[论文解读] Certification of Semantic Perturbations via Randomized Smoothing.

Marc Fischer, Maximilian Baader+1 more|arXiv (Cornell University)|Feb 27, 2020

Generative Adversarial Networks and Image Synthesis参考文献 22被引用 5

一句话总结

本文提出了一种广义的随机平滑方法，通过将框架扩展至参数化扰动，以认证对抗语义扰动（如音频中的旋转、平移和音量变化）的鲁棒性。在 ImageNet 上的 ResNet-50 模型中，该方法对 28% 的图像实现了高达 ±30° 旋转的可证明鲁棒性，创下几何与语义变换下认证鲁棒性的新 SOTA 水平。

ABSTRACT

We introduce a novel certification method for parametrized perturbations by generalizing randomized smoothing. Using this method, we construct a provable classifier that can establish state-of-the-art robustness against semantic perturbations including geometric transformations (e.g., rotation, translation), for different types of interpolation, and, for the first time, volume changes on audio data. Our experimental results indicate that the method is practically effective: for ResNet-50 on ImageNet, it achieves rotational robustness provable up to $\pm 30^\circ$ for 28% of images.

研究动机与目标

• 解决针对几何变换和音频音量变化等语义扰动缺乏认证鲁棒性方法的问题。
• 将随机平滑扩展至处理参数化扰动，从而在标准对抗噪声之外提供形式化的鲁棒性保证。
• 首次为音频数据中的音量变化提供可证明的认证框架。
• 在 ImageNet 上的旋转和平移扰动下，实现最先进的认证鲁棒性。

提出的方法

• 将随机平滑推广以支持参数化扰动，包括几何变换和插值类型。
• 通过蒙特卡洛采样扰动输入，估计在连续参数空间下预测的鲁棒性。
• 应用集中不等式，推导在扰动下最可能类别置信区间的边界。
• 将平滑框架适配以处理旋转和缩放等变换产生的非独立同分布扰动。
• 引入可微插值策略，以在变换参数之间保持认证过程的平滑性。
• 基于置信区间宽度设置认证预测阈值，以确保鲁棒性保证。

实验结果

研究问题

• RQ1 能否将随机平滑扩展以实现对语义扰动（如旋转和平移）的认证鲁棒性？
• RQ2 是否可以基于平滑认证方法，为音频数据中的音量变化实现可证明的鲁棒性？
• RQ3 在 ImageNet 上，该方法在鲁棒性半径和覆盖范围方面与现有认证鲁棒性方法相比如何？
• RQ4 在新认证框架下，鲁棒性覆盖范围与模型准确率之间的权衡关系如何？

主要发现

• 当使用 ResNet-50 时，该方法在 ImageNet 图像中对 28% 的样本实现了高达 ±30° 旋转的可证明鲁棒性。
• 首次基于平滑方法为音频数据中的音量变化提供了可证明的鲁棒性保证。
• 该框架将随机平滑推广至处理参数化扰动，包括多种插值方法。
• 该方法在 ImageNet 上实现了几何变换认证鲁棒性的最先进水平。