新上线2个月前0 投票
几何不等于鲁棒性：PGD评估的轨迹级研究揭示诊断指标的局限性
在对抗性机器学习领域，投影梯度下降（PGD）攻击是评估模型鲁棒性的标准方法。然而，传统上仅依赖最终对抗精度来评判模型，忽略了攻击过程中模型行为的动态变化。近期研究提出轨迹级诊断指标，如损失演化、梯度对齐和失败步数，旨在提供更深入的优化动力学洞察。但这些指标是否可靠地反映鲁棒性强度，尚不明确。
一篇新论文对Fashion-MNIST上的卷积神经网络进行了PGD攻击的轨迹级研究，比较了干净训练和对抗训练模型在不同鲁棒性水平下的表现。研究发现，尽管不同模型的鲁棒性层级清晰，但轨迹指标并未同等贡献于这一识别。平均损失轨迹和梯度对齐模式在对抗训练模型中表现相似，即使它们的鲁棒精度差异显著。相比之下，失败步数分布能更清晰地区分鲁棒性级别，直接反映模型对对抗扰动的功能性抵抗。
这一结果表明，轨迹级诊断更多描述了优化几何特性，而非独立衡量鲁棒性。其可解释性依赖于鲁棒性级别、攻击强度和多种指标的综合评估。因此，轨迹级分析应作为补充诊断工具，结合上下文解读，而非替代标准鲁棒性测量。
