Trots stora ansträngningar, djupa neurala nätverk förblir mycket känsliga för små ingångar perturbationer och även för MNIST, en av de vanligaste leksaksdataset i datorseende, finns ingen neural nätverksmodell för vilken kontrariska perturbationer är stora och gör semantisk mening för människor. Vi visar att även den allmänt erkända och överlägset mest framgångsrika försvar av Madry et al. (1) overfits på L ∞ metrisk (den är mycket känsliga för L 2 och L 0 perturbations), (2) klassificerar oigenkännliga bilder med hög säkerhet, (3) utför inte mycket bättre än enkel inmatning binarization och (4) har motstående perturbationer som gör lite vettigt för människor. Dessa resultat tyder på att MNIST långt ifrån är löst i termer av kontradiktorisk robusthet. Vi presenterar en ny robust klassificeringsmodell som utför analys genom syntes med hjälp av inlärda klassvillkorade datadistributioner. Vi härleder gränser på robustheten och går mycket långt för att empiriskt utvärdera vår modell med hjälp av maximalt effektiva kontradiktoriska attacker genom att (a) tillämpa beslutsbaserade, poängbaserade, gradientbaserade och överföringsbaserade attacker för flera olika L p-normer, (b) genom att utforma en ny attack som utnyttjar strukturen på vår försvarade modell och (c) genom att utforma en ny beslutsbaserad attack som syftar till att minimera antalet perturbed pixlar (L 0 ). Resultaten tyder på att vårt tillvägagångssätt ger toppmodern robusthet på MNIST mot L 0, L 2 och L ∞ perturbationer och vi visar att de flesta motsträviga exempel är starkt perturbed mot den perceptuella gränsen mellan den ursprungliga och den kontradiktoriska klassen.
I REF användes en generativ modell inte bara för kontradiktorisk detektion utan också robust klassificering på MNIST, vilket ledde till den senaste robusta klassificeringsnoggrannheten.
Towards the first adversarially robust neural network model on MNIST
{'venue': 'ICLR 2019', 'journal': 'arXiv: Computer Vision and Pattern Recognition', 'mag_field_of_study': ['Computer Science']}