🤖 machine learning

Non-Parametric Probabilistic Robustness: A Conservative Risk Estimator under Unknown Perturbation Distributions

本文引入了非参数概率鲁棒性（NPPR），这是一种实用的指标，它通过高斯混合模型直接从数据中学习优化的扰动分布，以在分布不确定性下提供保守的风险估计，从而解决了现有概率鲁棒性框架中固定扰动分布这一不切实际的假设。

原作者： Zheng Wang, Yi Zhang, Siddartha Khastgir, Carsten Maple, Xingyu Zhao

发布于 2026-06-01

📖 1 分钟阅读☕ 轻松阅读

原作者： Zheng Wang, Yi Zhang, Siddartha Khastgir, Carsten Maple, Xingyu Zhao

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你拥有一个非常聪明的机器人，它能识别猫和狗的照片。你想知道：这个机器人的可靠性有多高？

在人工智能领域，通常有两种主要的方法来测试这种可靠性，但两者都存在缺陷。这篇论文介绍了一种更安全的新方法。

以下是使用简单类比进行的拆解：

1. 两种旧的测试方法（问题所在）

“最坏情况”测试（对抗鲁棒性/Adversarial Robustness）
想象一个顶级窃贼试图攻破你机器人的大脑。这个窃贼超级聪明，拥有机器人的蓝图，并试图在猫的照片上添加极其微小且完美的“噪声”（比如一粒微小的尘埃），以此来欺骗机器人，让它把猫误认为狗。

结果： 如果机器人哪怕只在面对这个顶级窃贼时失败了一次，我们就说这个机器人“不具备鲁棒性”。
缺陷： 这就像是通过让汽车以 100 英里的时速撞向砖墙来测试汽车。它告诉你汽车确实会损坏，但它没法告诉你汽车在应对普通的颠簸路面时表现如何。这太可怕也太悲观了。

“已知噪声”测试（概率鲁棒性/Probabilistic Robustness）
现在，假设你没有顶级窃贼。相反，你只是在照片上撒了一些随机的尘埃。但问题在于：你必须猜测这些尘埃是什么类型的。

大多数研究人员假设尘埃是“高斯分布”（像细小的蓬松粉末）或“均匀分布”（像沙子）。他们假设自己完全了解尘埃是如何落下的。
缺陷： 在现实世界中，你很少能确切知道尘埃是如何落下的。也许尘埃是结块的，也许很重，或者来自特定的机器。如果你假设尘埃是“蓬松的粉末”，但实际的尘埃是“沉重的沙子”，那么你的测试就是错误的。你可能认为机器人很安全，但实际上它并不安全。

2. 新的解决方案：NPPR（“聪明侦探”）

作者提出了 非参数概率鲁棒性（NPPR）。

NPPR 不再去猜测“尘埃”长什么样，而是扮演一个聪明侦探的角色。它观察数据并追问：“在现实存在的各种噪声中，什么样的噪声是最糟糕、最能欺骗机器人的？”

不再靠猜： 它不假设噪声是高斯分布或均匀分布。它直接从数据中学习噪声的形状。
“保守”的方法： 它在“概率范畴内”寻找“最坏的情况”。它会问：“如果噪声是不可预测的，机器人仍能正确识别的最低概率是多少？”
结果： 这为你提供了一个安全保证。如果机器人通过了这个测试，你就知道即使面对最棘手、未知的噪声，它也是鲁棒的。

3. 它是如何工作的（“云团混合模型”）

为了找到这种“最坏情况下的尘埃”，论文使用了一个巧妙的技巧，叫做高斯混合模型（GMM）。

类比： 想象你在描述一场风暴。一个简单的模型可能会说：“这只是雨。”但一场真实的风暴包含了大雨、毛毛雨、冰雹和狂风的混合。
方法： NPPR 系统构建了一个“云团混合体”。它创建了一个由几种不同类型的噪声（比如一团雨、一团冰雹等）混合而成的复杂形状。
学习过程： 它不断调整这种混合比例，直到找到那种能让机器人出错频率最高的特定噪声组合。这就是“保守”的估计。

4. 他们的发现（证据）

作者在著名的图像数据集（如 CIFAR 和 Tiny ImageNet）上，使用标准的机器人大脑（如 ResNet、VGG 等）进行了测试。

层级关系： 他们在数学上证明了结果总是遵循以下顺序：
1. 对抗鲁棒性（砖墙）： 机器人的表现看起来很糟糕（0% 安全）。
2. NPPR（聪明侦探）： 机器人看起来还可以，但很谨慎。它给出的分数比旧方法更低，但也更安全。
3. 旧的概率鲁棒性（猜谜者）： 机器人看起来非常出色（90% 以上安全），但这可能是一个谎言，因为他们猜错了尘埃类型。
结论： 旧的方法往往高估了机器人的安全性。NPPR 给出了一个更低、更诚实的数字。与其认为机器人有 95% 的安全性却在失败时感到意外，不如知道你的机器人只有 60% 的安全性（并为此做好准备）要好得多。

总结

旧方法： “让我们假设噪声就像这种特定类型的沙子。”（如果猜错了，风险很高）。
新方法 (NPPR)： “让我们直接从数据本身学习最坏情况下的噪声是什么样的，这样我们就不会措手不及。”
为什么重要： 它阻止了我们产生虚假的自信。当我们在现实世界中不知道会遇到什么样的“噪声”时，它为 AI 模型提供了一个保守且真实的安全性评分。

技术摘要：非参数概率鲁棒性 (NPPR)

1. 问题陈述

深度学习 (DL) 模型已知容易受到微小输入扰动的影响。虽然对抗鲁棒性 (Adversarial Robustness, AR) 解决了最坏情况下的确定性攻击，但概率鲁棒性 (Probabilistic Robustness, PR) 已成为一种互补的指标，用于量化模型在随机、随机性扰动（例如传感器噪声或暴力攻击）下保持正确行为的可能性。

然而，现有的 PR 公式存在一个关键局限性：它们假设扰动分布是预先固定且已知的（例如假设为高斯噪声或均匀噪声）。在实际场景中，扰动的真实分布极少是已知的。依赖于任意的、预定义的分布可能会导致对风险的低估，因为所选的分布可能无法代表在允许预算范围内的“最坏情况”随机行为。因此，需要一种不依赖于预定义分布假设，而是直接从数据中推导出保守估计的鲁棒性度量指标。

2. 方法论

本文提出了非参数概率鲁棒性 (Non-Parametric Probabilistic Robustness, NPPR)，该框架通过从数据中学习优化的扰动分布，来提供一个保守（下界）的鲁棒性估计。

核心定义：

NPPR 指标： 正式定义为在一组可容许的扰动分布 ( $\mathcal{P}_\epsilon$ ) 上求概率鲁棒性的下确界。与使用固定 $\omega$ 的标准 PR 不同，NPPR 寻求使模型保持正确概率最小化的分布 $\omega \in \mathcal{P}_\epsilon$ ：
$S_{NPPR}(x, y) \triangleq \inf_{\omega \in \mathcal{P}_\epsilon} \mathbb{E}_{\epsilon \sim \omega(\cdot|x)} [\mathbb{1}_{h(x+\epsilon)=y}]$
理论界限： 作者建立并证明了 $G_{AR} \le G_{NPPR} \le G_{PR}$ ，其中 $G$ 代表全局鲁棒性。NPPR 是比标准 PR 更保守的度量，但通常高于最坏情况下的 AR。

估计框架：
为了估计 NPPR，作者开发了一个基于高斯混合模型 (Gaussian Mixture Model, GMM) 的可学习估计器：

分布建模： 扰动分布由具有 $K$ 个分量的有限 GMM 近似。通过学习其参数（权重、均值、协方差）来最小化模型的鲁棒性。
依赖场景： 该框架支持扰动与输入/标签之间的四种依赖结构：
- 输入无关型： 噪声在所有输入之间是静态的。
- 标签相关型： 噪声根据地面真值标签而变化。
- 输入相关型： 噪声根据输入特征而变化。
- 联合依赖型： 以上几种情况的结合。
优化与训练：
- 目标是在学习到的分布上最小化期望损失（Logit 间隔）。
- 由于 GMM 涉及离散采样（选择一个分量），采用了 Gumbel-Softmax trick 来创建可微松弛，从而实现通过随机梯度下降 (SGD) 进行端到端训练。
- 架构： 一个轻量级的多层感知机 (MLP) 头用于参数化 GMM。为了处理高维图像空间，扰动在低维特征空间中建模，并通过双三次上采样 (Bicubic Up-sampling) 映射回输入空间。
- 约束： 通过缩放的 tanh 映射确保扰动保持在预设的 $L_p$ 范数预算内。

3. 主要贡献

形式化指标： 本文将概率鲁棒性的概念扩展到非参数设置中，正式定义了 NPPR，并在理论上将其与 AR 和标准 PR 联系起来。
估计器开发： 开发了一个使用带有 Gumbel-Softmax 松弛的 GMM 的实用 NPPR 估计器。它学习一种保守的扰动分布，而不假设固定的先验，并对松弛目标的收敛性提供了理论保证。
全面评估： 该方法在多个数据集（CIFAR-10, CIFAR-100, Tiny ImageNet）和架构（ResNet18/50, WideResNet50, VGG16）上得到了验证。
开源： 作者发布了完整的实现和实验细节。

4. 实验结果

实验表明，与假设固定分布（高斯、均匀、拉普拉斯）的标准 PR 方法相比，NPPR 提供了更现实且更保守的鲁棒性估计。

保守估计： 在所有测试的模型和数据集上，估计的全局 NPPR ( $\hat{G}_{NPPR}$ ) 始终低于基于固定分布（如高斯分布）得到的 PR 估计值（例如，在 CIFAR-10 的 ResNet18 上， $\hat{G}_{NPPR} \approx 76.29\%$ ，而 $\hat{G}_{PR}^{Gaussian} \approx 95.28\%$ ），但高于最坏情况下的 AR（例如 $\approx 3.10\%$ ）。这验证了理论界限 $G_{AR} \le G_{NPPR} \le G_{PR}$ 。
依赖性影响： 研究表明，允许扰动分布依赖于输入或标签（联合依赖或输入依赖）通常比输入无关假设产生更保守（更低）的鲁棒性估计。
消融实验： 增加 GMM 分量数量 ( $K$ ) 通常会提高学习分布的表达能力，从而导致更低的（更保守的）NPPR 分数。
跨半径分析： 在较大扰动半径下训练的估计器在评估较大半径时往往能产生略微更保守的估计，展示了在不同预算约束下的稳定性。

5. 意义与主张

本文将 NPPR 定位为评估者的保守风险估计器，而非一种新的攻击方法。其主要意义在于解决了当前鲁棒性评估中存在的“未知分布”缺口。

实用性： 通过移除对已知扰动分布的非现实假设，NPPR 提供了一个在噪声源（传感器漂移、环境噪声）复杂且未知的现实场景中更具可操作性的度量指标。
互补性： 作者明确指出 NPPR 并不取代 AR 或 PR。相反，它通过在精确的随机扰动性质未知时，提供概率鲁棒性的下界估计，从而对两者进行补充。
安全性： 通过识别可容许集合内的“最坏情况”随机分布，NPPR 有助于回答这样一个关键问题：“如果输入受到未知的随机扰动，模型至少能有多鲁棒？”这提供了一个固定分布 PR 指标可能会忽略的安全裕度。