软件学报

作者：石育澄，韩亚洪

单位：石育澄，天津大学 智能与计算学部, 天津 300350;天津市机器学习重点实验室 (天津大学), 天津 30035011,韩亚洪，天津大学 智能与计算学部, 天津 300350;天津市机器学习重点实验室 (天津大学), 天津 30035002

关键词：对抗机器学习;对抗鲁棒性;对抗样本;对抗攻击;对抗扰动

基金：国家自然科学基金(62376186, 61932009)

对抗鲁棒性评估需要结合对抗样本攻击能力与噪声幅度形成对深度学习模型噪声抵御能力的完整、准确的评测. 然而, 对抗鲁棒性评估评价指标缺乏完备性是现有对抗攻防方法的一个关键问题. 现有的对抗鲁棒性评估相关工作缺少对评价指标体系的分析与比较, 忽视了攻击成功率和不同范数对鲁棒性评估指标体系完备性的影响以及对攻防方法设计的限制. 从范数选择和度量指标两个维度展开对抗鲁棒性评价指标体系的讨论, 分别从评价指标定义域的包含关系、鲁棒性描述粒度以及鲁棒性评估序关系3个方面对鲁棒性评估指标体系完备性进行理论分析, 并得出以下结论: 使用均值等噪声统计量比使用攻击成功率等评价指标定义域更大且更全面, 同时能够保证任意两个对抗样本集合都能够进行比较; 使用${L_2} $范数比使用其他范数在鲁棒性评估的描述上更具完备性. 在6个数据集上对23种模型及20种对抗攻击方法的大量实验验证了这些结论.

来源：2025年第3期

《软件学报》期刊编辑部

查看软件学报杂志2025年第3期