論文の概要: Adversarial Detection for Pre-trained Classifiers via Lipschitz-Margin Analysis with Certification

• arxiv url: http://arxiv.org/abs/2610.15359v1
• Date: Sun, 11 Oct 2026 05:33:29 GMT
• ステータス: 翻訳完了
• システム内更新日: 2026-10-15 21:06:15.203088
• Title: Adversarial Detection for Pre-trained Classifiers via Lipschitz-Margin Analysis with Certification
• Title（参考訳）: 認証付きリプシッツ・マージン分析による事前学習型分類器の逆検出
• Abstract要約: 1つのディフェンダー側ペアから推定$L$を推定する$mathbbD_Adv$と、ローカルのマージンセントロイドとのペアを拡大して、証明書が要求する以上の見積もりを保持する$mathbbD_lc$という2つの検出器ファミリを導入します。 1-LipschitzNet を用いた CIFAR-10 では, 最低 FPR で100% の認証検出が可能となる。
• 参考スコア（独自算出の注目度）: 10.883284075296451
• License: http://arxiv.org/licenses/nonexclusive-distrib/1.0/
• Abstract: Deep classifiers deployed in safety-critical services like autonomous-driving perception remain vulnerable to small adversarial perturbations. Certified $\ell_2$ defenses today face a costly trade-off: randomized smoothing (RS) requires hundreds of noisy queries per input, while Lipschitz networks (LN) constrain the architecture and sacrifice clean accuracy. We take a detection-oriented approach instead: rather than certifying that predictions are invariant inside an $\ell_2$ ball, we certify that adversarial inputs within an $\ell_2$ ball are \emph{detected} --- a guarantee aligned with security-critical deployments where missing an attack is costlier than flagging a clean input. To realize this, we prove a Lipschitz-margin reduction from certified $\ell_2$ robustness to certified detection, which reduces the problem to handling a single Lipschitz constant $L$. We introduce two detector families: $\mathbb{D}_{Adv}$, which estimates $L$ from a single defender-side perturbed pair, and $\mathbb{D}_{lc}$, which augments that pair with a local margin centroid to keep the estimate above what the certificate requires. Both deploy on any pretrained classifier without retraining. With a valid global bound, the detector is fully certified at that radius; with a local estimate $L'$, certification is sample-wise and applies only when our certified condition holds. Across MNIST, CIFAR-10, and ImageNet-1k on four backbones (LeNet-5, VGG16, ResNet-50, ViT-B/16), our detectors match or outperform five baselines (CTT, SortNet, CRM, ContraNet, A$^2$D). For CIFAR-10 with 1-Lipschitz SortNet, our reduction delivers $100\%$ certified detection at the lowest FPR among compared certified detectors; on the standard CIFAR-10 VGG16, our detectors reject all evaluated in-budget adversarial examples, with 62-82\% both rejected and formally certified.
• Abstract（参考訳）: 自動運転車のような安全クリティカルなサービスに配備された深い分類器は、小さな敵の摂動に弱いままである。 ランダム化スムーシング(RS)は入力毎に数百のノイズの多いクエリを必要とし、一方Lipschitz Network(LN)はアーキテクチャを制約し、クリーンな精度を犠牲にしている。 $\ell_2$ ball内での予測が不変であることを証明するのではなく、$\ell_2$ ball 内の逆入力が \emph{detected} であることを証明します。 これを実現するために、認証された$\ell_2$のロバスト性から認証検出へのリプシッツ・マルジンの還元を証明し、1つのリプシッツ定数$L$を扱う問題を減らす。 1つのディフェンダー側の摂動対から$L$を推定する$\mathbb{D}_{Adv}$と、その証明が要求する値以上の見積もりを保持するために、局所余剰セントロイドとのペアを拡大する$\mathbb{D}_{lc}$という2つの検出器ファミリを導入する。 どちらもトレーニング済みの分類器に再トレーニングせずにデプロイする。 有効なグローバルバウンドでは、検出器はその半径で完全に認証され、局所的な推定で$L'$の場合、認証はサンプル単位で適用され、認定条件が満たされた場合にのみ適用される。 MNIST, CIFAR-10, ImageNet-1kの4つのバックボーン(LeNet-5, VGG16, ResNet-50, ViT-B/16)にまたがって, 検出器は5つのベースライン(CTT, SortNet, CRM, ContraNet, A$^2$D)に一致するか, あるいは優れていた。 1-Lipschitz SortNet を用いた CIFAR-10 では, 基準の CIFAR-10 VGG16 では, 標準の CIFAR-10 VGG16 では, 評価された予算内敵の例は全て拒否され, 62-82 % は拒否され, 公式に認証された。

関連論文リスト

• RRISE: Robust Radius Inference via a Surrogate Estimator [30.521314184750867]
  我々はRSフレームワークRRISEを導入し、認証を学習したサロゲートを1つのフォワードパスに圧縮する。 CIFAR-100とTiny ImageNetでは、唯一のオフラインサロゲート方式が崩壊し、RRISEは1.23ドルから1.91タイムスを高い精度で達成した。
  論文  参考訳（メタデータ） (2026-06-01T20:46:06Z)
• MEMSAD: Gradient-Coupled Anomaly Detection for Memory Poisoning in Retrieval-Augmented Agents [0.0]
  検索強化エージェントに対するメモリ中毒攻撃を,統合評価フレームワークを用いたStackelbergゲームとして定式化する。 ASR-R: 0.25〜1.00$) による攻撃成功度を4倍に向上させる。 私たちの主な貢献は、勾配結合に接地したキャリブレーションに基づく防御であるMEMSADである。
  論文  参考訳（メタデータ） (2026-05-05T08:15:41Z)
• Reinforcement Learning with Verifiable yet Noisy Rewards under Imperfect Verifiers [90.50039419576807]
  RLVR(Reinforcement Learning with Verifiable Rewards)は、人為的なラベル付けを避けるために、自動検証に対するポリシーを訓練する。 認証ハッキングの脆弱性を軽減するため、多くのRLVRシステムはトレーニング中にバイナリ$0,1$の報酬を破棄する。 この選択にはコストがかかる:textitfalse negatives(正しい回答、FNを拒絶)とtextitfalse positives(間違った回答、FPを受け入れる)を導入する。
  論文  参考訳（メタデータ） (2025-10-01T13:56:44Z)
• Probabilistically Tightened Linear Relaxation-based Perturbation Analysis for Neural Network Verification [83.25968588249776]
  本稿では,LiRPAに基づく手法とサンプリングに基づく手法を組み合わせることで,厳密な中間到達性集合を計算できる新しいフレームワークを提案する。 無視可能な計算オーバーヘッドでは、$textttPT-LiRPA$は推定された到達可能な集合を利用し、ニューラルネットワークの出力の上下線形境界を著しく締め付ける。
  論文  参考訳（メタデータ） (2025-07-07T18:45:53Z)
• Certified Robustness Under Bounded Levenshtein Distance [55.54271307451233]
  畳み込み型分類器のリプシッツ定数をレヴェンシュテイン距離に対して計算する最初の方法を提案する。 我々の方法であるLipsLevは、それぞれ18.80ドル%と13.93ドル%の精度を1ドルと2ドルで得ることができる。
  論文  参考訳（メタデータ） (2025-01-23T13:58:53Z)
• Exact Certification of (Graph) Neural Networks Against Label Poisoning [50.87615167799367]
  グラフニューラルネットワーク(GNN)におけるラベルフリップの正確な認証手法を提案する。 本稿では,ノード分類タスクにおける広範囲なGNNアーキテクチャの認証に本手法を適用した。 私たちの研究は、ニューラルネットワークによって引き起こされた毒殺攻撃に対する最初の正確な認証を提示します。
  論文  参考訳（メタデータ） (2024-11-30T17:05:12Z)
• Getting a-Round Guarantees: Floating-Point Attacks on Certified Robustness [19.380453459873298]
  敵の例は、わずかな入力摂動によって機械学習分類器の決定を変更できるため、セキュリティリスクを引き起こす。 これらの保証は、ラウンドエラーを引き起こす浮動小数点表現の制限により無効化可能であることを示す。 この攻撃は、正確な認証保証を持つ線形分類器や、保守的な認証を持つニューラルネットワークに対して実行可能であることを示す。
  論文  参考訳（メタデータ） (2022-05-20T13:07:36Z)

関連論文リストは本サイト内にある論文のタイトル・アブストラクトから自動的に作成しています。

指定された論文の情報です。
本サイトの運営者は本サイト（すべての情報・翻訳含む）の品質を保証せず、本サイト（すべての情報・翻訳含む）を使用して発生したあらゆる結果について一切の責任を負いません。