Голосование детекторов проигрывает атаке на метки

Обычное голосование между детекторами выглядит разумной страховкой: если несколько моделей видят один и тот же объект, их общий ответ можно считать более надёжным. Но это работает только пока ошибки независимы. Если модели ломаются согласованно, большинство просто уверенно закрепляет неправильный ответ.

Именно этот сценарий разбирают авторы препринта Adversarially Robust Abductive Fusion of Pre-trained Transformer-based Perception Models. Они рассматривают шесть ViT-детекторов и пытаются объединить их предсказания так, чтобы система умела замечать не только расхождения, но и подозрительно согласованные ошибки.

Ключевая идея — метакогнитивный слой, который оценивает, насколько предсказание каждой модели похоже на её собственный опыт обучения. Для этого авторы строят Label Vector Pools: наборы векторных представлений из обучающих эмбеддингов конкретной модели. Геометрия этих векторов используется для вывода правил, способных отличать нормальные detections от вероятных ошибок.

Важное практическое следствие: такие правила не требуют заранее прописывать знания вроде «объект обычно занимает столько-то пикселей» или использовать доменные маски сегментации. При этом подход остаётся нейросимвольным — геометрические оценки можно объединять с логическими правилами и дополнительными знаниями предметной области, если они доступны.

Формально объединение предсказаний задаётся как задача абдукции по согласованности и решается на этапе тестирования. В работе есть два варианта: точное решение через Integer Program и эвристика с полиномиальным временем. Это не просто усреднение вероятностей и не ещё один голосующий классификатор: система пытается найти наиболее правдоподобное объяснение для набора несовершенных наблюдений.

На чистых данных результат оказался почти таким же, как у наиболее сильного варианта majority vote: разница составила не более 0,005 F1. Но при атаке, где метки переворачиваются скоординированно, разрыв меняется. При 90% flip rate предложенный метод получил в среднем 0,42 F1 против 0,35 у MV-Plurality — относительный прирост 22%. При уровне атаки выше 0,4 он показывал лучший F1 на каждом тестовом наборе.

Это сильный аргумент против интуиции «добавим ещё несколько моделей — и ансамбль станет устойчивее». Если общий механизм сбоя не учитывается, большее число голосов может лишь повысить уверенность в ошибке. Проверка геометрической совместимости предсказания с обучающим распределением даёт ансамблю отсутствующий слой самоконтроля.

Но переносить результат на любые системы пока рано. Эксперимент проведён на бенчмарке аэрофотоснимков с 15 тестовыми наборами, созданными weather shift, и шестью ViT-детекторами. Поэтому главный вывод сейчас не в том, что majority vote устарел, а в том, что для надёжного ансамбля нужно моделировать коррелированные ошибки — и это можно делать без полного набора ручных правил предметной области.

Источник: cs.AI updates on arXiv.org