Randomized Smoothing

CH-15-01-049·约 19 分钟·AI安全伦理与合规·更新 2026-08-05

随机平滑Randomized Smoothing是认证防御方向的重要主题。本文系统讲解其基本概念、核心原理与关键技术实现，并结合对抗攻防的典型应用场景深入分析实践要点、常见问题与解决方案。内容涵盖数据可信层领域的工程实践与最佳实践，结构清晰、案例丰富、干货满满，适用于算法工程师、数据科学家与研究人员学习参考，帮助你系统掌握相关技术并高效应用于实际项目，提升工程落地能力与综合专业水平。

岗位关联

需要学习随机平滑Randomized Smoothing，医疗数据合规是产品能否上线的决定性因素。本篇涵盖偏见检测、隐私保护、AI伦理、法规遵循，帮助你确保AI系统合规可信。

可视化演示
随机平滑加噪投票的核心思想
认证半径计算与可证明鲁棒性
噪声水平与认证半径和精度的权衡
随机平滑相对其他认证防御的优势
推理时多采样投票的计算成本与加速
随机平滑工程实践与局限性
AI 应用场景
Python 演示
常见问答
常见误区
参考来源

可视化演示

展示随机平滑如何通过添加高斯噪声并多数投票获得认证鲁棒性，以及噪声强度与认证半径的权衡关系。

本节配有交互动效（进入视口后自动加载，约 3KB）。

随机平滑认证流程输入：原始干净样本噪声：高斯分布扰动叠加投票：多采样分类多数表决认证：置信边界内的鲁棒保证 R = σ/2 × (Φ⁻¹(pA) − Φ⁻¹(pB)) 噪声越强认证半径越大但精度下降

随机平滑加噪投票的核心思想

这一节讲的是随机平滑的核心思想——随机平滑通过给输入添加随机噪声，对加噪后的多个副本分别用基础分类器预测，再取预测结果的多数票作为最终预测。这样得到的平滑分类器具有可证明的鲁棒性：在一定扰动预算内，输入的扰动不会改变多数票结果，即预测可证明不变。关键洞察是加噪平滑了基础分类器的决策边界，使小扰动难以跨越平滑后的决策边界。随机平滑的优势是模型无关，可把任意已训练好的基础分类器转化为可证明鲁棒的平滑分类器，无需修改基础模型结构或重训，这是它相对其他认证防御的最大特点。

随机平滑给输入加噪对多副本预测取多数票为最终预测。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

平滑分类器在扰动预算内多数票不变预测可证明不变。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

加噪平滑决策边界使小扰动难跨越是鲁棒性来源。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

模型无关可把任意基础分类器转为可证明鲁棒平滑分类器。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

锚定场景：一个金融风控团队需为交易欺诈识别模型提供可证明鲁棒保证以满足合规审计，但已有模型是大规模预训练模型无法改为特殊Lipschitz网络。团队采用随机平滑，对输入特征加高斯噪声生成五百个副本，用已有模型预测取多数票，基于概率间隔计算认证半径。虽推理成本增加但提供L2可证明保证通过审计。团队用模型蒸馏与小批量并行把推理延迟控制在可接受范围，在精度损失两个百分点内获得了可证明鲁棒的欺诈识别能力。

认证半径计算与可证明鲁棒性

这一节讲的是随机平滑认证半径的计算原理——认证半径取决于两个因素：基础分类器在加噪输入上对最高概率类的预测概率，以及该类与次高类的概率间隔。预测概率越高、间隔越大，认证半径越大，可证明鲁棒范围越广。噪声水平也直接影响半径：噪声越大，单个加噪样本预测越分散，但通过统计可推出更平滑的决策边界，认证半径反而可能更大。具体计算基于高斯噪声假设与统计检验，给定噪声方差与预测概率，用置信下界推算认证半径，保证在半径内扰动不改变多数票。这种基于统计的认证使随机平滑能提供L2范数下的可证明鲁棒保证，是认证防御的代表性方法。

认证半径取决于最高概率类预测概率与类间概率间隔。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

预测概率高间隔大则认证半径大可证明范围广。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

噪声水平直接影响半径噪声大决策边界更平滑半径可能更大。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

基于高斯噪声假设与统计检验推算半径提供L2可证明保证。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

噪声水平与认证半径和精度的权衡

这一节讲的是噪声水平与认证半径和干净精度的权衡——噪声水平是随机平滑的关键超参数，存在明显权衡。噪声大时，加噪样本更分散，决策边界更平滑，认证半径更大，可证明鲁棒范围更广，但基础分类器在强噪声下预测准确率下降，干净精度降低。噪声小时，干净精度高但认证半径小，可证明鲁棒范围窄。选噪声水平需在可证明鲁棒性与干净精度间找平衡，通常根据安全要求与精度容忍度选择。还需注意噪声水平在训练平滑分类器时就应确定，使基础分类器适应该噪声水平提升加噪下的预测准确率，否则用未适应噪声的模型推理精度损失更大。

噪声水平是关键超参数存在认证半径与干净精度的权衡。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

噪声大认证半径大可证明范围广但干净精度降低。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

噪声小干净精度高但认证半径小可证明范围窄。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

训练时就确定噪声水平使基础分类器适应噪声提升加噪准确率。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

随机平滑相对其他认证防御的优势

这一节讲的是随机平滑相对其他认证防御方法的优势——最大优势是模型无关，可应用于任意已有基础分类器（包括大规模预训练模型），无需修改结构或重训为特殊Lipschitz网络，而基于Lipschitz常数的认证防御需特殊设计网络结构限制大。随机平滑扩展性好，能处理大模型与大数据集，其他认证防御多限于小规模。随机平滑实现简单，只需加噪投票与统计，工程门槛低。但随机平滑也有局限：目前主要提供L2范数认证，对Linf范数认证弱；推理需多采样成本高；认证半径依赖噪声与概率间隔，强噪声下精度损失大。理解优势与局限有助于在认证防御中合理选型。

最大优势模型无关可应用于任意已有基础分类器含大模型。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

无需修改结构重训而Lipschitz认证需特殊设计网络限制大。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

扩展性好能处理大模型大数据集其他认证多限小规模。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

局限主要L2认证Linf弱推理多采样成本高强噪声精度损。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

推理时多采样投票的计算成本与加速

这一节讲的是随机平滑推理时多采样投票的计算成本与加速方法——随机平滑推理时需对输入加噪生成多个副本（通常数百到上千个）分别用基础分类器预测再投票，计算成本远高于普通单次推理，是工程落地的最大挑战。加速方法包括：减少采样数（但会降低认证半径估计的置信度与认证半径本身）；用早期停止当某类票数已远超其他时提前结束采样；用小批量并行采样充分利用硬件并行；用模型蒸馏把大基础分类器蒸馏为小模型降低单次预测成本。还需注意认证半径估计需保守置信下界，采样数太少会使估计不可靠甚至给出虚假认证，工程上需平衡采样数与成本及认证可靠性。

推理需对输入加噪生成数百到上千副本预测投票成本远高单次。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

减少采样数降低成本但降低认证半径估计置信度与半径本身。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

早期停止与小批量并行采样与模型蒸馏是常见加速方法。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

认证半径估计需保守置信下界采样太少估计不可靠致虚假认证。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

随机平滑工程实践与局限性

这一节讲的是随机平滑的工程实践与局限——实践上，随机平滑适合需可证明鲁棒保证且能接受推理成本与精度折损的高安全场景，如医疗、自动驾驶、金融合规审计。可与经验防御结合，基础分类器先经验对抗训练提升整体鲁棒性，随机平滑再提供可证明保证。局限上，随机平滑主要提供L2范数认证，对Linf等范数认证弱；推理多采样成本高，实时场景难应用；强噪声下干净精度损失大；认证半径依赖基础分类器加噪下的预测质量，若基础分类器对噪声敏感则认证效果差。理解实践与局限有助于合理选型：L2威胁模型且能接受成本用随机平滑，否则考虑其他认证或经验防御。

适合需可证明保证能接受推理成本精度折损的高安全场景。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

可与经验防御结合基础先对抗训练随机平滑再提供保证。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

局限主要L2认证Linf弱推理成本高实时难用强噪声精度损。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

认证效果依赖基础分类器加噪预测质量基础噪声敏感则差。这一要点意味着在技术演讲实践中，需要将理论认知转化为可操作的具体步骤，确保听众不仅理解概念，更能将其应用到自己的演讲设计中。

AI 应用场景

金融风控大模型的认证鲁棒合规

阶段：推理优化

解决的问题：解决金融风控已有大规模预训练模型需提供可证明鲁棒保证以满足合规审计，但无法改为特殊Lipschitz网络的问题，用随机平滑模型无关地提供L2可证明保证。

具体案例：在金融风控系统中团队需为交易欺诈识别模型提供可证明鲁棒保证以满足合规审计要求。但已有模型是大规模预训练模型，改为Lipschitz特殊网络需重训成本高且精度损失大。团队采用随机平滑，对输入交易特征加高斯噪声生成五百个副本，用已有模型分别预测取多数票作为最终预测，基于最高概率类与次高类的概率间隔与噪声水平计算L2认证半径，在半径内扰动保证不改变欺诈判定。虽推理成本增加（五百次预测），但提供了审计要求的可证明鲁棒保证，且无需修改已有大模型。团队用模型蒸馏把大模型蒸馏为小模型降低单次预测成本，配合小批量并行采样把推理延迟从五百毫秒控制到八十毫秒可接受范围。在精度损失两个百分点内（百分之九十四降到百分之九十二）获得了可证明鲁棒的欺诈识别能力，成功通过金融合规审计，为已有大模型的认证鲁棒化提供了高性价比路径。

医疗影像模型的认证鲁棒安全部署

阶段：推理优化

解决的问题：解决医疗影像模型需可证明鲁棒安全边界以保障诊断安全，且希望复用已有高精度模型的问题，用随机平滑在不改模型下提供可证明保证并确定安全边界。

具体案例：在医疗影像系统中团队需为肺结节CT识别模型确定可证明鲁棒安全边界以保障诊断安全，且希望复用已验证的高精度模型而非重训特殊网络。团队采用随机平滑，对输入影像加高斯噪声生成一千个副本，用已有高精度模型预测取多数票，基于概率间隔与噪声水平计算每个样本的L2认证半径。对于认证半径大于影像采集噪声等效扰动的样本，诊断结果可证明不受采集噪声与对抗扰动影响，作为可靠诊断输出；对于认证半径小于该扰动的样本，标记为低置信度触发人工复核。团队通过训练时加入与推理相同噪声水平的数据增强，使基础模型适应噪声提升加噪预测准确率，认证半径整体增大。最终模型在百分之八十二的测试样本上提供了大于采集噪声的认证半径，干净精度损失三个百分点可接受。随机平滑在不改已有高精度医疗模型的前提下提供了可证明鲁棒安全边界，满足医疗诊断的安全与合规要求，成为医疗AI认证鲁棒部署的实用方案。

Python 演示

python33 行

import timeimport random class AudienceEngagementTracker:    """演讲互动节奏追踪器：模拟AI分析听众参与度并推荐互动策略"""     def __init__(self, total_minutes=40, interval=10):        self.total_minutes = total_minutes        self.interval = interval        self.engagement_log = []     def simulate_engagement(self, minute):        attention = max(0.3, 1.0 - (minute % self.interval) * 0.05)        confusion = random.uniform(0, 0.3)        return {"minute": minute, "attention": round(attention, 2), "confusion": round(confusion, 2)}     def recommend_interaction(self, state):        if state["attention"] < 0.5:            return "attention_low", "插入投票或举手互动重新激活注意力"        elif state["confusion"] > 0.2:            return "confusion_high", "用类比重新解释上一个概念"        else:            return "good", "继续当前讲解节奏"     def run(self):        for m in range(0, self.total_minutes, 5):            state = self.simulate_engagement(m)            action, tip = self.recommend_interaction(state)            self.engagement_log.append({**state, "action": action, "tip": tip})            print(f"[{m:>2}min] attention={state['attention']:.2f} confusion={state['confusion']:.2f} -> {tip}") tracker = AudienceEngagementTracker(total_minutes=40, interval=10)tracker.run()

目的：演示一个演讲互动节奏追踪器：模拟AI分析听众注意力与困惑度，在关键节点推荐互动策略。

def __init__(self, total_minutes=40, interval=10):初始化追踪器，设定演讲总时长和推荐互动间隔。
self.engagement_log = []用列表记录每个时间点的听众状态和推荐动作。
def simulate_engagement(self, minute):模拟AI系统对听众参与度的实时分析。
attention = max(0.3, 1.0 - (minute % self.interval) * 0.05)注意力随距上次互动的时间递减，最低0.3。
confusion = random.uniform(0, 0.3)困惑度随机生成，模拟理解程度波动。
def recommend_interaction(self, state):根据听众状态推荐互动策略。
if state["attention"] < 0.5:注意力低于0.5触发预警。
return "attention_low", "插入投票或举手互动重新激活注意力"推荐插入投票恢复注意力。
elif state["confusion"] > 0.2:困惑度超过0.2需要解释。
return "confusion_high", "用类比重新解释上一个概念"推荐用类比重新解释。
return "good", "继续当前讲解节奏"状态良好继续讲解。
for m in range(0, self.total_minutes, 5):每5分钟采样一次听众状态。
print(f"[{m:>2}min] attention={state['attention']:.2f} confusion={state['confusion']:.2f} -> {tip}")输出时间戳、状态和推荐策略。

常见问答

在技术演讲中随机平滑Randomized Smoothing的核心目标是什么？

核心目标是将听众从被动接收者转变为主动参与者，通过精心设计的参与环节提升记忆留存和理解深度。有效的互动需要与内容目标对齐，在关键节点精准设计。

互动环节应该多久安排一次？

建议每隔10-15分钟安排一次互动。成年人的持续专注时间约为15-20分钟，在注意力曲线开始下行前插入互动能在听众精力尚存时重新激活参与度。

互动冷场时有哪些应对策略？

三种策略：预设托儿问题自己先回答降低门槛；将开放问题降级为封闭选择让听众选择而非思考；准备相关小故事在冷场时过渡。关键是不要慌张，有备用方案即可从容应对。

AI如何帮助改善演讲互动效果？

AI通过分析听众面部表情和举手频率，实时向演讲者推送互动建议。检测到注意力下降时建议插入投票；检测到困惑表情时推荐用类比重新解释。AI还能通过在线工具的匿名反馈帮助动态调整内容深度。

互动过多会有什么负面影响？

互动过多会打断技术内容的连贯性，导致听众无法形成完整知识链条。有效互动需要在关键节点精准设计，每10-15分钟安排一次高质量互动，而非全程频繁提问。

常见误区

误区认为随机平滑因为加噪投票所以对所有范数和所有攻击都提供可证明鲁棒。

正解随机平滑目前主要提供L2范数下的可证明鲁棒保证，对Linf等其他范数的认证较弱或无保证。认证半径也是针对特定范数与噪声分布的，超出该范数的攻击不在保证范围。误以为对所有范数攻击都保证会忽视其他范数威胁导致安全漏洞。随机平滑的保证是特定条件下的，非万能。

为何常见：学习者把可证明鲁棒误读为对所有攻击的完全保证，忽略保证的范数与条件限定。

误区认为噪声越大认证半径越大所以应该用最大噪声。

正解噪声大确实可能增大认证半径，但同时使基础分类器在强噪声下预测准确率大幅下降，干净精度与认证精度都降低，且若基础分类器对噪声敏感则预测概率间隔小认证半径反而可能不增。噪声水平需在认证半径与精度间找平衡，且需基础分类器适应该噪声。盲目用最大噪声会牺牲精度且未必增大半径。

为何常见：学习者把噪声大等同于半径大，忽略噪声对基础分类器预测质量的影响与精度代价。

误区认为随机平滑推理时采样数越少越好以降低成本不影响认证。

正解采样数少虽降低成本，但使认证半径估计的置信度降低，估计的半径不可靠甚至给出虚假认证（实际不鲁棒却认证为鲁棒）。认证半径估计需保守的置信下界与足够采样数保证可靠性。采样数太少会破坏认证的可信度，工程上需平衡采样数与成本及认证可靠性，不能为降成本牺牲认证可信。

为何常见：学习者把采样数只当成成本因素，忽略它对认证半径估计置信度与可靠性的关键影响。

误区认为随机平滑模型无关所以可以随便拿任何模型直接用不用训练适应。

正解虽然随机平滑理论上可应用于任何模型，但若基础模型未在推理噪声水平下训练适应，其在加噪输入上预测质量差，概率间隔小，认证半径小甚至无认证。实践上需在训练时加入与推理相同噪声水平的数据增强，使基础模型适应噪声提升加噪预测准确率，才能获得大的认证半径。直接拿未适应模型用随机平滑效果很差。

为何常见：学习者把模型无关误读为不用任何训练适应，忽略基础模型对噪声适应对认证效果的关键作用。

参考来源

webpageAudience Engagement Best PracticesSlido关于观众参与和实时反馈工具的最佳实践。
webpageHow to Engage Your AudienceMentimeter关于演讲观众参与的综合指南。
docTEDx Presentation Coaching GuideTEDx演讲教练指南中的互动设计策略。
webpageKeeping Audience Engaged in Technical Presentations技术演讲中保持观众参与度的策略。
docThe Craft of Scientific Presentations科学演讲技巧参考，涵盖互动设计和注意力管理。