Evaluating Similitude and Robustness of Deep Image Denoising Models via Adversarial Attack

إليك ملخص تقني مفصل للورقة البحثية بعنوان "تقييم التشابه والمتانة لنماذج إزالة الضجيج من الصور عبر الهجوم العدائي" (Evaluating Similitude and Robustness of Deep Image Denoising Models via Adversarial Attack).

1. بيان المشكلة

حققت الشبكات العصبية العميقة (DNNs) أداءً فائقاً في مجال إزالة الضجيج من الصور، متجاوزةً الطرق التقليدية القائمة على النماذج. ومع ذلك، تُعرف هذه الشبكات بضعفها أمام الهجمات العدائية (Adversarial Attacks)، حيث تؤدي الاضطرابات غير المحسوسة إلى تدهور كبير في الأداء.

• الفجوة: بينما تمت دراسة الهجمات العدائية جيداً في مهام التصنيف، إلا أنها لم تُدرس بشكل كافٍ في مهام إزالة الضجيج (وهي مهمة انحدار/Regression).
• التحدي: غالباً ما تغير الهجمات الحالية توزيع الضجيج بشكل كبير، مما يجعل من غير الواضح ما إذا كان انخفاض الأداء ناتجاً عن الهجوم أم مجرد تغيير في خصائص الضجيج. علاوة على ذلك، لا تزال المتانة والتشابه الداخلي بين بنيات إزالة الضجيج المختلفة (غير العمياء، والعمياء، ونماذج التوصيل والتشغيل Plug-and-play، ونماذج الفك Unfolding) غير معروفة.
• الهدف: اقتراح هجوم عدائي يحافظ على توزيع الضجي Original الأصلي مع نجاحه في خداع نماذج إزالة الضجيج، واستخدام هذا الهجوم لتقييم المتانة والتشابه الهيكلي لمختلف نماذج إزالة الضجيج العميقة.

2. المنهجية

أ. Denoising-PGD (الهجوم المقترح)

يقترح المؤلفون denoising-PGD، وهو طريقة هجوم عدائي تعتمد على إطار عمل "الاشتقاق المتدرج المتوقع" (Projected Gradient Descent - PGD)، والمعدلة خصيصاً لإزالة الضجيج من الصور.

• المدخلات: صورة مشوشة $x = u + n$ (حيث $u$ هي الصورة النظيفة، و $n$ هو ضجيج غاوسي).
• الهدف: توليد ضجيج عدائي $x'$ بحيث يكون الناتج المنقى $D(x')$ ذا جودة أقل بكثير من $D(x)$، مع الحفاظ على توزيع الضجيج مطابقاً تقريباً للتوزيع الغاوسي.
• دالة الخسارة (Loss Function): على عكس هجمات التصنيف التي تزيد من خطأ التصنيف، تعمل هذه الطريقة على تقليل التشابه بين المخرج المنقى والصورة الأصلية النظيفة.
  $$\min \gamma(x' - x) \quad \text{s.t.} \quad E(D(x), y) - E(D(x'), y) > M$$
  حيث $E$ هو مقياس مثل PSNR أو SSIM أو MAE، و $M$ هو عتبة الهجوم الناجح.
• القيد الرئيسي: يتم إضافة الاضطراب إلى صورة الضجيج (وليس الصورة النظيفة) لضمان بقاء توزيع الضجيج الناتج قريباً من التوزيع الغاوسي، مما يمنع عزو الهجوم إلى تغيير في مستويات الضجيج.

ب. تشابه متانة إزالة الضجيج (DMRS)

للتحقيق في سبب انتقال الهجمات العدائية بشكل جيد بين النماذج المختلفة، قدم المؤلفون مقياساً يسمى Denoising Model Robustness Similitude (DMRS).

• المفهوم: يقومون بتحليل "الفضاء العدائي" عبر توليد عينات ضجيج على دائرة في الفضاء عالي الأبعاد المحيط بصورة الضجيج الغاوسي.
• القياس: يقومون بحساب الاتحاد على التقاطع (IoU) لـ "الرسوم البيانية الرادارية" التي تمثل المناطق العدائية لنماذج مختلفة.
• الفرضية: إذا تشاركت مجموعتان من النماذج في نفس مجموعة العينات العدائية (DMRS مرتفع)، فهذا يعني أنهما تمتلكان سلوكيات محلية وحدود قرار متشابهة.

ج. الدفاع: التدريب العدائي (Adversarial Training)

تقيم الورقة التدريب العدائي كوسيلة دفاعية، حيث يتم إعادة تدريب النموذج باستخدام مزيج من الضجيج الغاوسي النظيف وصور الضجيج العدائية.

د. L2-Denoising-PGD

لضمان بقاء توزيع الضجيج غاوسياً بشكل صارم، يقترح المؤلفون L2-denoising-PGD، الذي يفرض قيد L2 على الاضطراب، مما يجبر الضجيج العدائي على الالتزام بدقة أكبر بافتراض التوزيع الغاوسي.

3. المساهمات الرئيسية

1. هجوم Denoising-PGD: هجوم عدائي مبتكر ينجح في خفض أداء نماذج إزالة الضجيج العميقة مع الحفاظ على توزيع الضجيج دون تغيير تقريباً (غير محسوس للعين البشرية).
2. اكتشاف التشابه العالي: كشفت الدراسة أن جميع النماذج السائدة حالياً لإزالة الضجيج العميق (غير العمياء، والعمياء، ونماذج التوصيل والتشغيل، ونماذج الفك) تتشارك في نفس مجموعة العينات العدائية تقريباً. وهذا يعني أنه رغم اختلاف البنيات ونماذج التدريب، فإن هذه النماذج تتعلم وظائف محلية متشابهة للغاية.
3. ترتيب المتانة:
   • الأكثر متانة: النماذج غير العمياء المعتمدة على البيانات (مثل DnCNN و ECNDNet).
   • متوسطة المتانة: النماذج الهجينة بين النماذج والبيانات (مثل DPIR و DeamNet).
   • الأقل متانة: نماذج إزالة الضجيج العمياء (مثل DnCNN-B و Noise2Noise).
4. القابلية للانتقال (Transferability): يظهر الهجوم قدرة عالية غير متوقعة على الانتقال عبر أنواع النماذج المختلفة، وهو أمر نادر في مهام التصنيف (حيث يكون PGD عادةً ذا قدرة انتقال منخفضة). وهذا يؤكد التشابه الهيكلي العالي لشبكات إزالة الضجيج العميقة.
5. التحقق من الدفاع: أثبت التدريب العدائي فعاليته في تحسين المتانة (تقليل انخفاض PSNR من ~0.8dB إلى ~0.1dB) دون التأثير على الأداء مع الضجيج الغاوسي النظيف.
6. مقاومة النماذج الموجهة بالنماذج: أظهرت الطريقة الكلاسيكية الموجهة بالنماذج BM3D مقاومة قوية لهذه الهجمات العدائية، على عكس نماذج التعلم العميق.

4. النتائج التجريبية

• انخفاض الأداء: في مجموعة بيانات Set12 (مستوى ضجيج $\sigma=25$)، تسبب الهجوم في:
  • DnCNN (غير blind): انخفاض في PSNR بنحو ~0.8 dB.
  • DnCNN-B (Blind): انخفاض في PSNR بنحو ~4.0 dB (أكثر عرضة للخطر بشكل ملحوظ).
  • DPIR (Plug-and-Play): انخفاض في PSNR بنحو ~2.1 dB.
• القابلية للانتقال: تسببت العينات العدائية المولدة لـ DnCNN في انخفاض كبير في الأداء لكل من FFDNet، و ECNDNet، و DnCNN-B، و RDDCNN-B، و DPIR، و DeamNet.
• درجات التشابه (DMRS):
  • أظهرت النماذج غير العمياء تشابهاً بنسبة ~97% مع بعضها البعض.
  • أظهرت النماذج الهجينة (DPIR، DeamNet) تشابهاً بنسبة ~90-94% مع النماذج غير العمياء.
  • أظهرت النماذج العمياء تشابهاً أقل (~50-60%) مع النماذج غير العمياء، ولكن تشابهاً عالياً فيما بينها.
• الصور الملونة: تم توسيع الهجوم ليشمل صور RGB (FFDNet)، وأظهر اتجاهات انتقال مشابهة، وإن كانت أقل فعالية قليلاً من الصور ذات التدرج الرمادي.
• التدريب العدائي: بعد التدريب بالعينات العدائية، انخفضت هشاشة النموذج بشكل حاد (انخفض PSNR المتبقي من 0.88dB إلى 0.16dB)، بل وأنتج النموذج نتائج أفضل مع الضجيج الغاوسي النظيف مقارنة بالنموذج الأصلي من خلال تقليل العيوب (artifacts).

5. الأهمية والآثار المترتبة

• هشاشة إزالة الضجيج العميقة: رغم درجات PSNR العالية، فإن نماذج إزالة الضجيج العميقة هشة ويمكن "خداعها" بسهولة بواسطة نفس الاضطراب الصغير، بغض النظر عن بنيتها.
• السلوك الموحد: يشير اكتشاف أن النماذج المتنوعة تتشارك في نفس الفضاء العدائي إلى أن مهام إزالة الضجيج العميقة قد تقاربت نحو "مانيفولد" (manifold) حل محدد وضيق، مما يجعلها معرضة للخطر بشكل جماعي.
• استراتيجية الدفاع: ثبت أن التدريب العدائي وسيلة دفاع فعالة، حيث يحسن كل من المتانة وجودة إزالة الضجيج.
• دور الطرق الكلاسيكية: تشير مقاومة BM3D إلى أن الطرق الكلاسيكية الموجهة بالنماذج قد تعمل كـ "منقٍ" (purifier) قوي أو كخطوة معالجة مسبقة في سلاسل الدفاع العدائي، وهو دور يُفترض غالباً للتعلم العميق لكن التعلم العممق نفسه يفشل في تأمينه ضد هذه الهجمات المحددة.
• اتجاه بحثي جديد: يرسخ هذا العمل "هجوم إزالة الضجيج من الصور" كمنطقة بحثية متميزة وحرجة، تتجاوز مهام التصنيف لتشمل مهام الرؤية القائمة على الانحدار.