Новый метод интервальной сертификации гарантирует устойчивость нейросетей
Группа исследователей опубликовала работу, в которой предложила новый подход к проверке устойчивости нейронных сетей к враждебным атакам. В основе метода лежит сведение задачи обеспечения надежности классификаторов к проблеме обхода решетки.
Авторы рассматривают многослойные перцептроны (MLP) и вводят понятие интервальной сертификации. Интервал I представляет ось-выровненный гиперпрямоугольник, содержащий входную точку x. Звуковая сертификация гарантирует, что любое возмущение x внутри I не изменит предсказание MLP. Полная сертификация, напротив, гарантирует изменение предсказания при выходе за границы I.
В отличие от звуковой сертификации, которая широко изучалась в контексте устойчивости к атакам, полная сертификация до этой работы не рассматривалась. Исследователи разработали операторы обхода решетки, применяемые в итеративной схеме уточнения и проверки. С помощью формальных верификаторов MLP обеспечивается максимальность для звуковых сертификатов и минимальность для полных.
В работе также изучены задачи оптимизации. Для полной сертификации минимальное решение находится за полиномиальное число запросов к оракулу. Для звуковой сертификации доказана сильная труднорешаемость, что указывает на фундаментальную асимметрию между двумя типами сертификатов.
Для симметричных интервалов (??-сфер) предложены логарифмические алгоритмы. Эмпирическая оценка проведена с помощью новой системы ParallelepipedoNN.
Результаты имеют значение для развития безопасного искусственного интеллекта, так как предлагают строгие гарантии поведения нейросетей при возмущениях. Метод может быть применен в системах, где критически важна устойчивость к атакам, например в автономном вождении или медицинской диагностике.
