[论文解读] Certified Adversarial Defenses Meet Out-of-Distribution Corruptions: Benchmarking Robustness and Simple Baselines

Jiachen Sun, Akshay Mehra+5 more|arXiv (Cornell University)|Dec 1, 2021

Adversarial Robustness in Machine Learning参考文献 56被引用 5

一句话总结

本文识别出基于随机平滑的认证对抗防御中一个关键漏洞：其在分布外（OOD）噪声，尤其是低频噪声（如薄雾和霜冻）下表现出严重的性能下降。为解决此问题，作者提出FourierMix——一种频谱增强方法，通过提升训练过程中的频谱覆盖范围，结合分层一致性正则化器（HCR），显著增强了整个频谱范围内的认证鲁棒性，在OOD基准测试中相比SOTA基线模型最高提升16%。

ABSTRACT

Certified robustness guarantee gauges a model's robustness to test-time attacks and can assess the model's readiness for deployment in the real world. In this work, we critically examine how the adversarial robustness guarantees from randomized smoothing-based certification methods change when state-of-the-art certifiably robust models encounter out-of-distribution (OOD) data. Our analysis demonstrates a previously unknown vulnerability of these models to low-frequency OOD data such as weather-related corruptions, rendering these models unfit for deployment in the wild. To alleviate this issue, we propose a novel data augmentation scheme, FourierMix, that produces augmentations to improve the spectral coverage of the training data. Furthermore, we propose a new regularizer that encourages consistent predictions on noise perturbations of the augmented data to improve the quality of the smoothed models. We find that FourierMix augmentations help eliminate the spectral bias of certifiably robust models enabling them to achieve significantly better robustness guarantees on a range of OOD benchmarks. Our evaluation also uncovers the inability of current OOD benchmarks at highlighting the spectral biases of the models. To this end, we propose a comprehensive benchmarking suite that contains corruptions from different regions in the spectral domain. Evaluation of models trained with popular augmentation methods on the proposed suite highlights their spectral biases and establishes the superiority of FourierMix trained models at achieving better-certified robustness guarantees under OOD shifts over the entire frequency spectrum.

研究动机与目标

• 研究基于随机平滑的认证对抗防御在分布外（OOD）分布偏移下的鲁棒性，特别是针对薄雾和霜冻等低频噪声。
• 揭示当前最先进的可认证鲁棒模型对OOD数据极为脆弱，严重削弱其在真实场景中的可部署性。
• 开发一种新型数据增强方法FourierMix，通过提升训练数据的频谱多样性，缓解特定频率的脆弱性。
• 引入一种分层一致性正则化器（HCR），提升模型在噪声扰动与基于傅里叶的增强之间预测的一致性。
• 构建一个综合性基准CIFAR-10/100-F，用于评估并揭示频谱域中OOD鲁棒性的频谱偏差。

提出的方法

• FourierMix通过在傅里叶域中随机扰动图像的幅度和相位，随后应用仿射变换，生成具有频谱多样性的增强样本，同时保持语义一致性。
• 分层一致性正则化器（HCR）强制同一输入在多种噪声扰动与FourierMix增强下的预测保持一致，从而提升平滑分类器的鲁棒性。
• 该方法采用随机平滑训练平滑分类器，其中认证半径由在随机噪声下预测结果的多数投票得出，通过FourierMix与HCR实现更优的泛化性能。
• 通过使用由参数α和fc控制的幂律分布，对图像施加特定频段的噪声，构建新基准CIFAR-10/100-F，实现对不同频段区域的评估。
• 采用傅里叶敏感性分析评估模型在频域中的鲁棒性，揭示频谱偏差，并测量不同频带上的性能表现。
• 该框架在多个OOD基准（包括CIFAR-10/100-F）上评估模型，比较不同增强方法在频谱鲁棒性与认证半径性能上的差异。

实验结果

研究问题

• RQ1 基于随机平滑的最先进可认证鲁棒模型在分布外（OOD）噪声下，特别是薄雾和霜冻等低频噪声下，表现如何？
• RQ2 现有数据增强方法在多大程度上引入了频谱偏差，从而损害了平滑分类器在OOD数据上的鲁棒性？
• RQ3 一种能增强频谱覆盖范围的新颖数据增强方案，是否能提升整个频谱范围内认证鲁棒性的保证？
• RQ4 一种鼓励在噪声与基于傅里叶的增强之间预测一致性的分层一致性正则化器（HCR），是否能提升平滑分类器的质量？
• RQ5 一种具有频率可控噪声的新型基准，能否有效暴露并量化认证模型在OOD鲁棒性中的频谱偏差？

主要发现

• 使用最先进方法训练的认证鲁棒模型在低频OOD噪声（如薄雾和霜冻）下性能下降达35%–75%，导致其认证鲁棒性保证在真实场景中失效。
• 使用AutoAugment和AugMix训练的模型表现出显著的频谱偏差，在高频噪声下表现差；而高斯增强在CIFAR-100-F上表现不佳。
• 使用FourierMix + HCR训练的模型在CIFAR-10-F与CIFAR-100-F上分别相较AugMix+HCR平均提升11.8%与16.0%，覆盖所有频段。
• 所提出的CIFAR-10/100-F基准有效揭示了现有模型与增强方法中的频谱偏差，表明当前OOD基准不足以实现全面评估。
• 傅里叶敏感性分析证实，使用FourierMix与HCR训练的模型在频谱范围内表现出更均匀的鲁棒性，显著优于基线模型。
• FourierMix与HCR的结合在多个OOD基准上均带来一致的性能提升，表明其泛化能力超越特定数据集。