对于深度神经网络来说,有一个非常有趣的特性就是它们容易受到对抗样本的攻击——攻击者恶意生成的可以造成目标深度神经网络误分类的输入。为了防止对抗样本所带来的威胁,研究者提出了许多启发式防御方法,然而这些启发式防御方法很容易被更强的适应性攻击者攻破。为了结束攻击者与防御者之间漫长的军备竞赛,研究者又就验证模型鲁棒性的相关技术作出了很大的努力,确保对于给定的输入,保证邻近空间不存在任何对抗样本。然而,之前的研究工作集中在以输入样本为中心的对称的邻近空间(具体来说,以输入为中心的超矩形),而忽略了对抗扰动方向的固有的异质性(例如,输入更容易受到某个扰动方向的影响)。在本文中,首先提出一种启发式防御框架DeT,它可以1)防御常见攻击方法所生成的对抗样本;2)在较大对抗干扰下依然能将对抗样本正确分类。De T是一种基于迁移性的防御方法,而且据我们所知是第一种这样的尝试。我们的实验结果表明De T在黑盒攻击与灰盒攻击都能取得很好的防御效果。为了缩小对称鲁棒空间与真实鲁棒空间之间的差距,进一步,我们提出了非对称鲁棒性边界的概念,它考虑了扰动方向的异质性,并提出了一个称为变形虫1的框架。该框架可以验证给定的深度神经网络和输入的不对称鲁棒性边界。通过大量的实验,我们表明,与对称的鲁棒性验证方法相比,输入样本的非对称鲁棒性边界以更精确的方式描述了它的领近的鲁棒空间,使得我们可以将阿米巴的验证结果应用到一系列安全相关的任务中,包括(1)增强现有对抗攻击的性能,(2)解释的模型的预测,以及(3)探索对抗样本的可迁移性。在从对称鲁棒性界限(易于计算但不精确)到真实鲁棒性界限(不易于计算但精确)的范围内,不对称鲁棒性界限在计算效率和建模表达性之间取得了平衡,使其可以对模型的鲁棒性进行更加实际的衡量。