参数高效对抗训练的稀疏微调

深度神经网络在众多任务中都取得了出色性能，但仍容易受到对抗扰动的影响。对抗训练（AT）是最有效的防御方法之一，但在大模型上面临较高的内存开销，以及始终存在的干净准确率与鲁棒准确率之间的权衡。近期研究将 LoRA 等参数高效微调方法引入 AT，但这种约束相较于全参数 AT 会造成显著的鲁棒性差距。在本文中，我们从参数空间的角度重新审视参数高效对抗微调。通过梯度分析，我们发现对抗优化高度集中于一小部分参数上，我们将其称为鲁棒性关键参数（RCPs），这表明鲁棒性被编码在一个稀疏子空间中。基于这一观察，我们提出稀疏对抗微调（SAFT），通过对抗梯度显著性识别 RCPs，并仅更新这些参数、冻结其余参数来执行 AT。在不同架构和数据集上的实验表明，SAFT 使用更少的可训练参数，在干净准确率和鲁棒准确率方面均优于基于 LoRA 的方法；与此同时，仅更新约 5\% 的参数，其鲁棒性即可接近或超越全参数 AT。