基于非对称InfoNCE的对抗性对比学习：提高对抗鲁棒性的自监督学习

+v：mala2255获取更多论文基于非对称InfoNCE的对抗性对比学习于奇英1、2、楼杰明2、詹先元1、李启章2、左王梦2、刘阳1、 3、刘晶晶1、1清华大学人工智能产业研究院2哈尔滨工业大学计算机科学与技术学院3清华大学计算机科学与技术系网址：yuqy22@mails.tsinghua.edu.cn，jjliu@air.tsinghua.edu.cn抽象的。对比学习（CL）最近被应用于对抗性学习任务。这种实践将对抗样本视为实例的额外积极观点，并通过最大化它们彼此的一致性，产生更好的对抗鲁棒性。然而，这种机制可能存在潜在缺陷，因为对抗性扰动可能导致实例级身份混淆，这可能通过将具有单独身份的不同实例拉在一起而阻碍为了解决这个问题，我们建议在对比时不平等地对待对抗样本，使用非对称InfoNCE目标（A-InfoNCE），允许对对抗样本进行区分考虑。具体来说，对手被视为低等积极的，导致较弱的学习信号，或作为硬消极表现出更高的对比，其他负面的样本。在不对称的方式，CL和对抗性学习之间的目标冲突的不利影响，可以有效地减轻。实验表明，我们的方法considerably优于现有的对抗CL方法在不同的微调方案。建议的A-InfoNCE也是一个通用的形式，可以很容易地扩展到其他CL方法。代码可用上https://github.com/yqy2001/A-InfoNCE。关键词：对抗性对比学习，鲁棒性，自监督学习1介绍在干净数据上训练的性能良好的模型在暴露于简单制作的对抗样本时可能会遭受痛苦[42，20，4，15]。有许多对抗性防御机制旨在使用标记数据提高模型的鲁棒性[29，40，50，47，51，52，2]。然而，在实践中，获得大规模的标注数据可能比获取未标注数据困难得多，成本也高得多。因此，利用容易获得的未标记数据进行对抗学习变得特别有吸引力。通讯作者arXiv：2207.08374v1 [cs.CV] 2022年7+v：mala2255获取更多论文2Q. Yu等人Fig. 1. （a）对比学习;（b）对抗性对比学习;以及我们提出的用于不对称地查看对抗性样本的方法的说明：（c）劣阳性（不对称对比），以及（d）硬阴性。在每个圆圈中，数据点是同一实例的增强，共享相同的身份。在（b）中，对抗样本（A）与当前实例（I）共享相同的身份（ID：2），但靠近不同的身份（ID：1），因此发生身份混淆问题具体来说，实例（I）的对抗样本（A）表现出与（I）的否定样本（N）相似的表示，这使得正对比度（AParticipI）和负对比度（NParticipI）在训练过程中相互削弱（彩色图）。对比学习（CL）[23]，它通过最大化学习的潜在特征中相同实例的增强之间的一致性，同时最小化不同实例之间的一致性来执行实例区分[48]（图1（a））。在许多情况下，在自我监督学习方面取得了令人鼓舞的进展[9，24，11，22]。由于CL在学习丰富的表示和完全监督方法的竞争性能方面的有效性，近年来CL的研究激增，例如正采样[9，44，3，45]，负采样[24，28，13，48]，对重新加权[13，39]和不同的对比方法[22，6，33]。最近，对比学习已经以自我监督的方式扩展到对抗学习任务，从而产生了对抗对比学习（对抗CL）的 新 领 域 [32，18，27，21]。 其主要思想是生成对抗样本作为同一实例的额外正面[32，18，27]用于实例攻击，并最大化实例的干净视图与CL中的对抗副本之间的相似性，同时还解决了规范对抗学习目标[35，40，50，47，51，52]之后的最小-最大优化问题。例如，RoCL[32]首先提出了一种针对对比度的攻击机制，+v：mala2255获取更多论文通过非对称InfoNCE 3进行在自监 督对抗训练 框架中， 在实例级身 份上混淆 模型的损失 。AdvCL[18]提出通过在预训练阶段引入伪监督来最小化未标记对比度和标记微调之间的差距。尽管这些对抗CL方法在模型鲁棒性方面有所改进，但我们观察到，从CL到对抗学习（AL）的直接扩展可能会在训练期间引入无效的CL更新。核心问题在于，它们添加了最坏情况的扰动δ，不再保证实例级身份的保留[32]（即与其他数据增强方法不同，对抗样本可以在几次攻击迭代之后远离特征空间中的当前实例，因为攻击目标是使对手远离当前实例，同时接近其他实例，而不是CL目标。如图1（b）所示，当当前实例（I）的对抗样本（A）接近负样本（N）时，CL目标最小化负样本和当前实例之间的一致性（I和N被彼此推开），而AL目标最大化对抗样本和当前实例之间的一致性（A和I被拉在一起，因为A被认为是I的增强视图）。同时，A和N具有相似的表征，这使得这两个目标相互矛盾。我们称这种冲突为“身份混淆”，它是指A用N诱导的虚假身份吸引并“混淆”I，从而阻碍CL和AL实现各自的最佳绩效。为了解决这个问题的身份混淆，我们建议对待adversar-ial样本不平等和歧视，并设计了一个通用的非对称InfoNCE目标（A-InfoNCE），以模拟阳性/阴性样本之间的非对称对比强度。首先，为了减轻对抗样本（A）和当前实例（I）之间的直接拉动（图1（c）），这可能会抑制CL的有效性，我们建议将对抗样本作为在执行正对比时引起较弱的学习信号以较低程度吸引它们的对手的次正。AL中的这种不对称考虑承诺了权衡并减少了对CL损耗的冲突影响。其次，为了鼓励对抗样本（A）逃避与（A）共享相似表示的阴性样本（N）引起的错误识别（将A推离N）（图1（d）），我们将对抗样本（A）视为其他阴性样本（N）的硬阴性[39]，通过加强CL计算中A和N之间的负对比为了有效地对真正的对抗性否定进行采样并对每个样本进行重新加权，我们遵循了积极的未标记学习[16，17]和对比性否定重新加权[39，13]实践。我们的贡献总结如下：1）我们提出了一个通用的非对称度量InfoNCE损失，A-InfoNCE，以解决身份混淆问题的对抗CL，通过查看敌对样本作为劣质的积极或硬否定。2)我们的方法与现有的对抗CL方法兼容，只需用A-InfoNCE替换标准CL损失。3）CIFAR实验+v：mala2255获取更多论文PN我P·Jk∈N（i）我 Kθ||∞ ≤ϵ||∞ ≤ϵ4问。Yu等人10，CIFAR-100和STL-10表明，我们的方法始终优于现有的对抗CL方法。2非对称InfoNCE2.1符号对比学习（CL）CL旨在通过最大化自我创建的正样本之间的一致性，同时与负样本进行对比，来学习可概括的特征。在典型的对比学习中，每个实例x将被随机变换成两个视图（x1，x2），然后被馈送到具有参数θ的特征编码器f中以获取归一化的投影特征，即，，zi= f（xi;θ）.令（i）表示x i的正视图的集合，包含从具有相同实例级恒等式的x变换的视图（例如，（i）表示xi的负视图的集合，包含来自其他实例的所有视图。CL中使用的常规InfoNCE损失函数[36]对于正对（xi，xj）定义为：exp（sim（zi，zj）/t）LCL（xi，xj）=− logexp（sim（z，z）/t）+logexp（sim（z，z）/t）（1）其中xi用作锚点，sim（zi，zi）表示相似性度量（例如，余弦相似性），并且t是温度参数。CL问题的最终损失在所有正对实例上平均Adversarial CL可以被视为CL的扩展，通过将对抗样本添加到正集（）中进行对比。对抗CL通常建模为以下最小-最大优化公式，以纳入实例攻击[35，18]：minEx∈X maxLCL（xi，xj），P（i）←P（i）<${x<$i+δ}（2）我j∈P（i）其中，x∈i是用于生成自适应信号的x i的视图，δ是自适应扰动，其无穷范数被约束为小于δ。在上述公式中，内部最大化问题通过最大化对比损失来构造对抗样本，外部最小化问题优化预期的最坏情况损失w.r.t.特征编码器F.2.2非对称的InfoNCE：一个通用的学习目标当前的对抗CL框架直接继承CL的传统对比损失（例如，，InfoNCE）以对称方式评估对抗视图和干净视图之间的相似性。这可能导致在CL训练期间无效或甚至冲突的更新，如前所述。为了应对这一挑战，我们+v：mala2255获取更多论文JK·PPNNPNJ通过非对称InfoNCE 5进行提出一种通用的非对称InfoNCE损失（A-InfoNCE），以合并不同对比度实例之间的非对称影响，由下式给出：asympnλp·exp（simα（zi，zj）/t）JLCL（xi，xi;α，λ，λ）=−logλp·exp（simα（zi，zj）/t）+k∈N（i）λn·exp（simα（zi，zk）/t）（三）其中，sim α（）是一个广义相似性度量，它支持非对称关系的合并（具体实例将在下一节中描述）; λp和λn分别是正对和负对的非对称加权因子。值得注意的是，虽然A-InfoNCE是为了解决对抗性CL中的身份混淆问题而提出的，但当不同视图之间的不对称特性需要时，它可以很容易地扩展到其他CL设置。被抓住A-InfoNCE也可以推广到许多现有的CL方法，例如，（i）和（i）可以改变为不同的选择积极和消极的看法; simα（zi，zj）也可以改变为对称的相似性度量zi和zj。λp和λn控制不同正/负对的权重。概括性战略列举如下：– 如果sim α（zi，zj）是对称相似性度量且λp，λn= 1，则它退化为CL [9]中使用的传统InfoNCE损失。– 如果（i）被改变，它对应于正采样[44，3，45]。 当我们将对手添加到（i）中时，它退化为传统的对抗CL目标，其中λp，λn= 1，具有对称的sim α（zi，zj）[32，27，18]。– 如果我们寻求更好的（i）它反映了消极的抽样方法[39，28]，如Moco[24]，它维护一个一致否定的队列;或模仿DCL[13]，将（i）去偏置为真否定。– 如果我们改变λp和λn，它反映了对重新加权的工作[13，39]，根据启发式的重要性度量（如相似性）为每个对分配不同的权重。虽然大多数现有的方法采用对称的相似性度量，我们声称，在某些情况下，非对称的相似性的角度需要考虑，特别是当不同的视图的质量和属性变化显着。在本文中，我们专注于对抗CL的研究，并展示了捕获对手和干净视图之间的非对称关系的好处。具体来说，我们设计了两个实例来模拟对抗样本和干净样本之间的非对称关系，详见下一节。这两个实例都可以集成到所提出的A-InfoNCE框架中。3对抗性非对称对比学习本节解释对抗CL的A-InfoNCE损失的实例化。为了减少身份混淆的影响，本文首先设计了一个新的非对称相似性度量simα（zi，zadv），用于对非对称关系进行建模，并削弱来自对抗性样本的学习信号。从硬否定的角度来看，我们将对手视为其他否定样本的硬否定，并对每个否定对重新加权通过分配依赖于相似性的权重来减轻身份混淆。+v：mala2255获取更多论文||−||6问。Yu等人3.1对抗性样本作为劣阳性样本具有不同身份的敌对样本可能会以与CL的发挥相矛盾的方式吸引它们的锚（干净样本）。通过在正对比中削弱来自这些对抗性示例的学习信号（作为吸引锚点较少的劣质阳性），我们可以通过自适应梯度停止策略有效地减轻来自干净样本的非对称相似函数由于InfoNCE的对称性会给Adversarial CL带来冲突，我们设计了一个新的A-InfoNCE的非对称相似度函数simα（zi，zj），通过控制每个对比分支的梯度尺度来实现。对于每个分支，我们将其分解为两部分simα（zi，zj）=α· sim（zi，zj）+（1−α）·sim（zj，zi）（4）其中，sim（a，b）表示a与b的单侧相似性，即，当最大化sim（a，b）时，我们冻结b并且仅将a移向b。这可以通过停止b的梯度反向传播并且仅优化a来实现。我们使用一个超参数α来控制zi和zj相互接近的程度。对于干净样本和对抗样本，我们让α表示干净分支的如果α为0，则它会在干净的分支上执行总我们的实证分析发现，α相对容易调整，以提高性能。我们表明，任何低于0.5的值都会带来合理的性能提升（见图2），当干净的样本向对手移动较少时，遵循对抗CL的内在不对称属性。自适应α-退火 当身份混淆起作用时，有必要将对抗样本劣化以确保模型的鲁棒性。但是随着训练的进行，当模型学习到鲁棒的表示并且对抗性扰动的负面身份改变影响减弱时，我们认为对抗性 扰 动 是强增强，与其他典型变换相 同 [9]。问题是如何衡量实例混淆效应的减少在这里，我们从几何角度出发，提出了基于欧几里得距离的动态自适应调整比例系数α令di ， j=zizj2表示空间中原始图像与其对抗视图之间的距离。给定αmin，dmax，αmax，dmin，目标是当距离接近dmin时，α为αmax，αmin接近dmax。在训练过程中，我们首先计算当前表示距离d，然后使用简单的线性退火策略来计算α：α=αmin +（d）Maxd）αmax−αmind最大值−d最小值（五）dmin和αmin可以看作是超参数。αmax为0.5，表明对抗扰动与其它变换相等，simα（zi，zj）退化为对称相似.此外，我们使用前N个epoch作为预热来计算平均距离dmax，其中周期α是固定的。−+v：mala2255获取更多论文CL·L不对称的.Σ−−N−CLCLJ我i，kKMi、j我 J通过非对称InfoNCE 7进行不利的CL损失与劣势阳性。利用上述非对称相似性函数sim α（）和A-InfoNCE损失函数asym（xi，xj;α，λp，λn），具有劣阳性（IP）的完整对抗CL损失可以写为：LIP=0.001我Lasym（xi，xj; 0. 5，1，1）+γ·γ我L（xi，x;α， 1， 1）（6）其中第一部分代表标准CL损失，其最大化两个干净视图之间的相似性，其是对称的（α = 0. 5）其中λp=λn= 1，降低到常规InfoNCE损耗。第二部分是鲁棒的CL损失，它最大限度地提高了干净视图和对抗视图之间的一致性，但使用了具有超参数α的非对称相似性函数（4），该函数为劣质对抗样本的对应方提供了较弱的学习信号。超参数γ平衡了鲁棒性和准确性目标。3.2对抗性样本作为硬否定除了劣势的积极因素，我们还提出了另一种观点的对手作为硬否定[39]，这些否定被推离具有更高权重的周围数据点。这可以潜在地缓解当前实例的敌对样本与负样本太接近所带来的混淆（如图1（d）所示）。此外，这一战略-egy通过在预训练阶段赋予具有无差别特征的对抗样本更高的权重，进一步增强对抗CL，从而鼓励模型具有更强的鲁棒性。在实践中，我们为每一对分配一个相似性权重。为…奠定基础权重分配，我们采用[39]中使用的简单自适应权重策略，即以每一对的相似度作为其权重，其中wi，j = exp（sim（zi，zj）/t）。通过这样做，可以自动为实例级身份不佳（与负样本相似性更高）的对手分配更高的权重。 权重可以随着实例身份在训练期间恢复而自适应地衰减。然而，由于常用的（i）是从整个数据分布p（x）[13]中均匀采样的（例如，，Simplified[9]使用当前批次中的其他实例作为负样本），简单地将相似性作为权重可能会严重排斥其嵌入应该接近的语义相似的实例为了估计真负分布p−（x），我们利用PU学习[16，17]并求助于DCL，HCL[13，39]来消除负采样。PU学习[16]decom将数据分布设置为：p（x）=τp+（x）+（1τ）p−（x），其中p+（x），p−（x）表示来自相同或不同类别x的数据的分布，τ是类别先验。因此，p−（x）可以重新排列为p−（x）=p（x）τp+（x）/（1 τ）。 我们可以使用包含x的adversarial样本的所有实例和positiveaugmentations来分别估计p（x）和p+（x）。在[13]之后，我们将（3）中的负对比部分去偏为：1.一、Σ1−τwn·exp（simα（z，z）/t）−N·τwpj∈P（i）·exp（simα（z，z）/t）π（7）j∈P（i）j∈P（i）k∈N（i）+v：mala2255获取更多论文i，ki、jLLLCL我 JM−Mτi、j1−τi，kj∈P（i）CL我 JM−Mτi、j1−τi，k8问。Yu等人其中，M，N是阳性和阴性的数量，是先知-底片的预定权重，wp是一个可扩展的权重为积极的（设置为1，我们的实施，其他选择可以在今后的工作中进一步探讨）。具有硬否定的对抗性CL损失。我们将（7）代入A-InfoNCE损失函数（3）并重新排列，获得具有硬否定（HN）的A-InfoNCE损失的实例化，λp和λn的具体形式为：LHN=0.001我Lasym（x，x;α，M−（M+N）τwp，1wn）， k∈N（i）（8）由于缺乏类别信息，我们将τ视为超参数并按照[13]建议设置。组合对抗CL损失。最后，我们可以将对手视为其他阴性样本的劣质阳性和硬阴性。这导致以下组合对抗CL损失：LIP+HN=0我Lasym（x，x; 0. 5，M−（M+N）τwp，1wn）+γ·Σ ΣLasym（x，xadv;α，M−（M+N）τwp，1wn），k∈N（i）二氧Jij∈P（i）M−Mτi、j 1−τi，k（九）4实验为了证明所提出的方法的有效性和通用性我们的方法与现有的对抗CL框架兼容，并且可以通过替换它们的CL损失来容易地合并。我们选择两条基线，用IP（在等式6中），HN（8）和IP+ HN（9）用于评价。数据集。我们主要使用CIFAR-10和CIFAR-100进行实验。每个数据集有50，000张图像用于训练，10，000张用于测试。 STL-10也用于可转移性实验。根据之前的工作[18]，我们在所有实验中使用ResNet-18[25]作为编码器架构基线。 我们比较了两个基线：RoCL [32]，第一种结合CL和AL的方法;和AdvCL [18]，目前最先进的框架。在实验过程中，我们观察到在训练1000个epoch时 AdvCL的严重过拟合因此，我们在AdvCL上以其最佳性能设置预训练400个epoch。除了一些超参数调整外，所有其他设置与原始论文相同我们的方法也与最近的一些方法兼容。j∈P（i）+v：mala2255获取更多论文LL通过非对称InfoNCE 9进行表1. 用IP、HN和IP+HNL，标准准确度（SA）和稳健准确度（RA）。预先训练的方法是根据线性探测（LP），对抗线性微调，ALF（Adversarial Full Finetuning）和AFF（对抗性全微调）策略。监督方法在传统的对抗训练方案微调策略数据集预训练方法线性探测对抗线性对抗完整FinetuningCIFAR10CIFAR100自我-受监管的 AdvCL [18]81.3551.0079.2452.3883.6753.357[35]-49.49 23.0011受监管的AdvCL[18] 47.98 27.9947.4528.29 57.87 29.4817像SwARo[46]和CLAF[38]一样工作，通过建模前面提到的干净和对抗视图之间的不对称性评价 根据[27]和[18]，我们采用三种微调策略来评估对比预训练的有效性：1）线性探测（LP）：固定编码器并训练线性分类器; 2）对抗性线性微调（ALF）：对抗性训练线性分类器; 3）对抗性完全微调（AFF）：对抗性训练完整模型。我们考虑两个评价指标：1)标准品准确度（SA）：2）鲁棒准确性（RA）：通过PGD-20攻击对对手的分类准确性[35]。在更多样化的攻击下的鲁棒性评估在附录中提供SARASARASARA[35]第三十五话----78.9947.411贸易[51]----81.0053.272RoCL[32]83.8438.9879.2347.8277.8350.543贸易[51]----54.5928.4312RoCL[32]55.7118.4949.3025.8451.1926.6913w/LIP59.3021.3454.4930.3352.3927.8414w/LHN58.7721.1756.3828.0355.8529.5715自我-w/LIP+HN59.7422.5457.5729.2255.7929.9216w/LIP82.3752.3380.0553.2284.1253.568w/LHN81.3452.6178.6953.2083.4454.079w/LIP+HN83.1552.6580.4153.1983.9353.7410w/LIP49.4828.8445.3928.4059.4430.4918w/LHN49.4429.0147.3228.6958.4129.9319w/LIP+HN50.5929.1245.7228.4558.7030.6620w/LIP87.6341.4684.1550.0878.9750.294w/LHN84.1440.0079.4048.3178.8451.735w/LIP+HN85.6942.9681.9150.9080.0652.956+v：mala2255获取更多论文LLLLL10问。Yu等人表2. 将结果从CIFAR-10/100转移到STL-10，与Ad- vCL [18]进行比较，使用ResNet-18在不同微调方法中评估标准准确度（SA）和稳健准确度（RA）数据集预训练方法线性探测优化策略对抗性线性优化对抗性完全微调STL10STL104.1主要结果在表1中，我们报告了每个模型的标准准确度和鲁棒准确度，通过CIFAR-10和CIFAR-100的不同预训练方法根据以前的作品[32，27，18]和对比学习[9，24]的常见实践，我们首先使用CIFAR-10/-100中的未标记图像进行预训练，然后引入标签来微调模型。如表1所示，当用我们提出的对抗性CL损失替换原始损失时，我们的方法在几乎所有情况下都比基线实现了显著的性能改进与RoCL相比，IP在不同的训练方法中一致地在标准和鲁棒准确性方面带来了显着的性能提升（第4行与第5行）。3，第14行与13）（CIFAR10上AFF的 RA 与Ad-vCL相比，IP也带来了明显的利润（第8行与第10行相比）。7，第18行与17）。 这可以归因于IP旨在降低对手的优先级，并防止干净的样本向其他实例移动，这导致更好的实例区分并提高干净[48]和鲁棒的准确性。HN还大大提高了鲁棒性和标准精度（例如，，第15行与13）。我们假设这是由于HN通过为负对比度的对手分配更高的权重来当结合在一起时，在大多数设置中，标准和鲁棒精度都得到了进一步提升，特别是对于线性探测。 这是因为通过L IP直接减轻身份混淆的负面影响和通过LHN帮助对抗摆脱虚假身份可以相辅相成，带来进一步的性能提升。4.2传递健壮的特征学习可转移的鲁棒特征是自监督对抗学习的主要目标。如果用大量未标记数据预训练的模型仅通过轻量化就具有良好的可移植性，则具有重要的意义SARASARASARA[第18话]64.4537.2560.8638.8467.8938.78CIFAR10w/LIP64.8337.3061.9538.9068.2539.03↓w/LHNw/LIP+HN65.2467.1938.1837.0062.8361.3439.7039.3567.8867.9539.7539.12[第18话]52.2830.0149.8432.1463.1335.24CIFAR100w/LIP52.6531.3350.1833.1563.2635.34↓w/LHNw/LIP+HN51.8853.4131.2931.3050.7351.1033.6233.2362.9163.6934.8835.09+v：mala2255获取更多论文×通过非对称信息进行对抗性对比学习11微调例如，线性探测通常比传统的对抗训练快10倍，只训练线性分类器。在这里，我们评估了所提出的方法的鲁棒可移植性，通过将CIFAR-10和CIFAR-100转移到STL-10，即。使用CIFAR-10/-100中未标记的图像进行预训练，然后使用STL-10对学习的模型进行微调和评估如表2所示，我们的方法在大多数设置中产生了干净和鲁棒的准确性增益，高达1.48%（33.62% vs.稳健准确率为32.14%，清洁准确率为2.74%（67.19% vs. 64.45%）。4.3消融研究我们设计了一个基本的对抗性对比模型，名为CoreACL，以研究我们提出的方法中每个组件的效果。CoreACL仅包含具有三个正面视图的对比组件：两个干净的增强视图和一个原始图像的对抗视图。非对称相似函数的固定α。 我们首先使用固定的α而不使用自适应退火来探索劣质阳性的有效性。图2显示了结果，当 训 练 模 型 200 个epochs 时 ， 不 同 的 α值 。回 想一 下， α 代表干净样本朝向对抗样本的趋势。 α<0。5意味 着干净的样品 较少地向侧移（α > 0时反之亦然）。5），且α = 0。5 de-生成原始的对称相似性函数形式。图二. 对不同α的非对称相似函数进行了深入探讨。与对称CoreACL（α= 0. 5），我们的方法实现了更好的-当α<0. 5（对抗性的例子被视为劣质的阳性）。有趣的是，当α= 1时。0，当只有干净的样本被对手吸引时的极端情况下，我们观察到存在一个平凡的解决方案[12]，即所有图像都坍缩到一个点。这验证了我们的观察结果，即具有虚假身份的对手确实将其阳性结果拉向阳性对比中的其他实例，具有将所有样本拉在一起的风险。值得注意的是，当α<0。2，性能开始下降，表明小但非零的α是经验上的最佳设置固定α与 α-退火。 如表3所示，与CoreACL相比，固定α获得了更高的清洁精度（81.29% vs.78.90%），但在鲁棒性上没有增益+v：mala2255获取更多论文LL12问。Yu等人精度自适应退火α实现了更高的鲁棒精度（50.24% vs. 51.27%）和更好的清洁精度（79.46% vs. 78.90%）。与AdvCL比较。表3报告了与AdvCL的性能和计算成本比较。核心-具有IP+ HN的ACL实现了与AdvCL类似的性能，这是等效的表3. 消融研究，在SA、RA和时间成本方面进行评价。在2个TeslaV100 GPU上训练了400个epoch。方法SA RA时间成本（s/epoch）为了集成额外的组件（高频 率 视 图 和 伪 监 督 ） 到 CoreACL中 。 AdvCL 的 计 算 时 间 几 乎 是w/IP+HN的两倍，这可能是由于对比高频视图和伪标记对抗性的额外计算CoreACL 78.9050.27 96带固定α81.2950.24 96退火α79.4651.37 101w/LIP+HNAdvCL 81.3551.00 182训练我们的方法只需要计算成对的欧几里得距离，在LIP中进行α退火，并且在LHN中不引入额外的成本。硬阴性的影响。为了研究硬底片的效果，我们评估每个组件（负去偏[13]，重新加权[39]），如表4所示随着负去偏删除，我们观察到鲁棒精度下降，与略有增加的标准精度。我们假设，如果没有去偏见，语义相似的对抗性陈述表4. 硬阴性（AdvCL-HN），在线性探测（LP）、对抗线性微调（ALF）和对抗全微调（AFF）方法LP ALF AFF应该被紧密映射的区域被推开了。 此外，否定权重的移除导致性能急剧下降，这表明将对抗性视图视为具有更高权重的硬否定在区分对抗性样本中起着关键作用。4.4定性分析图3显示了所有负对上的归一化欧几里得距离的分布。我们将AdvCL[18]作为基线，并使用我们的方法将其与其增强版本进行比较。一般来说，我们的方法可以将原始分布曲线向右移动（更大的距离），这意味着将对手视为感染者，RIOR正或硬负鼓励模型将负对进一步分开，并引起更好的实例区分。这表明我们提出的方法有效地减轻了身份混淆的负面影响。SARASA RASARAAdvCL-HN81.3452.9678.6953.2083.4454.07不含debias81.5251.6178.8952.3483.7354.01无重新称重76.9350.0173.49 49.8681.7452.60+v：mala2255获取更多论文L通过非对称信息进行对抗性对比学习13图3. 由（a）CIFAR10（第一行）和（b）CIFAR100（第二行）中的不同目标学习的所有负对的欧几里得距离（归一化）分布的直方图。基线为AdvCL[18];IP：基线为弱阳性; HN：基线为硬阴性。在每个数据集上，我们的方法更善于区分不同的实例（负对之间的距离更大）图4提供了Simplified [9]、RoCL [32]和IP增强的RoCL（RoCL- IP）学习的嵌入的2-D可视化（CIFAR-10上的t-SNE [34]）。每个类都用一种颜色表示。与Simplified相比，RoCL表示被对手破坏，并且表现出较差的类区分度。与RoCL相比，RoCL-IP产生更好的类分离。这表明非对称相似性考虑减轻了实例级身份混淆。5相关工作对比学习CL已被广泛应用于从未标记数据中学习可概括的特征[9，24，44，22，11，6，3，36，10，7，31]。基 本 的想法是-见图4。CIFAR-10验证集上全局视图中的t-SNE可视化。通过不同的自我监督预训练方法（Simplified（a），RoCL（b）和RoCL-IP（c））学习嵌入（彩色图）+v：mala2255获取更多论文14问。Yu等人歧视的立场[48]。代表作品包括CMC[44]、Simplified [9]，MoCo[24]，SwA V[6]，BYOL[22]. 还有一系列工作集中在不同视图上的精细采样，以提高性能[44，28，13，39，43]。例如，DCL[13]提出消除所有否定对都是真否定的假设。HCL[39]扩展了DCL，并提出挖掘用于对比学习的硬否定，其嵌入不易区分。对抗性训练对抗性训练（AT）源于[20]，并采用最小-最大训练制度，优化对手的目标。[2019 - 05 - 15] 最近的一些工作将未标记数据引入AT[26，8，5，1，32]。通过利用大量未标记的数据，[5，1]执行半监督自训练，首先生成伪监督，然后进行传统的监督AT。我们的工作探索了如何在没有任何类标签的情况下学习鲁棒模型对抗性对比学习最近的一些研究将CL应用于对抗性训练[32，27，18，21]，通过将对手视为对比的积极观点，使得学习的编码器呈现鲁棒的数据表示。RoCL[32]是第一个成功证明鲁棒模型可以以非监督方式学习的人。AdvCL[18]建议用伪监管刺激来赋予CL权力。与CL相同，这些对抗CL方法对所有对执行对称对比，这可能会导致CL和AT训练目标的冲突。我们是第一个调查的不对称属性的敌对CL，通过对待对手的歧视。6结论在这项工作中，我们研究了使用未标记数据增强模型的鲁棒性，并研究了对抗CL中的身份混淆问题，即。不同身份的对手将锚吸引到一起，这与合作学习的目标相悖。我们提出了一个通用的非对称客观A-InfoNCE，并将广告区分为劣质的积极或硬否定，这可以克服识别混淆的挑战。综合实验的定量和定性分析表明，我们的方法可以有效地增强现有的对抗CL方法此外，它在于在我们未来的工作中，将所提出的非对称形式扩展到其他CL设置，以考虑不同视图之间的非对称特性。确认这项工作得到了中国国家重点研发计划项目2021ZD0112100的部分支持，百度公司的部分支持。阿波罗-AIR联合研究中心我们还要感谢匿名评论者的深刻评论。+v：mala2255获取更多论文通过非对称InfoNCE进行对抗性对比学习15引用1. Alayrac，J.B.，上里，J.，Huang，P.S.，Fawzi，A.，斯坦福斯河，Kohli，P.：标签是神经信息处理系统进展32（2019）2. Athalye，A.，Carlini，N.，瓦格纳，D.：模糊梯度给人一种虚假的安全感：规避对抗性示例的防御。国际机器学习会议（International Conferenceon Machine Learning）pp. 274-283. PMLR（2018）3. Bachman，P.，Hjelm，R.D.，Buchwalter，W.：通过最大化视图间的互信息来学习表示神经信息处理系统的进展32（2019）4. Carlini，N.，瓦格纳，D.：神经网络的鲁棒性评价。2017年IEEE安全与隐私研讨会（SP）pp. 39-57号。IEEE（2017）5. Carmon，Y.，Raghunathan，A.，施密特湖，Duchi，J.C.，Liang，P.S.：未标记数据提高了对抗鲁棒性。神经信息处理系统进展32（2019）6. Caron，M.，米斯拉岛，Mairal，J.，Goyal，P.，Bojanowski，P.，Joulin，A.：通过对比聚类分配的视觉特征的无监督学习。神经信息处理系统进展33，99127. 陈淑仪，Niu，G.，Gong，C.，李杰，杨杰，杉山，M.：大幅度对比学习与距离极化正则化。国际机器学习会议International Conference on MachineLearning pp. 1673-1683. PMLR（2021）8. 陈，T.，Liu，S.，Chang，S.，郑，Y.，阿米尼湖Wang，Z.：对抗鲁棒性：从自我监督的预训练到微调。IEEE/CVF计算机视觉和模式识别会议论文集。pp. 699-708（2020年）9. 陈，T.，Kornblith，S.，Norouzi，M.，Hinton，G.：视觉表征对比学习的一个简单框架。In：III，H.D.，辛格A.（编辑）第37届机器学习国际会议论文集Proceedings of Machine Learning Research，vol. 119，pp. 1597-1607.PMLR（2020年7月13日https://proceedings.mlr.press/v119/chen20j.html10. 陈，T.，Kornblith，S.，Swersky，K.，Norouzi，M.，Hinton，G. E.：大型自监督模型是强大的半监督学习器。神经信息处理系统的进展33，2224311. 陈旭，Fan，H.，吉希克河，他，K.：通过动量对比学习改进基线。arXiv预印本arXiv：2003.04297（2020）12. 陈旭，他，K.：探索简单的连体表征学习。IEEE/CVF计算机视觉和模式识别会议论文集。pp. 1575013. Chuang，C.Y.，Robinson，J.，Lin，Y.C.，Torralba，A.，Jegelka，S.：去偏见的对比学习。神经信息处理系统的进展33，876514. Croce，F.，海因，M.：对抗性鲁棒性的可靠评估与不同参数的自由攻击的集合。上一篇：机器学习国际会议pp. 2206-2216. PMLR（2020）15. Dong，Y.，Liao，F.，Pang，T.，苏，H.，Zhu，J.，Hu，X.，Li，J.：以势头增强对抗性攻击。在：IEEE计算机视觉和模式识别会议论文集。pp.918516. Du Plessis，M.C.，Niu，G.，杉山，M.：从正数据和未标记数据中学习的分析。神经信息处理系统的进展27（2014）+v：mala2255获取更多论文16问。Yu等人17. 埃尔坎角，Noto，K.：只从正面和未标记的数据中学习分类器。第14届ACM SIGKDD知识发现和数据挖掘国际会议论文集。pp. 21318. 凡湖，Liu，S.，Chen，P.Y.，张，G.，Gan，C.：对比学习在什么时候能从预训练到微调保持对抗鲁棒性神经信息处理系统进展34（2021）19. Gan，Z.，Chen，Y.C.，Li，L.，Zhu，C.，中国科学院，郑，Y.，Liu，J.：大规模对抗赛-视觉和语言表征学习的语言训练。神经信息处理系统进展33，661620. 古德费洛，I.J.，Shlens，J.，Szegedy，C.：解释和利用对抗性的例子。arXiv预印本arXiv：1412.6572（2014）21. Gowal，S.，Huang，P.S.，van den Oord，A.，Mann