🤖 machine learning

Neither Adversarial Training Nor Purification: Emergent Adversarial Robustness from Oscillatory Predictive Learning

本文介绍了振荡预测学习（Oscillatory Predictive Learning, OPL），这是一个结合了人工库拉莫托振荡神经元（Artificial Kuramoto Oscillatory Neurons）与预测性自监督预训练的框架，在无需依赖计算昂贵的对抗训练或测试时净化的情况下，在 CIFAR-10 和 CIFAR-100 上实现了具有竞争力的对抗鲁棒性。

原作者： Mohammed-Yassine Habibi, Klea Ziu, Martin Takáč, Makoto Yamada

发布于 2026-09-09✓ Author reviewed ⓘ

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Mohammed-Yassine Habibi, Klea Ziu, Martin Takáč, Makoto Yamada

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写的。如需技术准确性，请参阅原始论文。阅读完整免责声明

在人工智能领域，计算机视觉系统在识别物体方面表现得非常出色，无论是树上的猫还是街道上的停止标志。然而，这些系统存在一种隐藏的脆弱性。人类看一张熊猫的照片能看到熊猫，但如果攻击者在图像中添加一种微小的、几乎不可见的静态噪声模式，计算机可能会突然且自信地将其识别为长臂猿。这种漏洞被称为对抗性弱点（adversarial weakness）。多年来，修复这一问题的标准方法是通过向计算机展示数百万张这类受骗图像来进行训练，迫使它学会忽略这些噪声。这个过程极其昂贵，需要巨大的计算能力和时间，并且在系统实际使用时往往会降低其运行速度。研究人员长期以来一直在思考，是否有一种更聪明的方法从一开始就构建这些系统，例如通过设计其内部结构使其天生具备抵抗此类手段的能力，而不是仅仅通过无止境的训练来暴力破解解决方案。

一组研究人员提出了一种全新的方法，可以完全绕过这些昂贵的训练环节。他们并没有向模型喂入数百万张受损图像，而是构建了一个能够学习预测图像序列中下一帧内容的系统，并结合了一种模仿自然界中节奏同步现象的独特内部机制。他们将这种方法称为振荡预测学习（Oscillating Predictive Learning）。其核心思想是给计算机一个特定类型的内部“时钟”或节奏，使它的不同部分保持同步运动，从而让微小的恶意变化难以破坏整个系统的平衡。当他们测试这种方法时，发现该系统表现出了惊人的韧性，在从未见过任何对抗性样本进行训练的情况下，实现了极高的安全性。

研究人员在两组用于训练计算机的标准图像集上对他们的系统进行了测试：一组包含十个类别（如飞机和汽车），另一组包含一百个类别。他们用一套旨在寻找模型最薄弱环节的严格测试挑战了该系统。在涉及十类别数据集的第一项测试中，即使在图像受到攻击的情况下，他们的新方法也能正确识别图像 76.63% 的次数。这比其他依赖随机性进行防御的方法有了显著提升，后者的得分通常仅在 71% 左右。当他们转向难度更高的百类别数据集时，该系统依然保持了稳健的表现，成功率达到了 50.44%。这些结果之所以引人注目，是因为该系统在实现这种安全水平的同时，并未消耗通常制造鲁棒模型所需的沉重计算成本。

为了理解其运作原理，团队将他们的创造物分解为两个主要部分。第一部分是一种特殊的神经网络层，它使用振荡单元，这些单元就像相互影响的微型耦合单摆。第二部分是一种学习方法，它教导系统根据当前的视图来预测未来的视图。当他们分别测试这两个部分时，发现振荡结构本身提供了一个坚实的防御基础，但仅靠它还不够。而当将预测学习应用于标准的计算机视觉模型时，它对阻止攻击几乎没有任何作用。然而，当他们将振荡结构与预测学习结合起来时，防御变得强大得多。预测训练似乎放大了振荡部分的自然稳定性，创造出了一个比各部分简单叠加更为强大的系统。

研究人员还发现，这种鲁棒性是非常微妙的，仅存在于非常特定的条件下。他们发现内部“时钟”单元的大小至关重要。当这些单元被设定为一个特定的、较小的维度时，系统对攻击具有高度抵抗力。但当他们增加这些单元的尺寸以提高系统的灵活性并使其在正常条件下更好地识别图像时，防御力突然崩溃了。尽管系统在识别清晰图像方面表现得更好，但它变得几乎完全容易受到攻击。这表明，系统的安全性并非来自于单纯地扩大模型规模或增强其功能，而是依赖于一套严格且狭窄的规则，以保持内部节奏的同步。如果允许系统拥有过多的自由度，它就会失去抵抗操纵的能力。

这项工作为构建安全的智能人工智能指明了一条新路径。它挑战了长期以来的观点，即认为提高模型鲁棒性的唯一方法就是用数百万个对抗性样本对其进行训练。通过将特定的架构设计与自学方法相结合，研究人员展示了鲁棒性可以从系统的构建方式和学习方式中自然产生。虽然该系统仍需进一步改进以应用于更大、更复杂的图像数据集，但其研究结果为目前这种高计算成本的方法提供了一个充满前景的替代方案。它表明，通过仔细设计模型的内部动力学，我们或许能够创造出不仅聪明而且天生难以被欺骗的人工智能。

技术摘要：用于对抗鲁棒性的振荡预测学习

问题陈述

计算机视觉中的对抗鲁棒性目前由两种计算密集型范式主导：对抗训练（在优化过程中生成对抗样本）和对抗净化（在测试时进行迭代去噪）。这些方法引入了显著的开销，近期的缩放分析表明，仅靠增加当前范式下的计算量不太可能缩小与人类水平鲁棒性之间的差距。此外，目前缺乏不依赖于对抗样本生成或迭代净化的视觉模型强基准。本文研究了经验鲁棒性是否可以从架构与表示学习的归纳偏置中涌现。

方法论：振荡预测学习 (OPL)

作者提出了 振 oscillation 预测学习 (OPL)，这是一个结合了特定架构动力学与自监督预训练的两阶段框架，完全避免了对抗训练。

1. 架构组件：AKOrN

编码器采用 人工库拉莫托振荡神经元 (AKOrN)。

机制： 该网络不使用静态阈值单元，而是采用耦合的库拉莫托（Kuramoto）风格振荡器。特征图中的每个空间位置包含位于 $(N-1)$ -球面 ( $S^{N-1}$ ) 上的 $K$ 个振荡器状态。
动力学： 库拉莫托层通过一个耦合动力系统（公式 1）更新每个振荡器，该系统整合了内禀旋转矩阵 ( $\Omega$ )、学习到的耦合权重 ( $J$ ) 以及输入依赖的驱动项 ( $y$ )。
归纳偏置： 耦合项鼓励特征空间中局部一致的配置。如果扰动影响了部分局部状态，耦合动力学会将表示拉回至一致的配置，这在理论上降低了对局部扰动的敏感性。

2. 学习组件：X-PhiNet

该框架采用 X-PhiNet 进行预测性自监督预训练。

目标： 一种非对比学习协议，通过从一个图像的变换视图预测另一个变换视图来学习，其灵感来源于生物时间预测（海马体 CA3/CA1 模型）。
作用： 它鼓励在同一场景的相邻观测之间保持预测能力的表示，从而促进稳定的潜在结构。
交互作用： 作者假设预测性预训练作为一种互补的归纳偏置，增强了架构提供的鲁棒性。

3. 训练流水线

第一阶段（预训练）： 使用 X-PhiNet 目标对 AKOrN 编码器进行 400 个 epoch 的预训练，以学习具有视图一致性的振荡表示。
第二阶段（微调）： 将预训练头替换为分类头，并使用标准交叉熵损失在有标签数据（CIFAR-10/100）上对模型进行 400 个 epoch 的微调。
随机性： 默认检查点使用 随机初始振荡器状态。因此，鲁棒性评估作为一个随机分类器，使用带有 变换期望 (EoT) ( $K=20$ 个样本) 的 AutoAttack-rand 来正确估计随机性下的梯度。

核心贡献

新颖框架： 引入了 OPL，在无需对抗训练或净化 없이的情况下，在 CIFAR-10 和 CIFAR-100 上实现了最先进的（SOTA）鲁棒性。
效率： 证明了一条实现鲁棒性的路径，其测得的训练 FLOPs 显著低于代表性的对抗训练模型，因为它避免了在优化过程中生成对抗样本的成本。
解耦分析： 提供了证据，表明鲁棒性源于组件间的交互：
- 仅使用 AKOrN 提供了一种强大的鲁棒性偏置（CIFAR-10 上为 64.98%）。
- 仅使用 X-PhiNet 在标准 ResNet 上产生的鲁棒性几乎为零。
- 结合使用 (OPL) 产生了 76.63% 的鲁棒性，显示出比仅使用 AKOrN 高出 11.65 个百分点的放大效应。
动力学敏感性： 识别出鲁棒性集中在一个狭窄的动力学区间内。具体而言，当振荡器维度从 $N=2$ 增加到 $N=4$ 时，鲁棒性会发生近乎不连续的坍塌，尽管 $N=4$ 的模型取得了更高的洁净准确率（clean accuracy）。

实验结果

实验在 $\ell_\infty$ ( $\epsilon=8/255$ ) 和 $\ell_2$ 威胁模型下的 CIFAR-10、CIFAR-100 和 CIFAR-10-C 上进行。

主要鲁棒性指标 (AutoAttack-rand, EoT $K=20$ )：
- CIFAR-10： OPL 实现了 76.63 ± 0.76% 的鲁棒准确率。在相同的协议下，它优于之前的最佳随机防御方法 (DiffPure: 71.29%)。
- CIFAR-100： OPL 实现了 50.44% 的鲁棒准确率。
诊断：
- 梯度掩盖 (Gradient Masking)： 该方法通过了梯度掩盖诊断；鲁棒准确率随 PGD 攻击强度的增加而单调下降，且 Square Attack（黑盒）产生的准确率高于 AutoAttack-rand，表明梯度具有信息量。
- 迁移攻击： 与仅使用 AKOrN 相比，OPL 显示出对迁移攻击更强的抵抗力，表明预测性预训练增强了模型外的稳定性。
- 损坏鲁棒性 (Corruption Robustness)： 与 ResNet 和仅使用 X-PhiNet 的基准相比，OPL 在加性高斯噪声下保持了优越的准确率。
消融研究发现：
- 振荡器维度 ( $N$ )： 鲁棒性严格集中在 $N=2$ 系列中。将 $N$ 增加到 4 会提高洁净准确率（最高约 92%），但会导致鲁棒准确率坍塌至接近 0%。这表明鲁棒性并非容量的副产品，而是取决于特定的动力学约束（严格的一阶相位共识）。
- 展开步数 ( $T$ )： 将展开步数从 3 增加到 5 会降低洁净准确率和鲁棒准确率。

意义与主张

本文声称，对抗鲁棒性可以从结构化编码器动力学与预测学习的交互中涌现，挑战了“高鲁棒性必须依赖训练期间的对抗样本生成或测试时的迭代净化”这一观点。

互补路径： 本研究提出了一条实现鲁棒性的互补路径，即架构归纳偏置（振荡耦合）与自监督目标（预测学习）相互作用，创造了一个鲁棒区间。
计算效率： 通过避免对抗训练，OPL 提供了一条实现鲁棒性的低计算量路径，这在面对对抗训练范式极高的缩放成本时具有重要意义。
局限性与范围： 作者谦虚地指出，其实验受限于 CIFAR 数据集，且实现鲁棒性的机制（特别是 $N=2$ 区间）尚未得到完全的理论解释。他们并不声称该效应会自动迁移到所有预测性 SSL 框架或更大规模的架构，并将其视为未来的工作。论文也承认存在权衡：虽然在没有对抗训练的情况下实现了鲁棒性，但目前的洁净准确率（86.81%）低于高容量的对抗训练模型。