随机平滑实现可认证的对抗鲁棒性

1. 01这篇论文试图解决什么问题？

   为任意分类器提供可扩展到 ImageNet 的 ℓ2 认证鲁棒性，并把随机平滑的认证半径证明为紧。

   核心问题：如何构造在 ℓ2 范数对抗扰动下可认证鲁棒、且能扩展到 ImageNet 规模网络的分类器。

   • 问题场景：现代图像分类器在 i.i.d. 测试集上准确率高，但对人眼不可察觉的小对抗扰动不鲁棒；作者指出许多启发式防御随后被更强的攻击者攻破（Carlini & Wagner, 2017; Athalye et al., 2018; Uesato et al., 2018）。
   • 现有方法的不足：作者称，已有的神经网络认证方法（精确或保守）都难以扩展到足以解决 ImageNet 的大而高表达力的网络，且大多假设特定架构或需要大量定制。
   • 核心观察：Lecuyer et al. (2019) 与 Li et al. (2018) 提出的随机平滑可把任意基分类器变成 ℓ2 可认证的平滑分类器，但两者的保证是松的；作者证明高斯噪声平滑的 ℓ2 保证可以是紧的，并认为其他噪声分布可能诱导对其他扰动集合（如一般 ℓp 球）的鲁棒性。
   • 论文的贡献：证明紧的 ℓ2 认证半径公式（Theorem 1、2），给出高概率成功的 Monte Carlo 预测与认证算法，并在 ImageNet、CIFAR-10、SVHN 上实验。
   • 威胁模型：
     • 攻击者目标：对输入 x 加扰动 δ 使平滑分类器 g 的预测改变。
     • 扰动约束：ℓ2 范数有界，认证半径 R 内保证预测不变。
     • 防御方设定：任意基分类器 f（确定或随机）经高斯噪声 N(0, σ²I) 平滑得到 g；对 f 的架构不作假设。
     • 受害系统：图像分类器（ImageNet、CIFAR-10、SVHN）；保证以 1−α 的高概率成立，非确定性保证。

   收起这一问

2. 02有哪些相关研究？

   相关工作分经验防御、认证防御、噪声相关研究和随机平滑四类；本文与 Wong et al. (2018) 等三个认证基线对比。

   经验防御

   • 对抗训练（Goodfellow et al., 2015; Kurakin et al., 2017; Madry et al., 2018）——训练时加入 PGD 等攻击生成的对抗样本；论文指出其无法判断预测是否真正鲁棒，且许多启发式防御后来被更强攻击者攻破。

   认证防御

   • 精确（complete）方法——基于 SMT 或混合整数规划（Katz et al., 2017; Tjeng et al., 2019 等）；论文指出它们无法扩展到超过约 100,000 激活的中等规模网络。
   • 保守（sound but incomplete）方法——包括全局/局部 Lipschitz 界（Gouk et al., 2018; Tsuzuku et al., 2018; Hein & Andriushchenko, 2017）、凸松弛与对偶（Wong & Kolter, 2018; Raghunathan et al., 2018a; Dvijotham et al., 2018b）和逐层抽象解释（Mirman et al., 2018; Gehr et al., 2018; Weng et al., 2018a; Zhang et al., 2018）；论文指出这些方法未在 ImageNet 规模的网络上被证明可行，且多假设特定架构。

   涉及噪声的相关工作

   • 用高斯噪声鲁棒性作为对抗鲁棒性的代理（Weng et al., 2018b; Ford et al., 2019）、高斯数据增强补充对抗训练（Zantedeschi et al., 2017; Kannan et al., 2018）、SmoothGrad（Smilkov et al., 2017）等；论文指出这些工作假设随机噪声与对抗鲁棒性之间的关系，而随机平滑是用噪声鲁棒性构造新的对抗鲁棒分类器。

   随机平滑

   • Liu et al. (2018)、Cao & Gong (2017)——提出类似技术作为启发式防御，未给出保证。
   • Lecuyer et al. (2019)——用差分隐私不等式证明高斯/拉普拉斯噪声的 ℓ2/ℓ1 保证，并训练了首个 ImageNet 认证鲁棒分类器。
   • Li et al. (2018)——用信息论工具证明更强的高斯 ℓ2 保证；论文指出这两种保证都是松的，本文证明的是紧保证。

   对比基线与基准：基线为 Wong et al. (2018)（对偶方法，CIFAR-10）、Tsuzuku et al. (2018)（Lipschitz 方法，SVHN）、Zhang et al. (2018)（CIFAR-10），均用作者发布的预训练网络对比。

   作者将本文定位为：在 Lecuyer et al. 与 Li et al. 的框架上给出首个紧的 ℓ2 保证，使随机平滑在 ImageNet 上可行、在小数据集上认证准确率高于竞争方法。

   收起这一问

3. 03论文如何解决这个问题？

   用高斯噪声平滑任意基分类器，证明紧的 ℓ2 认证半径，并用 Monte Carlo 算法高概率地预测和认证。

   整体思路：把任意基分类器 f 在输入上加各向同性高斯噪声后的众数预测作为平滑分类器（randomized smoothing） g，证明其 ℓ2 认证半径的紧表达式，再给出以任意高概率成功的 Monte Carlo 预测与认证算法。

   问题设定与平滑分类器

   • 定义：g(x) = argmax_{c∈ Y} P(f(x+ε)=c)，其中 ε ~ N(0, σ²I)；即 g 返回 f 对 x 的高斯扰动最可能的预测类别。
   • 超参数 σ：控制鲁棒性/准确率权衡，不随输入 x 变化；argmax 不唯一时 g 的行为未定义。
   • 对 f 无假设：f 可以是任意确定或随机函数，这是该方法的关键性质。

   紧的鲁棒性保证

   • Theorem 1：若 P(f(x+ε)=cA) ≥ pA ≥ pB ≥ max 其他类概率，则对所有 ||δ||₂ < R 有 g(x+δ)=cA，其中 R = σ/2(Φ⁻¹(p_A) − Φ⁻¹(p_B))，Φ⁻¹ 为标准高斯 CDF 的逆；pA、pB 可用下界/上界替代。
   • Theorem 2（紧性）：在 pA+pB ≤ 1 下，对任何 ||δ||₂ > R，存在与 (pA, pB) 一致的基分类器使 g(x+δ) ≠ cA；作者据此称高斯平滑自然诱导的认证集合恰好是一个 ℓ2 球。
   • 证明思路：二分类情形下用类似 Neyman-Pearson 引理的论证，最坏情况基分类器是决策边界垂直于 δ 的线性分类器；完整证明在附录 A。
   • 线性基分类器：附录 B 证明 f 为二分类线性分类器时 g 与 f 相同，且 Theorem 1 认证的半径等于真实鲁棒半径 |wᵀx+b|/||w||。

   Monte Carlo 算法

   • PREDICT：抽 n 个噪声样本过 f，若计数最多类别相对第二多的双侧二项检验 p 值 ≤ α 则返回该类别，否则弃权；Proposition 1 保证以至少 1−α 概率要么弃权要么返回 g(x)。
   • CERTIFY：先用 n0 个样本猜 top 类 ĉA，再用 n 个样本经 Clopper-Pearson 区间估计下界 pA，取 pB = 1−pA；若 pA > 1/2 返回 ĉA 与半径 σΦ⁻¹(pA)，否则弃权；Proposition 2 保证以至少 1−α 概率认证成立。
   • 样本复杂度：作者指出认证大半径需要大量样本——即使 f 处处预测正确，以 99.9% 置信认证半径 4σ 也需约 10⁵ 个样本（Figure 5 右）。

   基分类器训练

   • 高斯数据增强：跟随 Lecuyer et al. (2019)，在方差 σ² 的高斯数据增强下用交叉熵训练 f；作者的理由是高维下自然图像与加噪图像分布几乎不重叠，标准训练的 f 没见过噪声图像。
   • 作者认为该训练方案可能还有改进空间，例如直接最大化平滑分类器在某个可调半径的认证准确率。

   收起这一问

4. 04论文做了哪些实验？

   在 ImageNet、CIFAR-10、SVHN 上认证平滑分类器，ImageNet 半径 0.5 认证准确率 49%，并优于三个认证基线。

   实验设置

   • 被测模型：ImageNet 上基分类器为 ResNet-50；CIFAR-10 上为 110 层残差网络；与基线对比时用 20 层残差网络（附录 H、J）。
   • 数据集：ImageNet（认证测试集 500 个子采样样本）、CIFAR-10（认证完整测试集）、SVHN（完整测试集，附录 H）。
   • 基线：Wong et al. (2018)（CIFAR-10，三个 ε 设置的小 resnet）、Tsuzuku et al. (2018)（SVHN）、Zhang et al. (2018)（CIFAR-10，7 层 MLP），均用作者发布的网络。
   • 指标：approximate certified test accuracy——CERTIFY 正确预测且认证半径 R ≥ r 的测试样本比例；附录 H.2 称它与高概率下界差别可忽略。
   • 认证参数：默认 α = 0.001（认证错误概率至多 0.1%），n0 = 100、n = 100,000；CIFAR-10 每样本认证约 15 秒，ImageNet 约 110 秒（RTX 2080 Ti）。
   • 训练：基分类器用与平滑相同 σ 的高斯数据增强训练。

   主结果

   据 Table 1（ImageNet，500 样本）与 Table 3（CIFAR-10，完整测试集）的近似认证准确率：

   表格较宽，可左右滑动

   数据集	σ	r=0	r=0.5	r=1.0	r=2.0	r=3.0
   ImageNet	0.25	0.67	0.49	0.00	0.00	0.00
   ImageNet	0.50	0.57	0.46	0.37	0.00	0.00
   ImageNet	1.00	0.44	0.38	0.33	0.19	0.12
   CIFAR-10	0.25	0.77	0.42	0.00	—	—
   CIFAR-10	0.50	0.66	0.43	0.22	—	—
   CIFAR-10	1.00	0.47	0.34	0.22	—	—

   （CIFAR-10 的列为 r ∈ {0, 0.25, 0.5, 0.75, 1.0, 1.25, 1.5}，此处取部分列；完整数据见 Table 3。）

   • 作者称 σ 控制鲁棒性/准确率权衡：σ 低时小半径认证准确率高但无法认证大半径，σ 高时相反（Figure 6）。
   • 作者称平滑相对未防御架构的经验鲁棒准确率上界（DeepFool ℓ2 攻击，图中虚线）有提升（Figure 6）。
   • 作者称这一权衡呼应 Tsipras et al. (2019) 关于鲁棒准确率与标准准确率此消彼长的发现。

   与认证基线的对比

   • 测了什么：Figure 7 在 CIFAR-10 上对比 Wong et al. (2018) 的小 resnet（三个 ε 设置）与平滑分类器（同一小 resnet 作基分类器、以及 110 层 resnet 作基分类器）。
   • 结果：作者称 110 层 resnet 的平滑分类器在所有半径上高于基线的所有超参数设置；同一小 resnet 的平滑分类器在除最小半径外的所有半径上高于 Wong et al. (2018)。
   • 作者解读：作者将后者归因于 Wong et al. (2018) 训练的网络"通常过度正则化到许多滤波器/权重恒为零"（引自该文），而平滑的基分类器是完全表达力的网络；附录 H.1 的 Figure 13 显示 20 层 resnet 的平滑分类器在 SVHN 上高于 Tsuzuku et al. (2018)、在 CIFAR-10 上高于 Zhang et al. (2018)（注意基分类器比对比方法的网络更大）。

   预测成本与弃权率

   • 测了什么：ImageNet（σ = 0.25，α = 0.001）上 PREDICT 随 n 变化的表现（Table 4）。
   • 结果：n = 100 时 top-1 准确率 65%、弃权率 12%、每预测 0.15 秒；n = 1000 时准确率 68%、弃权 4%；n = 10,000 时准确率 69%、弃权 1%。
   • 作者解读：作者称 n = 100 时的弃权大多发生在 g 本身预测错误的样本上，因此实际中 n 取 100 损失的准确率很少。

   其他消融与分析

   • 与先前保证对比：Figure 8（左）显示同一 σ = 0.25 下本文 Theorem 1 的认证准确率高于用 Lecuyer et al. (2019) 和 Li et al. (2018) 的保证所得到的。
   • 样本数 n：Figure 8（中）投影 n 从 1,000 到 10,000,000 时认证准确率的变化（假设类别比例不变）。
   • 置信参数 α：Figure 8（右）显示认证准确率对 α 不敏感。
   • 训练噪声：Figure 15 显示基分类器用不同于平滑 σ 的噪声训练时认证准确率更低，且训练噪声小于 σ 比大于 σ 更差。
   • 界的经验紧性：对 ImageNet 平滑分类器（σ = 0.25）做 PGD 式攻击，在 1.5R 内 17% 的样本找到对抗样本、2R 内 53%（α = 0.01，附录 J.3）；作者注明该攻击目标并非真正最优的攻击目标，有效攻击超出本文范围。

   收起这一问

5. 05有什么可以进一步探索的点？

   作者指出样本复杂度、PREDICT 弃权攻击和训练方案可改进；实验只覆盖三个图像分类数据集。

   作者指出的局限与后续方向

   • 其他噪声分布：作者认为其他尚未知的噪声分布可能诱导对一般 ℓp 球等其他扰动集合的鲁棒性（§1、§5）。
   • 训练方案：作者认为高斯数据增强训练可能还有改进空间，例如训练基分类器直接最大化平滑分类器在可调半径 r 的认证准确率（§3.3）。
   • PREDICT 的弃权攻击：作者指出即使 g 在半径 R 鲁棒，攻击者可构造扰动使 PREDICT 高比例弃权；若需防范，可证明 Theorem 1 的变体以认证 top 类概率带间隔的半径（§3.2.1）。
   • 有效攻击未研究：附录 J.3 注明所用 PGD 攻击优化的目标并非真正的攻击目标，针对随机平滑的有效对抗攻击超出本文范围。
   • 认证成本：作者指出认证大半径需要大量 Monte Carlo 样本（半径 4σ、99.9% 置信约需 10⁵ 样本），认证远比预测昂贵（§3.2.2、§4）。

   实验覆盖范围

   • 被测架构为 ResNet-50（ImageNet）、110 层残差网络（CIFAR-10）、20 层残差网络（基线对比），均为卷积图像分类网络（§4、附录 J）。
   • 数据集为 ImageNet（认证 500 个测试子采样）、CIFAR-10（完整测试集）、SVHN（完整测试集，仅附录 H.1 对比 Tsuzuku et al.）。
   • 扰动模型只覆盖 ℓ2 范数有界扰动；保证为高概率成立（α = 0.001），非确定性保证。
   • 基线对比覆盖 Wong et al. (2018)、Tsuzuku et al. (2018)、Zhang et al. (2018) 三个认证方法，均用作者发布的预训练网络（附录 J.1）。
   • 论文未报告认证实验的重复次数；经验攻击仅在 ImageNet σ = 0.25 一个设置下进行（§4）。

   收起这一问

6. 06总结一下论文的主要内容

   随机平滑的紧 ℓ2 认证：把任意分类器包成可认证鲁棒的平滑分类器，并扩展到 ImageNet。

   一篇关于认证对抗鲁棒性的防御论文：把任意基分类器在高斯噪声下的众数预测定义为平滑分类器 g，证明其 ℓ2 认证半径 R = σ/2·(Φ⁻¹(pA)−Φ⁻¹(pB)) 是紧的，并给出高概率成功的 Monte Carlo 预测（PREDICT）与认证（CERTIFY）算法。

   • 要解决的问题：已有神经网络认证方法无法扩展到 ImageNet 规模；此前 Lecuyer et al. (2019) 与 Li et al. (2018) 的随机平滑保证是松的。
   • 方法要点：对基分类器架构不作任何假设；σ 控制鲁棒性/准确率权衡；基分类器用同 σ 的高斯数据增强训练；认证默认 α = 0.001、n = 100,000。
   • ImageNet 结果（ResNet-50，500 测试样本，Table 1）：σ = 0.25 时半径 0.5 的认证准确率 49%、标准准确率 67%；σ = 0.50 时半径 1.0 为 37%；σ = 1.00 时半径 3.0 为 12%。
   • CIFAR-10 结果（110 层 resnet，Table 3）：σ = 0.25 时半径 0.5 认证准确率 0.42；Figure 7 显示同架构下平滑在除最小半径外的所有半径上高于 Wong et al. (2018)，大网络下所有半径都更高。
   • 预测成本：ImageNet σ = 0.25 下 PREDICT 用 n = 100 只需 0.15 秒，top-1 准确率 65%、弃权率 12%（Table 4）。
   • 作者结论：作者称随机平滑是目前唯一被证明在全分辨率 ImageNet 上可行的认证防御，把对抗鲁棒分类这一未解问题归约为监督学习这一相对已解的问题，是有前景的研究方向；作者同时指出认证大半径样本需求高、PREDICT 可被迫使弃权、训练方案可改进。

   收起这一问

相关论文