加速平滑：随机平滑的可扩展方法
内容提要
随机平滑通过添加噪声提升分类器对抗扰动的鲁棒性，并提供可证明的认证保证。研究涵盖改进训练与后处理方法、增量认证、低维投影、各向异性平滑及双重采样框架，以缓解维度诅咒、降低计算成本并扩大认证半径，在CIFAR-10、SVHN和ImageNet上验证了有效性。
延伸解读
随机平滑的认证保证与攻击风险
随机平滑通过添加噪声为分类器提供可证明的鲁棒性认证，但文章指出理论认证与实践防护存在差异。针对随机平滑的攻击会导致认证鲁棒性下降和分类器准确度降低，这表明认证保证并非绝对安全，实际部署时需考虑潜在攻击面。
提升认证效率与扩展性的方法
为降低计算成本，文章介绍了增量鲁棒性认证（IRS）和双重采样框架（DSRS）。IRS通过复用原始光滑模型的认证保证，显著减少新模型认证的计算开销；DSRS则克服高维数据下的维度诅咒，能证明更大的鲁棒半径。这些方法提升了随机平滑的可扩展性。
应对维度诅咒与各向异性平滑
随机平滑在高维空间中受维度诅咒影响，认证半径随维度增加而缩小。文章提到低维投影空间中的随机平滑能表征高维认证区域，并在CIFAR-10和SVHN上验证了其体积优势。此外，基于像素噪声分布和卷积神经网络生成器的各向异性平滑方法，在保证可证明鲁棒性的同时性能优于现有方法。
实际应用中的权衡与验证
文章分析了噪声训练基分类器的风险与收益，揭示了在特定分布下才能获得收益，这对实际应用有直接影响。在ImageNet上，随机平滑分类器在扰动范围小于0.5时达到49%的认证准确率，优于其他方法。这些结果展示了随机平滑在真实数据集上的有效性和局限性。
Q&A
随机平滑的基本原理是什么？
随机平滑通过向分类器输入添加噪声，使分类器对对抗扰动具有可证明的鲁棒性，并提供认证保证。
随机平滑存在哪些主要挑战？
主要挑战包括维度诅咒（随着p增加，平滑效果受高维影响）、计算成本高、认证半径有限，以及理论认证与实践保护黑盒攻击的设置存在差异。
有哪些方法可以提升随机平滑的可扩展性和效率？
改进方法包括：增量鲁棒性认证（IRS）通过重用认证保证降低计算成本；低维投影空间执行随机平滑以表征认证区域；双重采样框架（DSRS）克服维度诅咒；各向异性平滑利用像素噪声分布和CNN生成器。
随机平滑在哪些数据集上验证了有效性？
在CIFAR-10、SVHN和ImageNet上进行了实验验证。
双重采样随机平滑框架（DSRS）有什么优势？
DSRS可以克服高维度数据集下现有随机平滑算法的维度诅咒，并在不同情况下比现有基准证明更大的鲁棒半径。
低维投影随机平滑方法的效果如何？
该方法能表征高维输入空间中平滑复合分类器的认证区域，并证明其体积的可行下界。在CIFAR-10和SVHN上实验表明，认证区域体积在数量级上优于现有技术，并能捕捉与数据流形法线相交的扰动。
