Djupa neurala nätverk, även om de har visat sig vara en framgångsrik klass av algoritmer för maskininlärning, är kända för att vara extremt instabila för negativa störningar. Att förbättra robustheten i neurala nätverk mot dessa attacker är viktigt, särskilt för säkerhetskritiska tillämpningar. För att försvara sig mot sådana attacker föreslår vi att indatabilden delas upp i flera patcher, att varje patch anges på ett oberoende sätt och att bilden rekonstrueras, utan att något större bildinnehåll förloras. Denna föreslagna försvarsmekanism är icke-differentiable vilket gör det icke-trivial för en motståndare att tillämpa gradient-baserade attacker. Dessutom finjusterar vi inte nätverket med kontradiktoriska exempel, vilket gör det mer robust mot okända attacker. Vi presenterar en grundlig analys av avvägningen mellan noggrannhet och robusthet mot kontradiktoriska attacker. Vi utvärderar vår metod under svart-, grå- och vit-box-inställningar. Den föreslagna metoden överträffar state-of-art med en betydande marginal på ImageNet dataset under grå-box attacker samtidigt som god noggrannhet på rena bilder. Vi etablerar också en stark baslinje för en ny white-box attack.
En liknande idé om att denoisera indata utforskades senare i REF, där författarna delar in i patchar, denoise varje patch, och sedan rekonstruera bilden.
Divide, Denoise, and Defend against Adversarial Attacks
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science']}