[论文解读] Random Smoothing Might be Unable to Certify $\ell_\infty$ Robustness for High-Dimensional Images

Avrim Blum, Travis Dick+2 more|arXiv (Cornell University)|Feb 10, 2020

Adversarial Robustness in Machine Learning参考文献 26被引用 15

一句话总结

该论文表明，对于高维图像，在任意噪声分布下，随机平滑在 $\infty$-范数威胁模型下都无法实现非平凡的 $\varepsilon$-鲁棒性，因为每个像素所需的噪声方差随维度 $d$ 增长，其增长速率为 $\Omega(d^{1-2/p}\epsilon^2(1-\delta)/\delta^2)$（当 $p>2$ 时）。这意味着当 $p=\infty$ 时，噪声会完全掩盖信号，导致平滑分类器在实践中变得平凡且无效。

ABSTRACT

We show a hardness result for random smoothing to achieve certified adversarial robustness against attacks in the $\ell_p$ ball of radius $ε$ when $p>2$. Although random smoothing has been well understood for the $\ell_2$ case using the Gaussian distribution, much remains unknown concerning the existence of a noise distribution that works for the case of $p>2$. This has been posed as an open problem by Cohen et al. (2019) and includes many significant paradigms such as the $\ell_\infty$ threat model. In this work, we show that any noise distribution $\mathcal{D}$ over $\mathbb{R}^d$ that provides $\ell_p$ robustness for all base classifiers with $p>2$ must satisfy $\mathbb{E}η_i^2=Ω(d^{1-2/p}ε^2(1-δ)/δ^2)$ for 99% of the features (pixels) of vector $η\sim\mathcal{D}$, where $ε$ is the robust radius and $δ$ is the score gap between the highest-scored class and the runner-up. Therefore, for high-dimensional images with pixel values bounded in $[0,255]$, the required noise will eventually dominate the useful information in the images, leading to trivial smoothed classifiers.

研究动机与目标

• 研究随机平滑是否能在 $p>2$ 时实现 $\ell_p$-范数攻击下的认证鲁棒性，特别是 $\ell_\infty$ 情况。
• 识别在像素值被限制在 $[0,255]$ 的高维设置下，随机平滑的根本局限性。
• 推导出当 $p>2$ 时实现 $\ell_p$-鲁棒性认证所需的噪声方差下限，揭示在 $p=2$ 处存在相变现象。
• 解决 Cohen 等人（2019）提出的关于 $p>2$ 时是否存在可用于 $\ell_p$ 鲁棒性的噪声分布这一开放问题。

提出的方法

• 推导出平滑分布 $\mathcal{D}$ 中噪声分量 $\eta_i$ 的二阶矩 $\mathbb{E}[\eta_i^2]$ 的下限，以保证 $\ell_p$-鲁棒性（$p>2$）
• 利用 $\|v\|_p \leq \epsilon$ 时 $\mathcal{D}$ 与 $\mathcal{D}+v$ 之间的总变差距离来量化鲁棒性保证
• 应用马尔可夫不等式和总变差的性质，以限制沿扰动方向的噪声投影的期望绝对值
• 构造 $b > d/2$ 个向量 $v_i$，满足 $\|v_i\|_p = \epsilon$ 且 $\|v_i\|_2 = \epsilon \cdot b^{1/2 - 1/p}$，以利用高维空间中的方向敏感性
• 通过正交投影和 $\ell_1$-$\ell_2$ 范数等价性，将噪声的期望 $\ell_2$-范数与 $\mathbb{E}[|v_i^T \eta|/\|v_i\|_2]$ 的下限联系起来
• 建立 $\mathbb{E}[\|\eta\|_2] \geq \frac{\epsilon d^{1-1/p}}{24} \cdot \frac{1-\delta}{\delta}$，从而得出 $\mathbb{E}[\eta_i^2] = \Omega(d^{1-2/p}\epsilon^2(1-\delta)/\delta^2)$，且该结果在 99% 的特征上成立

实验结果

研究问题

• RQ1 对于任意噪声分布，随机平滑能否提供 $p>2$ 时的认证 $\ell_p$-鲁棒性？
• RQ2 在 $p>2$ 的 $\ell_p$-范数扰动下，实现 $\varepsilon$-鲁棒性所需的最小像素噪声方差是多少？
• RQ3 所需的噪声是否随维度 $d$ 增长，导致平滑分类器在高维图像中不切实际？
• RQ4 在高维设置下，是否存在实现非平凡 $\ell_\infty$-鲁棒性的根本障碍，使得随机平滑无法实现？
• RQ5 在 $p=2$ 处的相变是否意味着 $\ell_2$-平滑是所有 $\ell_p$-范数中唯一可行的？

主要发现

• 当 $p>2$ 时，每个像素所需的噪声方差增长速率为 $\Omega(d^{1-2/p}\epsilon^2(1-\delta)/\delta^2)$，且随维度 $d$ 增大而增加。
• 当 $p=\infty$ 时，每个像素的噪声方差增长速率为 $\Omega(d^{1-2/\infty}\epsilon^2(1-\delta)/\delta^2) = \Omega(d\epsilon^2(1-\delta)/\delta^2)$，在高维图像中会完全掩盖信号。
• $\mathbb{E}[\|\eta\|_2]$ 的下限为 $\frac{\epsilon d^{1-1/p}}{24} \cdot \frac{1-\delta}{\delta}$，表明当 $p>2$ 时噪声幅度随 $d$ 增大而增长。
• 该结果意味着，对于 $\ell_\infty$ 鲁棒性，随机平滑在实践中变得无效，因为噪声会完全掩盖输入特征。
• 在 $p=2$ 处的相变意味着，虽然 $\ell_2$-平滑可以使用恒定的噪声方差，但 $\ell_p$-平滑在 $p>2$ 时需要增长的噪声，因此不适合高维数据。
• 本文通过证明不存在任何噪声分布能在高维图像设置下通过随机平滑实现非平凡的 $\ell_\infty$ 鲁棒性，解决了一个开放问题。