🤖 machine learning

Accelerating Targeted Hard-Label Adversarial Attacks in Low-Query Black-Box Settings

تقدم هذه الورقة هجوم الحافة المستهدف بالمعلومات (TEA)، وهو طريقة هجوم عدائي مبتكرة من نوع الصندوق الأسود تستفيد من معلومات الحواف من الصورة المستهدفة لتقليل عدد الاستعلامات بشكل كبير وتحسين الكفاءة مقارنة بالتقنيات الرائدة الحالية في إعدادات الاستعلام المنخفض.

المؤلفون الأصليون: Arjhun Swaminathan, Mete Akgün

نُشر 2026-04-23

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Arjhun Swaminathan, Mete Akgün

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

إليك شرح لورقة البحث "تسريع الهجمات المستهدفة ذات الملصقات الصعبة في بيئات الصندوق الأسود منخفضة الاستعلامات" باستخدام لغة بسيطة وتشبيهات إبداعية.

الصورة الكبيرة: "لعبة التخمين" التي ساءت

تخيل أنك تلعب لعبة عالية المخاطر تسمى "خمن الصورة".

الذكاء الاصطناعي (الحارس): ينظر إلى صورة قطة ويقول بثقة: "هذه قطة!".
المهاجم (أنت): تريد خداع الذكاء الاصطناعي لجعله يعتقد أن نفس الصورة هي في الواقع كلب.
العائق (الصندوق الأسود): لا يمكنك رؤية عقل الذكاء الاصطناعي أو كيف يفكر. يمكنك فقط عرض صورة عليه، وسوف يخبرك بالملصق النهائي فقط (مثل "قطة" أو "كلب"). لن يخبرك مدى قربك من أن تكون على صواب.
الحد الأقصى (استعلامات منخفضة): لديك عدد ضئيل جداً من التخمينات (الاستعلامات) قبل أن تنتهي اللعبة. إذا نفدت تخميناتك، تخسر.

المشكلة: الطرق الحالية لخداع الذكاء الاصطناعي تشبه شخصاً معصوب العينين يحاول العثور على باب محدد في مستودع ضخم ومظلم. يتجول حول، يصطدم بالجدران، ويهدر استعلاماته القليلة فقط في محاولة معرفة أين توجد الجدران. وبحلول الوقت الذي يجد فيه الباب، يكون قد نفد منه عدد التخمينات المسموح بها.

الحل: تقنية TEA (الهجوم المستهدف المعتمد على الحواف)

يقترح المؤلفون استراتيجية جديدة تسمى TEA. بدلاً من التجول بعشوائية، تستخدم TEA "خريطة" مستمدة من الصورة المستهدفة نفسها.

إليك التشبيه: النحات مقابل المتنزه الأعمى.

1. الطريقة القديمة (المتنزه الأعمى)

تخيل أن لديك كتلة من الرخام (الصورة المستهدفة: كلب) وتريد نحتها لتصبح تمثالاً يشبه القطة (الصورة المصدر)، ولكن يجب أن تحافظ على ملصق "كلب" حتى اللحظة الأخيرة.

المهاجمون القدامى: كانوا معصوبي العينين. ينحتون في الرخام بشكل عشوائي، ويسألون الذكاء الاصطناعي: "هل هي كلب بعد؟" إذا قال الذكاء الاصطناعي "لا"، ينحتون مرة أخرى. إنهم يهدرون معظم طاقتهم فقط في محاولة العث // لإيجاد الشكل الصحيح لأنهم لا يعرفون أي أجزاء من الحجر هي المهمة.

2. طريقة TEA (النحات مع خريطة)

TEA تشبه النحات الذي يعرف بالضبط كيف يجب أن يبدو التمثال النهائي، ولكنه يعرف أيضاً قواعد اللعبة.

السلاح السري (الحواف): تتعرف TEA على صورة "الكلب" وتحدد الحواف — الخطوط الحادة التي تحدد الأذنين، والأنف، والذيل. هذه هي "الهيكل العظمي" للصورة.
الاستراتيجية:
- لا تلمس الهيكل العظمي: تعرف TEA أنه إذا عبثت بالخطوط الحادة (الحواف)، فإن الذكاء الاصطناعي سيصرخ فوراً: "هذا ليس كلباً!".
- قم بتنعيم الباقي: تقوم TEA فقط بتغيير المناطق "الناعمة" (الفراء، الخلفية، المساحات الفارغة). فهي تحول الأجزاء الناعمة للكلب ببطء إلى الأجزاء الناعمة للقطة.
- النتيجة: لأنها تحافظ على "الهيكل العظمي"، يستمر الذكاء الاصطناعي في قول "كلب" لفترة أطول بكثير، حتى مع بدء الصورة في التشبه بالقطة. هذا يسمح لـ TEA بالاقتراب جداً من شكل القطة باستخدام عدد قليل جداً من التخمينات.

كيف تعمل في خطوتين

الخطوة 1: المسح الشامل (النظر من بعيد)
تبدأ TEA بالنظر إلى الصورة بأكملها. تقوم بلطف بدفع الأجزاء "الناعمة" لصورة الكلب نحو صورة القطة، مثل تسوية بطانية. إنها تتجاهل الخطوط الحادة (الحواف) حتى لا يصبح الذكاء الاصطناعي مرتاباً. هذا يجعل الصورة تصل إلى 80% من هدفها بسرعة كبيرة.

الخطوة 2: العمل بالرقع (التقريب)
بمجرد أن تصبح الصورة الكلية قريبة، تقوم TEA بالتركيز (التقريب) على قطع صغيرة وعشوائية (مثل مربع صغير من أذن الكلب). تقوم بإجراء تعديلات دقيقة وصغيرة على هذه القطع، مع تجنب الخطوط الحادة مرة أخرى. إنها تشبه القيام بعمليات الضبط الدقيق على منحوتة.

"التبديل":
بمجرد أن تقوم TEA بسحرها وتصبح الصورة قريبة جداً، تسلم الراية لطريقة أقدم وأكثر تعقيداً (تسمى CGBA-H) لإنهاء المهمة. فكر في TEA كعداء مسافات قصيرة يوصلك إلى خط النهاية بسرعة، والطريقة الأخرى كعداء ماراثون يضمن لك عبور الخط بشكل مثالي.

لماذا يعد هذا أمراً هاماً؟

اختبر المؤلفون هذه الطريقة على نماذج ذكاء اصطناعي شهيرة (مثل ResNet و VGG) ووجدوا:

70% تخفيض في التخمينات: لخداع الذكاء الاصطناعي، احتاجت TEA إلى حوالي 250 تخميناً فقط، بينما احتاجت أفضل الطرق السابقة إلى 850 تخميناً.
تأثير في العالم الحقيقي: العديد من أنظمة الذكاء الاصطناعي التجارية (مثل تلك المستخدمة في البنوك أو كاميرات المراقبة) تضع حداً لعدد المرات التي يمكنك فيها طرح الأسئلة لمنع الاختراق. TEA فعالة للغاية لدرجة أنها يمكن أن تكسر هذه الأنظمة قبل أن تدرك ما يحدث.
تعمل في كل مكان: نجحت في العمل على نماذج ذكاء اصطناعي مختلفة، وأحجام صور مختلفة، وحتى نماذج "التعلم الصفري" (Zero-Shot) الحديثة (الذكاء الاصطناعي الذي لم يتم تدريبه خصيصاً على البيانات التي تهاجمها).

"ما الفائدة؟" (التأثير الأوسع)

الأخبار الجيدة: هذا يساعد خبراء الأمن على فهم مدى ضعف دفاعات الذكاء الاصطناعي لديهم. إذا كان بإمكان المهاجم كسر نظام باستخدام 250 تخميناً فقط، فإن النظام ضعيف للغاية.

الأخبار السيئة: هذا يجعل من السهل على الجهات السيئة اختراق الأنظمة الحقيقية (مثل السيارات ذاتية القيادة أو أدوات التشخيص الطبي) دون أن يتم كشفهم.

الخلاصة: يقول المؤلفون أساساً: "لقد وجدنا طريقاً مختصراً لكسر هذه الأقفال. الآن، تحتاجون لبناء أقفال أفضل تنتبه إلى شكل وبنية الصورة، وليس فقط الألوان".

الملخص في جملة واحدة

TEA هي مخترقة ذكية وفعالة تخدع الذكاء الاصطناعي من خلال الحفاظ بعناية على "إطار" الصورة مع تغيير بقية تفاصيلها سراً، مما يسمح لها باختراق الأنظمة باستخدام جزء بسيط من التخمينات التي تتطلبها الطرق القديمة.

إليك ملخص تقني مفصل للورقة البحثية "تسريع هجمات التلاعب المستهدفة ذات الملصق الصعب في بيئات الاستعلام المنخفضة الصندوق الأسود" (Accelerating Targeted Hard-Label Adversarial Attacks in Low-Query Black-Box Settings) من إعداد أرجون سواميناثان وميتي أكجون.

1. بيان المشكلة

تتناول الورقة تحدي هجمات التلاعب المستهدفة ذات الملصق الصعب (targeted hard-label adversarial attacks) في بيئات الصندوق الأسود (black-box settings).

السياق: الشبكات العصبية العميقة معرضة للأمثلة المعادية (اضطرابات غير محسوسة تسبب خطأ في التصنيف).
القيود:
- الملصق الصبح (المعتمد على القرار): يتلقى المهاجم فقط أعلى ملصق متوقع (top-1)، وليس درجات الثقة أو التدرجات (gradients).
- الصندوق الأسود: لا يملك المهاجم أي وصول إلى المعلمات الداخلية للنموذج.
- ميزانية استعلام منخفضة: السيناريوهات الواقعية (مثل واجهات برمجة التطبيقات التجارية) غالبًا ما تضع قيودًا على عدد الاستعلامات (على سبيل المثال، أقل من 1,000 استعلام).
التحدي المحدد: الهجمات المستهدفة (إجبار صورة $x_t$ لتبدو مثل $x_s$ مع الحفاظ على ملصق $x_t$ ) أصعب من الهجمات غير المستهدفة لأن مناطق القرار لفئات مستهدفة معينة تكون ضيقة ومعزولة.
قصور أحدث التقنيات الحالية (SOTA): تعتمد الأساليب الحالية (مثل HSJA و CGBA-H) على الأساليب القائمة على الهندسة (تتبع حدود القرار أو تقدير التدرجات المحلية). هذه الأساليب غير فعالة في المراحل الأولى من الهجوم عندما تكون الصورة المعادية بعيدة عن الصورة المصدر، حيث يكون فضاء القرار واسعًا. فهي "تستهلك" الاستعلامات في محاولة لتقدير الهندسة المحلية قبل الوصول إلى المنطقة الضيقة التي تصبح فيها هذه الهندسة مفيدة.

2. المنهجية: الهجوم المستهدف الموجه بالحواف (TEA)

يقترح المؤلفون TEA، وهو استراتيجية هجوم مبتكرة تستفيد من معلومات الحواف (edge information) من الصورة المستهدفة بدلاً من الاعتماد على هندسة حدود القرار المحلية. الفرضية الأساسية هي أن الحفاظ على الميزات الهيكلية منخفضة المستوى (الحواف) يساعد في الحفاظ على تصنيف الهدف مع السماتد بالسماح للصورة بالاقتراب من المصدر.

يعمل TEA في مرحلتين متمايزتين:

المرحلة (أ): البحث العالمي الموجه بالحواف

الهدف: محاذاة الصورة المستهدفة ( $x_t$ ) تقريبيًا نحو الصورة المصدر ( $x_s$ ) مع الحفاظ على ملصق الفئة المستهدفة.
الآلية:
1. إنشاء قناع حافة ناعم: يتم اكتشاف الحواف في $x_t$ باستخدام مشغل سوبل (Sobel operator). يتم تطبيق تمويه غاوسي (Gaussian blur) لإنشاء "قناع حافة ناعم" ( $M_{edge}$ )، حيث تكون قيم مناطق الحواف قريبة من 1 وقيم المناطق الناعمة قريبة من 0.
2. الاستيفاء المقنع (Masked Interpolation): تقوم الخوارزمية بتحديث الصورة بشكل تكراري باستخدام بحث قائم على الزخم. قاعدة التحديث هي:
  $x_{k+1} \leftarrow x_k + \alpha (x_s - x_k) \odot (I - M_{edge})$
  هنا، $\odot$ هو الضرب العنصري. المصطلح $(I - M_{edge})$ يضمن أن الاستيفاء (التحرك نحو المصدر) يحدث فقط في المناطق غير الحافية (الناعمة). يتم الحفاظ على مناطق الحواف للحفاظ على البنية الدلالية المطلوبة لتصنيف الهدف.
3. الإنهاء: تستمر هذه المرحلة حتى تصل التحسينات إلى حالة الركود (فشل الاستعلامات المتتالية في تقليل المسافة).

المرحلة (ب): البحث الموجه بالحواف القائم على الرقع (Patch-Based)

الهدف: تنقية الاختلافات المحلية بعد المحاذاة العالمية.
الآلية:
1. اختيار الرقع: يتم تقسيم الصورة إلى رقع مختارة عشوائيًا ذات أحجام متفاوتة.
2. القناع المحلي: يتم تطبيق قناع حافة ناعم محلي على الرقعة.
3. التوزين الغاوسي: يتم وزن التحديثات داخل الرقعة بواسطة دالة غاوسية لتجنب الحواف الاصطناعية عند حدود الرقعة.
4. التحسين: تبحث الخوارزمية عن أكبر حجم خطوة $\beta$ بحيث يظل المصنف يتنبأ بالملصق المستهدف.
5. الإنهاء: تتوقف العملية بعد عدد محدد من التكرارات دون حدوث تحسن (على سبيل المثال، 25 فشلاً متتاليًا).

الاستراتيجية الهجينة (TEA*)

بمجرد أن يقلل TEA المسافة إلى نقطة يدخل فيها التصوير إلى "فضاء قرار ضيق"، تنتقل الطريقة إلى طريقة (CGBA-H) وهي أحدث تقنية قائمة على الهندسة، وذلك من أجل التنقية النهائية. يُطلق على هذا النهج الهجين اسم TEA*.

3. المساهمات الرئيسية

استراتيجية هجوم مبتكرة (TEA): تقديم استراتيجية تشويه موجهة بالحواف تعطي الأولوية للمناطق غير الحافية. يسمح هذا بتقدم سريع في المراحل الأولى من الهجوم دون الحاجة إلى تقدير التدرج.
عملية ثنائية المراحل: بحث عالمي يليه تنقية محلية قائمة على الرقع، مصممة خصيصًا لتجنب إضاعة الاستعلامات في فضاءات القرار الواسعة.
تحسينات كبيرة في الكفاءة: يحقق TEA انخفاضًا بنسبة 70% في عدد الاستعلامات مقارنة بثاني أفضل طريقة (AHA) لتحقيق تقليل في المسافة بنسبة 60%.
- مثال: للوصول إلى تقليل مسافة بنسبة 60%، استخدم TEA متوسط 251 استعلامًا، بينما تطلبت طريقة AHA حوالي 845 استعلامًا.
تحسين التهيئة (Initialization): يوفر TEA نقطة تهيئة متفوقة للهجمات الحالية القائمة على الهندسة، مما يعزز أداءها في الأنظمة ذات الاستعلامات العالية.

4. النتائج التجريبية

قام المؤلفون بتقييم TEA على مجموعة التحقق من ImageNet (1,000 زوج من المصدر والهدف) عبر أربع بنيات: ResNet-50، وResNet-101، وVGG16، وViT. كما اختبروا النتائج على النماذج المدربة ضد الهجمات (adversarially trained) ونموذج CLIP ذو التعلم الصفري (zero-shot).

الأداء في الاستعلامات المنخفضة:
- تفوق TEA باستمرار على HSJA و AHA و CGBA و CGBA-H في نظام الاستعلامات المنخفضة (< 1,000 استعلام).
- المساحة تحت المنحنى (AUC): حقق TEA أدنى مساحة تحت المنحنى لـ $\ell_2$ distance مقابل عدد الاستعلامات، مما يشير إلى أسرع معدل لتقليل المسافة.
- معدل نجاح الهجوم (ASR): حقق TEA معدلات نجاح هجوم أعلى لتقليل المسافة بنسبة 50% و 75% ضمن ميزانيات استعلام ثابتة (مثل 500 استعلام).
المتانة (Robustness):
- النماذج المدربة ضد الهجمات: حافظ TEA على تفوقه على النماذج المرجعية حتى ضد نموذج ResNet-50 المدرب باستخدام الأمثلة المعادية.
- Zero-Shot CLIP: كان TEA فعالًا ضد مصنف ViT-B/32 CLIP ذو التعلم الصفري.
- مجموعات بيانات أخرى: أكدت النتائج على CIFAR-100 ومجموعة بيانات Intel Image Classification قدرة الطريقة على التعميم عبر مستويات دقة وتوزيعات بيانات مختلفة.
دراسات الاستئصال (Ablation Studies):
- الحفاظ على الحواف: كان تشويه المناطق غير الحافية (TEA) أفضل بكثير من تشويه المناطق الحافية (INV-TEA) أو المناطق العشوائية (HALF-TEA).
- الاستقرار: أدى اختيار الرقع العشوائي إلى حد أدنى من التباين (الانحراف المعياري < 0.3) عبر عدة عمليات تشغيل.
الجودة الإدراكية: بينما يقدم TEA تشويهات مهيكلة، فإنه يحافظ على تشابه إدراكي عالٍ (FSIM) ويحقق تشويه $\ell_2$ أقل من المنافسين.

5. الأهمية والآثار المترتبة

الصلة بالواقع: الطريقة محسنة خصيصًا للسيناريوهات ذات حدود الاستعلام الصارمة (مثل واجهات برمجة التطبيقات التي تعتمد على الدفع مقابل كل استعلام)، حيث تفشل الطرق الحالية القائمة على الهندسة في التقارب بكفاءة.
تحول في النموذج: بدلاً من الاعتماد على هندسة حدود القرار (والتي يصعب تقديرها بعيدًا عن الحدود)، يستخدم TEA ميزات الصورة الجوهرية (الحواف) لتوجيه الهجوم.
الآثار الدفاعية: يشير المؤلفون إلى أنه نظرًا لأن TEA يحافظ على الهياكل الحافية، فإن الدفاعات القياسية القائمة على تحليل التردد أو كبح الملمس (texture suppression) قد تكون أقل فعالية. وهم يدعون إلى دفاعات تتحقق صراحة من التشوهات الموجهة بالحواف.
القيود: يعد TEA أكثر فعالية كتهيئة أو في إعدادات الاستعلام المنخفض. عند دمجه مع طرق الهندسة ذات الاستعلامات العالية، يكون الأداء النهائي مشابهًا لأداء الطريقة الأساسية (SOTA)، وليس متفوقًا عليها بشكل مطلق. بالإضافة إلى ذلك، يمكن أن تؤدي التحديثات القائمة على الرقع أحيانًا إلى إدخال آثار (artifacts) موضعية مرئية للبشر.

في الختام، يمثل TEA تقدمًا مهمًا في الهجمات المعادية في الصندوق الأسود ذات الكفاءة العالية من خلال فصل استراتيجية البحث الأولية عن هندسة حدود القرار والاستفادة بدلاً من ذلك من السلامة الهيكلية للصورة المستهدفة.