[论文解读] Certified Adversarial Robustness via Randomized Smoothing

Jeremy M. Cohen, Elan Rosenfeld+1 more|arXiv (Cornell University)|Feb 8, 2019

Adversarial Robustness in Machine Learning被引用 620

一句话总结

这篇论文为通过添加高斯噪声对任意基础分类器构建的平滑分类器提供了一个紧致的 l2 鲁棒性界限，从而在 ImageNet 及其他数据集上实现可证明鲁棒的准确率。

ABSTRACT

We show how to turn any classifier that classifies well under Gaussian noise into a new classifier that is certifiably robust to adversarial perturbations under the $\ell_2$ norm. This "randomized smoothing" technique has been proposed recently in the literature, but existing guarantees are loose. We prove a tight robustness guarantee in $\ell_2$ norm for smoothing with Gaussian noise. We use randomized smoothing to obtain an ImageNet classifier with e.g. a certified top-1 accuracy of 49% under adversarial perturbations with $\ell_2$ norm less than 0.5 (=127/255). No certified defense has been shown feasible on ImageNet except for smoothing. On smaller-scale datasets where competing approaches to certified $\ell_2$ robustness are viable, smoothing delivers higher certified accuracies. Our strong empirical results suggest that randomized smoothing is a promising direction for future research into adversarially robust classification. Code and models are available at http://github.com/locuslab/smoothing.

研究动机与目标

• 为大规模分类器的可认证鲁棒性提供动机，超越传统神经网络。
• 引入随机平滑，将任何基分类器转化为可证明鲁棒的平滑分类器。
• 推导高斯噪声平滑的紧致、与维度无关的 l2 鲁棒性界限。
• 在 ImageNet 及较小数据集上使用大型基模型展示高的认证准确性。

提出的方法

• 将平滑分类器 g(x) 定义为在高斯噪声 N(x, sigma^2 I) 下基分类器 f 的最可能标签。
• 证明一个紧致的 l2 鲁棒性保证：R = (sigma/2) (Phi^{-1}(p_A) - Phi^{-1}(p_B))，其中 p_A、p_B 是 f 在有噪输入上的概率。
• 证明在给定 p_A、p_B 的界限时，g 在以 x 为中心、半径为 R 的 l2 球内具有鲁棒性。
• 提供蒙特卡洛过程（Predict 与 Certify）来估计 g(x) 并以高概率证明鲁棒性。
• 通过高斯数据增强训练基分类器 f，确保 f 能一致地对有噪输入进行分类。
• 与以往的认证防御进行比较，并证明可扩展至 ImageNet，基分类器为 ResNet-50。

实验结果

研究问题

• RQ1 随机平滑与高斯噪声是否能为任意基分类器提供可证明的 l2 鲁棒性保证？
• RQ2 在顶类概率 p_A 和替补概率 p_B 下，能够达到的确切认证 l2 半径是多少？
• RQ3 该方法如何扩展到大数据集（如 ImageNet）和大型基网络？
• RQ4 提出的蒙特卡洛估计过程在预测与认证方面在实践中表现如何？

主要发现

半径 r (l2)	最佳 sigma	认证准确率 (%)	标准准确率 (%)
0.5	0.25	49	67
1.0	0.50	37	57
2.0	0.50	19	57
3.0	1.00	12	44

• 定理 1 给出在可验证的 p_A、p_B 边界下的紧致 l2 认证半径 R = (sigma/2)(Phi^{-1}(p_A) - Phi^{-1}(p_B))。
• 实验显示在半径 0.5 (127/255) 时 ImageNet 的认证 top-1 准确率为 49%，在半径 1.0 时为 37%。
• CIFAR-10 与 ImageNet 实验显示与基线相比，使用随机平滑的认证准确度有所提高。
• 平滑让可以使用大、表达性强的基网络，并在其他鲁棒性难以扩展的防御方法面前实现认证鲁棒性。
• 使用平滑的预测（Predict）速度很快但可能会放弃；认证（Certify）提供高概率的鲁棒性保证。
• 该方法为大规模模型提供可证明鲁棒性，包括 ImageNet 分类任务。