🤖 AI

A Robust Out-of-Distribution Detection Framework via Synergistic Smoothing

本文介绍了 ROSS，一种鲁棒的后验分布外检测框架，该框架利用中值平滑来量化局部分数不稳定性，从而实现对分数最小化和分数最大化对抗攻击的先进对称鲁棒性。

原作者： Maria Stoica, Abdelrahman Hekal, Alessio Lomuscio

发布于 2026-05-12

📖 1 分钟阅读☕ 轻松阅读

原作者： Maria Stoica, Abdelrahman Hekal, Alessio Lomuscio

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你有一位非常聪明的保安（人工智能）站在俱乐部门口。这位保安擅长识别常规会员（分布内数据），通常知道何时放行他们。然而，这位保安有一个致命的缺陷：如果陌生人（分布外数据）戴上令人信服的伪装，或者用特定类型的噪声迷惑保安，保安可能会自信地放他们进入，误以为他们是会员。这是一个安全隐患。

本文介绍了一种名为ROSS（通过协同平滑实现的鲁棒分布外检测器）的新系统来解决这个问题。以下是其工作原理，使用简单的类比说明：

1. 问题：善变的“保安”

当前的保安（AI 检测器）往往是“有方向性”的。

有些保安被训练成：如果有人看起来过于完美，就会感到紧张。如果骗子让陌生人看起来稍微更像“会员”，保安就会困惑并放行。
另一些保安被训练成：如果有人看起来过于杂乱，就会感到紧张。如果骗子让陌生人看起来稍微更像“陌生人”，保安也会困惑。
缺陷：这些保安容易受到特定类型骗局的攻击。如果你知道如何欺骗保安 A，你就能绕过安保。

2. 解决方案：“稳定性测试”

ROSS 改变了游戏规则。ROSS 不是只看陌生人一次，而是要求保安在每次稍微晃动相机或给图像添加少量静态噪声的情况下，25 次观察陌生人。

可以这样理解：

真正的会员（分布内数据）：如果你用晃动的相机给真正的会员拍 25 张照片，他们看起来仍然是同一个人。他们的面容是稳定的。保安的置信度不会大幅波动。
冒名顶替者（分布外数据）：如果你用晃动的相机给冒名顶替者拍 25 张照片，其中一张可能看起来像猫，下一张像石头，再下一张像模糊的一团。保安的判断会剧烈摇摆。他们是不稳定的。

3. 两步检查法

ROSS 使用两种特定工具来做出决定：

A. “中位数”（中间立场）
ROSS 不取保安 25 次判断的平均值（这可能会因一个奇怪的异常值而失真），而是取中间的意见。这就像向一群人询问猜测，并忽略最响亮、最极端的观点。这产生了一个更难被欺骗的“平滑”分数。

B. “不稳定性计”（MAD）
ROSS 测量保安的判断在那 25 次晃动中波动了多少。

低波动（稳定）：“好吧，这看起来像会员，而且每次我晃动相机时，它看起来都像会员。” -> 高信任度。
高波动（不稳定）：“有一次它看起来像会员，但下一次看起来像狗。” -> 低信任度。

4. “置信度闸门”（安全网）

这里是巧妙之处。论文指出，有时一个完全的陌生人可能看起来非常稳定（例如，一张实心的灰色墙壁图片）。如果保安只看稳定性，他们可能会想：“哇，那面墙非常一致，放他们进来吧！”

ROSS 通过添加一个置信度闸门来防止这种情况：

只有当陌生人已经以高置信度看起来像会员时，它才给予“稳定性奖励”。
如果陌生人看起来像会员但不稳定，他们会被拒绝。
如果陌生人看起来像会员且稳定，他们的分数将获得“超级提升”。
如果陌生人看起来像陌生人，无论稳定性如何，他们都会被拒绝。

5. 为什么它是“对称”的（最棒的部分）

以前的方法就像一把锁，只有当你朝一个方向推钥匙时才起作用。如果你朝另一个方向拉，锁就会坏掉。

ROSS 是一把“对称”的锁。因为它不关心分数是向上推还是向下拉，而是关注分数有多摇晃，所以它既能抵御试图让 AI 认为陌生人是会员的攻击者，也能抵御试图让 AI 认为会员是陌生人的攻击者。

结果总结

作者在标准图像数据集（如 CIFAR-10 和 ImageNet）上测试了该系统。他们发现：

与以前的方法相比，ROSS 更难被欺骗。
在遭受攻击时，它将系统识别伪造品的能力提高了多达40%。
它作为一个“即插即用”的升级方案。你不需要重新训练整个 AI；只需在现有系统之上添加这个“稳定性检查”层即可。

简而言之，ROSS 通过检查当世界变得稍微动荡时保安的置信度是否依然稳固，从而降低了 AI 保安被伪装欺骗的可能性。

技术摘要：基于协同平滑的鲁棒分布外检测框架

问题陈述

深度神经网络（DNN）正日益部署于安全关键型应用中，但它们仍易受对抗性扰动和分布偏移的影响。虽然分布外（OOD）检测方法作为识别新颖或恶意输入的关键防护手段，但近期研究表明，最先进的 OOD 检测器本身也易受对抗性攻击。具体而言，攻击者可以构造属于 OOD 却被误分类为分布内（ID）的输入，从而有效 disabling 系统的第一道防线。

现有的基于扰动的检测器（如 ODIN 和 PRO）试图通过应用定向优化（例如增加或降低置信度分数）来改善检测效果。然而，作者指出了这些方法的一个关键缺陷：它们表现出不对称的脆弱性。针对最小化分数攻击进行优化的检测器往往容易受到最大化分数攻击的影响，反之亦然。这种定向偏差削弱了 OOD 检测在动态对抗环境中的可靠性。

方法论：ROSS 框架

作者提出了ROSS（基于协同平滑的鲁棒 OOD 检测器），这是一个与模型无关的、后验的框架，旨在实现对分数最小化和分数最大化攻击的对称鲁棒性。ROSS 无需重新训练底层 DNN，且可应用于任何现有的 OOD 评分技术（例如 MSP、Energy、GEN、fDBD）。

ROSS 的核心在于通过添加随机扰动生成输入 $x$ 的 $N$ 个噪声变体。从生成的“分数堆栈”中，ROSS 基于鲁棒统计理论计算两个稳健统计量：

中位数分数（ $S_{med}$ ）： 分数堆栈的中位数，代表 OOD 分数的平滑中心趋势。
分数稳定性（ $\sigma_{med}$ ）： 分数堆栈的中位数绝对偏差（MAD），量化分数景观的局部不稳定性。

关键洞察：不稳定性作为信号

作者观察到，ID 样本通常位于分数景观的平滑区域，在扰动下产生低方差的分数（高稳定性）。相反，OOD 样本位于不规则区域，微小的扰动会导致分数的剧烈波动（高不稳定性）。

评分函数

ROSS 利用一种置信度感知的门控机制将这些指标组合成最终分数（ $S_{ROSS}$ ）。最终分数定义为：
$S_{ROSS} = \min(S_{95}, S_{med}) + \Delta_{score} \cdot \left(1 + \frac{\lambda}{\sigma_{med}}\right)$
其中：

$S_{95}$ 是置信度阈值（ID 验证分布的第 5 百分位数）。
$\Delta_{score} = \max(0, S_{med} - S_{95})$ 确保稳定性奖励仅在中位数分数超过置信度阈值时应用。
$\lambda$ 是控制稳定性奖励幅度的超参数。

该公式确保稳定性仅针对高置信度、类 ID 样本给予奖励。它防止了那些可能稳定但置信度低的“远 OOD"样本获得人为的分数提升。通过使用中位数和 MAD，该方法本质上能够抵抗基于梯度的操纵和异常值。

主要贡献

不对称脆弱性的识别： 本文首次系统分析并证明，现有的基于扰动的 OOD 检测器（如 PRO 和 ODIN）存在不对称鲁棒性，即防御住一个攻击方向的同时，仍对相反方向易受攻击。
ROSS 的提出： 一种新颖的后验框架，利用局部分数不稳定性作为置信度乘数。与 prior 工作不同，ROSS 是非定向且无梯度的，实现了对 PGD-min 和 PGD-max 攻击的对称鲁棒性。
稳定性与置信度的分解： 通过广泛的消融研究，作者隔离了分数稳定性和置信度阈值化的贡献，证明两者对于有效的 ID/OOD 分离都至关重要。
实证验证： 在 CIFAR-10、CIFAR-100 和 ImageNet 上的全面评估表明，ROSS 始终优于基线检测器和先前的基于扰动的方法。

实验结果

作者在标准基准上使用预训练的 ResNet-18 和 ResNet-50 模型评估了 ROSS。

基线性能： 在干净数据上，ROSS 实现了最先进的性能。例如，在 CIFAR-10 上使用 GEN 基础分数时，ROSS 的平均 AUROC 达到84.72%，FPR95 为45.77%，优于仅中位数基线（ $S_{med}$ ）和朴素比率（ $S_{med}/\sigma_{med}$ ）。
对抗鲁棒性： 在 PGD 攻击（ $\epsilon = 8/255$ $ϵ = 8/255$ ）下，ROSS 表现出显著的韧性。
- 在 CIFAR-10 上，当 MSP 基线在 PGD-max 攻击下 AUROC 崩溃至**3.76%时，ROSS-MSP 保持了52.65%**的 AUROC。
- 在 CIFAR-100 上，ROSS-fDBD 在 PGD-max 攻击下将 AUROC 从基线的11.02%提升至44.72%。
对称防御： 与 PRO 和 ODIN 在遭受“错误”方向攻击时性能显著下降不同，ROSS 在对抗 PGD-min 和 PGD-max 攻击时保持了性能的一致性。作者报告称，在强攻击下，相较于先前的基于扰动的方法，其 AUROC 提升了高达40 个点。
效率： 尽管需要 $N=25$ 次前向传播，但在现代 GPU 上并行化的推理性质使其延迟仅比单次前向传播增加1.2 倍，使其具有实际部署价值。

意义与主张

本文声称 ROSS 为 OOD 检测提供了一种实用、轻量级且易于部署的第一道防线。其主要意义在于将范式从产生不对称弱点的定向优化转变为利用统计稳定性的协同平滑。

作者断言，ROSS 成功地在干净数据准确率和对抗鲁棒性之间取得了平衡，且无需对抗性重训练的计算成本。通过无缝集成到现有的 OOD 评分方法中，它增强了自动化系统在开放世界环境中的可信度，在这些环境中，未知或恶意输入是不可避免的。这项工作表明，量化局部不稳定性比单纯尝试将分数推向特定方向是更鲁棒的 OOD 检测代理。

正如作者所指出的，未来的工作旨在将该框架扩展到基于梯度的攻击之外，以涵盖由生成模型引起的分布偏移和现实世界的损坏。