Försvar mot kontradiktoriska exempel, såsom kontradiktorisk träning, är vanligtvis anpassade till en enda perturbationstyp (t.ex. liten lě-buller). För andra störningar, dessa försvar erbjuder inga garantier och ibland även öka modellens sårbarhet. Vårt mål är att förstå orsakerna bakom denna robusthet kompromiss, och att träna modeller som samtidigt är robusta till flera perturbation typer. Vi bevisar att en kompromiss i robusthet till olika typer av lp-bundna och rumsliga störningar måste existera i en naturlig och enkel statistisk miljö. Vi bekräftar vår formella analys genom att visa liknande robusta kompromisser på MNIST och CIFAR10. Genom att bygga på nya multiperturbation kontraversariella utbildningsprogram, och en ny effektiv attack för att hitta l1-bundna kontradiktoriska exempel, visar vi att ingen modell tränad mot flera attacker uppnår robusthet konkurrenskraft jämfört med modeller tränade på varje attack individuellt. I synnerhet upptäcker vi en perniciös gradient-maskning fenomen på MNIST, som orsakar kontradiktorisk utbildning med första ordningen l∞, l1 och l2 motståndare att uppnå endast 50% noggrannhet. Våra resultat ifrågasätter genomförbarheten och den beräkningsmässiga skalbarheten av att utöka den kontradiktoriska robustheten, och den kontradiktoriska utbildningen, till flera perturberingstyper.
Detta problem undersöks vidare i REF, där författaren visade att det finns en kompromiss i robusthet till olika typer av attacker i en naturlig och enkel statistisk inställning.
Adversarial Training and Robustness for Multiple Perturbations
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science', 'Mathematics']}