面向有效训练与评估的鲁棒模型：相对于 $l_0$ 有界对抗扰动
内容提要
本文研究了多种对抗攻击方法，包括基于 $l_1$ 投影的自适应算法 $l_1$-APGD 和新型 l0 范数攻击 sigma-zero，展示了其在不同数据集上的优越性能。通过对抗性训练和优化技术，提升了模型的鲁棒性，并提供了对抗性攻击的理论分析和实验结果，验证了其有效性。
延伸解读
l0 攻击的稀疏性优势与评估挑战
文章指出，l0 范数攻击旨在最小化扰动像素数量，使对抗样本更稀疏、更不易察觉。sigma-zero 利用 l0 范数的可微近似和自适应投影算子，在 MNIST、CIFAR10 和 ImageNet 上无需繁琐调参即可找到更小 l0 范数的对抗样本，成功率与可扩展性优于其他稀疏攻击。然而，l0 攻击的评估需注意威胁模型差异，例如 l1-AutoAttack 针对 l1-ball 场景，不能直接套用于 l0 场景。
对抗训练防御的泛化与局限
文章涉及通过对抗性训练提升模型鲁棒性，并分析了广义线性模型中对抗训练估计器的渐近行为，揭示了在 ℓ∞ 扰动下极限分布的特性，以及真实参数为 0 时在 0 处有正概率的现象。这提示对抗训练虽能防御特定扰动，但其理论保证依赖于模型假设和扰动范数，实际部署时需结合具体威胁模型评估，不能简单推广到所有攻击类型。
多范数攻击与防御的权衡
文章提到基于 l_p 范数的白盒攻击方法，通过最小化扰动大小改变类别，具有几何直观性，且比针对单一范数的攻击更鲁棒，能缓解梯度掩盖。同时，基于 PGD 融合多种扰动模型的方法在 MNIST 和 CIFAR10 上测试，旨在提高深度学习系统鲁棒性。这表明实际安全评估应覆盖多种范数约束，单一范数的防御可能被其他范数攻击突破。
Q&A
什么是 $l_1$-APGD 算法，它的用途是什么？
$l_1$-APGD 是一种基于 $l_1$ 投影的自适应算法，用于对抗攻击和对抗训练，能够评估对抗容忍度。
sigma-zero 攻击方法的优势是什么？
sigma-zero 在 MNIST、CIFAR10 和 ImageNet 数据集上表现优越，成功率、扰动大小和可扩展性均优于其他稀疏攻击。
如何通过对抗性训练提升模型的鲁棒性？
通过对抗性训练，可以增强模型对对抗攻击的抵抗能力，揭示广义线性模型中对抗性训练的渐近行为。
文章中提到的基于 $l_p$-norms 的攻击方法有什么特点？
这种方法通过最小化扰动大小来改变输入类别，具有几何直观性和更好的鲁棒性，能解决梯度掩盖问题。
对截断分类器的 l0 有界对抗攻击的理论分析结果是什么？
理论分析证明了一个独立于分布的二分类设置的 l0 有界对抗扰动的新型泛化界限。
文章中提到的 PGD 方法有什么改进？
改进型 PGD 方法融合多种扰动模型，以提高深度学习系统的鲁棒性，并在多个数据集上进行了测试。
