Det kontradiktoriska utbildningsförfarande som föreslagits av Madry m.fl. (2018) är en av de mest effektiva metoderna för att försvara sig mot kontradiktoriska exempel i djupa neurala nätverk (DNN). I vår uppsats kastar vi en del ljus över den kontradiktoriska träningens praktiska och hårdhet genom att visa att effektiviteten (robustnessen på testsetet) av kontradiktorisk träning har en stark korrelation med avståndet mellan en testpunkt och det mångfaldiga av träningsdata som finns inbyggda i nätverket. Testexempel som ligger relativt långt bort från detta grenrör är mer benägna att vara sårbara för kontradiktoriska attacker. Följaktligen är ett kontradiktoriskt träningsbaserat försvar mottagligt för en ny klass av attacker, "blind-spot attack", där indata bilder bor i "blind-spots" (låg densitet regioner) av den empiriska fördelningen av träningsdata men fortfarande på mark-sanningen datagrenrör. För MNIST fann vi att dessa blind-fläckar lätt kan hittas genom att helt enkelt skala och flytta bild pixelvärden. Viktigast av allt, för stora datauppsättningar med högdimensionella och komplexa datagrenrör (CIFAR, ImageNet, etc.) gör förekomsten av blind-fläckar i kontradiktorisk träning att det är svårt att försvara sig på giltiga testexempel på grund av dimensionellitetens förbannelse och bristen på träningsdata. Dessutom finner vi att blind-spots också finns på påvisbara försvar inklusive och (Sinha et al., 2018) eftersom dessa utbildningsbara robusthetscertifikat endast kan praktiskt optimeras på en begränsad uppsättning träningsdata.
Nyligen, Zhange et al. REF fann att motståndare är mer täta tillräckligt långt från de många olika utbildningsuppgifterna.
The Limitations of Adversarial Training and the Blind-Spot Attack
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science', 'Mathematics']}