Empirische Robustheit eines Klassifizierers

Kurzfassung

Diese Arbeit untersucht empirisch, wie die Testgenauigkeit eines einfachen Faltungsnetzes auf CIFAR-10 von drei Größen abhängt: vom Parameter zweier fester Vorverarbeitungen; einer parametrischen Kontrasttransformation und einer Mischung des Bildes mit der empirischen Verteilungsfunktion seiner Pixelwerte; von der Trainingsart (natürliches Training gegenüber PGD-Training) und vom Radius eines \(\ell_\infty\)-PGD-Testangriffs. Für jede Kombination aus Transformation und Parameter wurde ein eigenes Modell trainiert; der Angriff wirkt nach der Vorverarbeitung und misst daher Robustheit im vorverarbeiteten Tensorraum. Ausgewertet werden zehn vollständige Parameter-Sweeps aus archivierten Ergebnisläufen. Alle berichteten Angriffsgenauigkeiten sind obere Schranken der wahren robusten Genauigkeit, keine zertifizierten Garantien.