![](https://csdnimg.cn/release/download_crawler_static/88424158/bg3.jpg)
–
在Imagenet上评估的卷积网络的准确性
大大低于预期
。 我们发现,当模型的
错误由人类受试者评估,并且当至少五分之四的人同意模型的预测时被认为
是正确的时,在Imagenet上训练并在标准验证集上评估的ResNet-101的前1个
错误从22个减少
。
69%至9
。
百分之四十七类似地,前5个误差从6减小
。
44%
对1
。
百分之九十四这一观察结果适用于各种模型。它解释了在准确性改进
方面的显著减慢,并表明Imagenet几乎已经解决。
–
ConvNets对对抗性示例的鲁棒性也被低估了。在ad-
此外,我们表明,提供解释有助于减轻错误分类
从最终用户的角度来看对抗性的例子
–
模型批评
是一个有价值的工具,用于检测模型预测中的偏差。此外,对抗
性示例可以有效地用于模型批评。
与我们的第一点类似的观察存在于先前的工作中[21]。然而,我们的研究的
规模,结论和含义是不同的。事实上,我们认为,如果前5名的错误是感兴趣的
措施,图像是(几乎)解决。在下一节中,我们总结了相关的工作,然后详细
介绍我们的实验和结果
2
相关工作
对抗性的例子。
深度神经网络可以在以前看不见的示例上实现高准确性,同时
容易受到其输入的小对抗性扰动的影响[15]。这种扰动的输入,称为对抗性的
例子,最近引起了社会的浓厚兴趣[22,15,23,17]。随后有几项研究分析了
这一现象[24-26],并提出了与我们的工作更密切相关的是旨在生成更好的对抗
性示例的不同建议[22,31]。给定一个输入(训练或测试)示例(x
,
y),一个
对抗性示例是
原始模式
x
=
x
+
δ
x
的扰动版本
,其中
δ
x
足够小,使
x
与
x
无法
被人类区
分,但会导致网络预测错误的目标。给定网络g
θ
(其中θ是参数集)和p范数,
对抗性示例为
其中
,
表示
广告
的强度。假设损失函数
(
·
)
是
可微的,[25]建议采用x›→(g
θ
(x)
,
y)的一阶泰勒展开,通过解决以下更简单的问题来计算δ
x
当
p
=
∞
时,则
x
~
=
x
+
·
sign
(
x
(
g
θ
(
x
)
,
y
))
,其对应于
快速
gradientsign
方法
[22]
。如果
p
=
2
,我们得到
x
~
=
x
+
·
x
(
g
θ
(
x
)
,
y
)
,其中
x可选地,可以执行这些的更多迭代。
步骤使用较小的步长。这种策略有几种变体[31,32]。其他地区
在本文中,我们将这种方法称为
迭代快速梯度法
(IFGM),并将使用它来衡量
一个给定模型的鲁棒性和执行模型批评。