统：18 个预训练 ImageNet 图像分类模型（7 个架构家族）。

   收起这一问

2. 02有哪些相关研究？

   相关工作分对抗攻击、attack-agnostic 鲁棒性估计、黑盒迁移攻击和准确率-鲁棒性关系四组。

   对抗攻击方法

   • FGSM（Goodfellow 等，2015）——单步梯度符号攻击，高效但成功率较低；I-FGSM（Kurakin 等，2017）将其迭代化，作者称可在超过 99% 的情形下欺骗网络。
   • C&W attack（Carlini & Wagner，2017）——把对抗样本生成写成优化问题，作者称其为最强的 l2 攻击之一，可绕过 10 种对抗检测方法。
   • EAD-L1 attack（Chen 等，2018）——用 elastic-net 正则（l1+l2）惩罚失真，作者称其迁移性高、可绕过多种防御。

   Attack-agnostic 鲁棒性估计

   • Szegedy 等（2014）与 Hein & Andriushchenko（2017）——分别通过估计全局与局部 Lipschitz 常数理论分析简单网络的鲁棒性。
   • CLEVER（Weng 等，2018）——用极值理论估计最小对抗失真的下界，本文将其作为 attack-agnostic 指标；另有基于 ReLU 线性近似的鲁棒性下界工作（Weng 等，ICML 2018）。

   黑盒与迁移攻击

   • Liu 等（2017）、Papernot 等（2016）——研究对抗样本迁移性及基于迁移的黑盒攻击；本文的迁移性定义沿用 Liu 等。
   • ZOO（Chen 等，2017）、AutoZOOM（Tu 等，2018）、Cheng 等（2018）——zeroth order optimization 类黑盒攻击，作者引它们说明迁移攻击广泛用于 black-box 设定。

   准确率与鲁棒性关系

   • Stock & Cisse（2017）——在标签语义层面研究"robustness"，得出与本文不同的结论；作者在补充材料 5.5 节专门讨论，认为两者定义不同、结论互补而非矛盾。
   • Tsipras 等（2019）——与本文同期，作者称其在一个具体简单设定上证明准确率-鲁棒性权衡确实存在，为本文结果提供技术解释；Bubeck 等（2018）证明学习鲁棒模型的困难性，作者称与本文发现一致。

   基线与基准：本文是评测研究，无方法基线；评测对象为 18 个 ImageNet 模型（Table 1），数据集为 ImageNet 验证集抽样。

   作者将本文定位为：作者称这是首个对 18 个主流 ImageNet 模型做全面鲁棒性比较的研究，且 306 对模型的迁移性实验规模为当时最大。

   收起这一问

3. 03论文如何解决这个问题？

   用四种白盒攻击加 CLEVER 分数，在统一抽样的 ImageNet 图像上评测 18 个模型并做 306 对迁移实验。

   整体思路：把鲁棒性操作化为"生成对抗样本有多难"，用多种攻击算法和一个 attack-agnostic 指标在相同图像集上度量 18 个模型，再分析失真-准确率关系与跨模型迁移性。

   问题设定与形式化

   • 设原图 x0、对抗图 x，模型 F 输出类别；假定 F(x0)=y0（真实标签），排除原本误分类的图像以避免平凡攻击。
   • Untargeted 攻击要求 x 接近 x0 且 F(x)≠y0；targeted 攻击给定目标类 t（t≠y0），要求 x 接近 x0 且 F(x)=t。

   评测方法（四种攻击 + 一个分数）

   • FGSM：单步攻击，x ← clip[x₀ − ϵ  sgn(∇ J(x₀, t))]，即沿损失梯度符号方向扰动 ε 并裁剪到合法像素范围。
   • I-FGSM：FGSM 迭代 T 次、每步扰动 ε/T；作者指出它可看作 l∞ 球内的 PGD，通常找到 l∞ 失真较小的样本。
   • C&W attack：求解 min_x λ f(x,t) + |x−x₀|₂²（约束 x∈[0,1]^p），其中 f 取 max{max_{i≠t}[Logit(x)_i − Logit(x)_t], −κ}；κ 为置信度，较大的 κ 一般提升迁移性。
   • EAD-L1：在 C&W 目标上加 β‖x−x0‖₁ 的 elastic-net 正则。
   • CLEVER：基于极值理论估计最小对抗失真 l_p 下界，分数越高表示网络可能越鲁棒；它 attack-agnostic，反映网络内在鲁棒性。

   数据与指标

   • 数据：从 ImageNet 验证集随机抽 1,000 张图像，每张做 random target、least likely target 的 targeted 攻击和 untargeted 攻击；CLEVER 因计算开销大只用其中 100 张；补充实验用 327 张被全部 18 个模型正确分类的图像。
   • 四个指标：attack success rate（越高越不鲁棒）；l2 与 l∞ 失真（越高越鲁棒，l2 按总像素数归一化以公平比较不同输入尺寸）；CLEVER 分数（越高越鲁棒）；迁移性——untargeted 用 error rate，targeted 用 top-5 matching rate。
   • 参数选择：用二分搜索为每个模型选 I-FGSM 的 ε 和 C&W 的 λ，以找到最小失真的对抗样本。

   迁移性实验设计

   • 对全部 306 个模型对，用源模型生成的对抗样本攻击目标模型；热力图第 i 行 j 列为源模型 i 的样本迁移到目标模型 j 的成功比例，对角线为源模型自身攻击成功率。
   • 输入尺寸不一致时，从大尺寸到小尺寸做中心裁剪，从小尺寸到大尺寸加白色边框；作者称简单 resize 会明显降低迁移成功率。

   成功判定与拟合

   • 攻击成功按预测标签是否改变（untargeted）或命中目标类（targeted）判定，无 LLM 或人工评审。
   • 对 Pareto 前沿上的模型（AlexNet、VGG 16、VGG 19、ResNet-v2-152、Inception-ResNet-v2、NASNet）做回归，拟合 distortion = a + b·log(classification-error) 的线性关系。

   收起这一问

4. 04论文做了哪些实验？

   18 个模型、1,000 张图像、四种攻击加 CLEVER，主结果是失真随分类误差对数线性下降的 Pareto 前沿。

   实验设置

   • 被测模型：18 个 ImageNet 模型，分属 7 个家族——AlexNet；VGG 16/19；Inception-v1/v2/v3/v4、Inception-ResNet-v2；ResNet-v2-50/101/152；DenseNet-121-k32/169-k32/161-k48；MobileNet-0.25-128/0.50-160/1.0-224；NASNet（规模与准确率见 Table 1，如 AlexNet 60M 参数 top-1 56.9%，NASNet 88.9M 参数 top-1 82.7%）。
   • 数据：ImageNet 验证集随机抽 1,000 张（剔除各模型原本误分类的图）；CLEVER 用其中 100 张；补充实验用 327 张全部被正确分类的图。
   • 攻击：FGSM、I-FGSM、C&W、EAD-L1，均做 targeted（random / least likely target）与 untargeted。
   • 指标：attack success rate、l2/l∞ 失真、l2 CLEVER 分数、迁移性（untargeted error rate、targeted top-5 matching rate）。
   • 判定方式：按预测标签自动判定，无人工或 LLM 评审；论文未报告重复次数。

   主结果

   主结果以散点图和拟合式呈现（Figure 2，random target，攻击成功率接近 100% 时测量）：

   指标（攻击/方法）	Pareto 拟合式（据 Figure 2 图注）
   l∞ 失真（I-FGSM）	[2.9·ln(1−acc)+6.2]×10⁻²
   每像素 l2 失真（C&W）	[1.1·ln(1−acc)+2.1]×10⁻⁵
   l2 CLEVER 分数	[4.6·ln(1−acc)+12.5]×10⁻⁶

   • 作者称三种指标都随分类误差的对数线性变化：以 I-FGSM 为例，分类误差减半预期使 l∞ 失真减少约 0.02，约为 AlexNet 失真的 60%。
   • 作者称 AlexNet 鲁棒性最好而 MobileNet-0.50-160 在所有指标上都更脆弱，说明架构比模型大小更影响鲁棒性；同族模型鲁棒性相近。
   • 作者观察到 DenseNet、ResNet、Inception 家族内更深的模型 l∞ 失真略有改善。

   攻击成功率对比（Figure 1）

   • FGSM：targeted 成功率在所有设置下低于 3%，且增大 ε 反而降低成功率；作者据此称 FGSM 是弱攻击、targeted 攻击需要迭代方法。
   • I-FGSM：Figure 1(c) 显示仅 10 次迭代即可在所有模型上取得很高的 targeted 成功率；C&W 与 EAD-L1 在 κ=0 时对几乎所有模型接近 100%。
   • κ 的例外：作者指出大 κ 下的攻击成功率不能用作鲁棒性度量——MobileNet-0.50-160 在 κ=40 时成功率接近 0，但 Figure 2 显示它是最脆弱的网络之一；作者解释为各网络 logit 输出范围不同，达到固定 logit 间隔 κ 的难度与内在鲁棒性无关。

   迁移性实验（Figures 3–5，306 对）

   • 攻击间排序：untargeted 设定下迁移性排序为 FGSM ≻ I-FGSM ≻ EAD-L1 ≻ C&W；FGSM 增大 ε、I-FGSM 减少迭代、EAD-L1 增大 κ 各自提升迁移性。
   • VGG 的条纹模式：作者称 VGG 16/19 生成的对抗样本在 targeted 和 untargeted 设定、所有攻击方法下迁移性都明显强于其他模型，在热力图上形成"条纹"；作者认为这可能源于 VGG 简单的卷积结构，并视其为发起黑盒迁移攻击的良好起点。
   • 族内迁移：I-FGSM untargeted 设定下，DenseNet、ResNet、VGG 同族不同深度间迁移率接近 100%，跨族则低得多；迁移有时不对称（VGG 16→Inception-v2 高，反向低）。作者称这为逆向推断黑盒模型架构提供了机会。

   其他消融与分析

   • 327 张全部被正确分类图像的子集实验（Figure 6）：趋势与主结果一致，拟合式为 l∞ dist=[4.3·ln(1−acc)+8.5]×10⁻²、l2 dist=[9.0·ln(1−acc)+17.3]×10⁻⁶。
   • Least likely target（Figure 7）：I-FGSM 与 C&W 仍接近 100% 成功率，仍观察到 log-linear 规律。
   • C&W 迁移性（Figure 8）：比 I-FGSM、EAD-L1 差，增大 κ 仅略有改善。
   • I-FGSM 不同 ε（Figures 9、10）：ε 越大迁移性越好，迭代越少迁移性越好。
   • 标签语义检验（Figure 11）：96.6% 的 least likely 目标与真实标签的 WordNet 最短距离大于 5，作者据此认为脆弱性并非来自标签敏感性效应。

   收起这一问

5. 05有什么可以进一步探索的点？

   作者注明研究限于图像分类，并认为结论可迁移到检测、字幕等任务；实验仅覆盖 18 个模型与 ImageNet。

   作者指出的局限与后续方向

   • 作者在 Conclusions 节明确写道本研究聚焦于图像分类任务，并认为其发现可为使用相同预训练分类器做特征提取的其他视觉任务（如目标检测、图像字幕）提供参考——这是作者给出的外推方向而非已验证结论。
   • 作者在 3.3 节称族内深度增加带来 l∞ 鲁棒性小幅提升"可能为设计鲁棒网络提供新思路、进一步改进 Pareto 前沿"，属于作者提出的设想。
   • 作者在 3.4 节称迁移性的族内聚集现象为逆向推断黑盒模型架构"提供了机会"，未在本文中实现。
   • 除上述外，论文未设专门的 Limitations 章节讨论其他局限。

   实验覆盖范围

   • 被测模型为 18 个 ImageNet 预训练模型，分属 7 个架构家族（Table 1），均为 2012–2017 年间的模型。
   • 数据集仅 ImageNet：1,000 张验证集图像用于攻击，100 张用于 CLEVER，327 张用于子集验证实验。
   • 攻击方法覆盖 FGSM、I-FGSM、C&W、EAD-L1 四种，外加 attack-agnostic 的 CLEVER 分数；扰动范数为 l1、l2、l∞。
   • 迁移实验覆盖全部 306 个模型对，含 targeted（top-5 matching rate）与 untargeted（error rate）两种。
   • 论文未报告实验重复次数、拟合的置信区间或统计显著性检验；Pareto 前沿拟合只在前沿上的 6 个模型（AlexNet、VGG 16、VGG 19、ResNet-v2-152、Inception-ResNet-v2、NASNet）上进行。

   收起这一问

6. 06总结一下论文的主要内容

   一项 18 个 ImageNet 模型的鲁棒性基准研究，作者称准确率与鲁棒性存在权衡且架构是关键因素。

   这是一项针对 ImageNet 图像分类模型对抗鲁棒性的大规模基准研究，回答"高准确率是否以牺牲鲁棒性为代价"这一问题。

   • 做法：用 FGSM、I-FGSM、C&W、EAD-L1 四种白盒攻击和 attack-agnostic 的 CLEVER 分数，在统一抽取的 1,000 张 ImageNet 验证图像上评测 18 个模型（7 个架构家族），并对全部 306 对模型做迁移攻击。
   • 线性缩放律：作者称 l∞ 失真（I-FGSM）、每像素 l2 失真（C&W）和 l2 CLEVER 分数都随分类误差的对数线性变化，拟合式分别为 [2.9·ln(1−acc)+6.2]×10⁻²、[1.1·ln(1−acc)+2.1]×10⁻⁵、[4.6·ln(1−acc)+12.5]×10⁻⁶（Figure 2）；按 I-FGSM 的拟合，分类误差减半预期使 l∞ 失真减少约 0.02。
   • 架构与大小：作者称同族模型鲁棒性相近，架构比模型大小更关键——60M 参数的 AlexNet 鲁棒性最好，1.5M 参数的 MobileNet-0.50-160 在所有指标上更脆弱；DenseNet、ResNet、Inception 家族内加深网络对 l∞ 鲁棒性略有改善。
   • 迁移性：untargeted 迁移性排序为 FGSM ≻ I-FGSM ≻ EAD-L1 ≻ C&W；VGG 16/19 的对抗样本对所有其他模型迁移性最强，其余模型的样本大多只能在同族内迁移（同族不同深度间接近 100%）。
   • 例外与校验：作者指出大 κ 下的攻击成功率不能作鲁棒性度量（MobileNet-0.50-160 在 κ=40 时成功率近 0 但实则脆弱）；327 张共同正确分类图像和 least likely target 的补充实验结论一致，96.6% 的 least likely 目标与真实标签 WordNet 距离大于 5。
   • 作者结论：作者认为单纯追求低测试误差会使模型更易受攻击，建议 ImageNet 模型设计者用其给出的准确率-鲁棒性 Pareto 前沿评估新网络；作者称这是 18 个模型上首个全面比较、迁移实验规模为当时最大。

   收起这一问

相关论文