Standarda kontradiktoriska attacker förändrar den förutsagda klassetiketten för en bild genom att lägga till speciellt skräddarsydda små perturbationer till sina bildpunkter. Däremot är en universell perturbation en uppdatering som kan läggas till en bild i en bred klass av bilder, samtidigt som den förutsagda klassetiketten ändras. Vi studerar den effektiva generationen av universella motgångar, och även effektiva metoder för att härda nätverk till dessa attacker. Vi föreslår en enkel optimering-baserad universal attack som minskar topp-1 noggrannheten hos olika nätverksarkitekturer på ImageNet till mindre än 20%, samtidigt som du lär dig den universella perturbation 13× snabbare än standardmetoden. För att försvara sig mot dessa perturbationer föreslår vi universell och kontradiktorisk träning, som modellerar problemet med robust klassificeringsgenerering som ett min-max-spel med två spelare. Denna metod är mycket snabbare och mer skalbar än konventionell kontrarioral träning med en stark motståndare (PGD), och ändå ger modeller som är extremt motståndskraftiga mot universella attacker, och jämförbara med standard (per-intance) svarta box attacker. Vi upptäcker också en ganska fascinerande sidoeffekt av universell kontrarioral träning: attacker byggda för universellt robusta modeller överför bättre till andra (svarta box) modeller än de byggda med konventionell kontrarioral träning.
Shafahi m.fl. REF har också en liknande observation av de universala kontradiktoriskt utbildade modellerna.
Universal Adversarial Training
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science']}