🤖 machine learning

Sample-Specific Noise Injection For Diffusion-Based Adversarial Purification

تقترح هذه الورقة إطار عمل "حقن الضوضاء المتكيف مع درجة العينة" (SSNI)، الذي يضبط مستوى حقن الضوضاء لكل عينة مدخلة بشكل تكيفي بناءً على انحرافها عن توزيع البيانات النظيفة، مما يحسن بشكل كبير دقة ومتانة طرق التطهير العدائي القائمة على الانتشار.

المؤلفون الأصليون: Yuhao Sun, Jiacheng Zhang, Zesheng Ye, Chaowei Xiao, Feng Liu

نُشر 2026-02-16

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Yuhao Sun, Jiacheng Zhang, Zesheng Ye, Chaowei Xiao, Feng Liu

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

إليك شرح لورقة البحث بعنوان "Sample-Specific Noise Injection For Diffusion-Based Adversarial Purification" بلغة بسيطة وتشبيهات إبداعية.

الصورة الكبيرة: مشكلة "الغسيل الرقمي"

تخيل أن لديك حارس أمن ذكي جداً، لكنه يسهل تضليله (هذا هو المصنف الذكي - AI Classifier). هذا الحارس بارع في التعرف على الوجوه، لكن المخترقين وجدوا طريقة لوضع "جليتر" (بريق) غير مرئي (ضجيج عدائي) على وجوه الناس. بالنسبة للعين المجردة، يبدو الشخص طبيعياً، لكن هذا "الجليتر" يخدع الحارس ليجعله يعتقد أن الكلب هو قطة، أو أن الصديق هو عدو.

لإصلاح ذلك، يستخدم الباحثون آلة "غسيل رقمي" (نموذج الانتشار - Diffusion Model). الفكرة بسيطة:

الغسل: نضع الصورة "المتسخة" في الآلة ونضيف الكثير من فقاعات الصابون (الضجيج الغاوسي - Gaussian noise) لفرك وإزالة الجليتر غير المرئي.
التدوير: نقوم بتدوير الآلة لإزالة الفق bubbles والجليتر، تاركين خلفنا صورة نظيفة.
الفحص: نعرض الصورة النظيفة على حارس الأمن.

المشكلة: خطأ "المقاس الواحد للجميع"

في النسخ السابقة من عملية "الغسيل الرقمي" هذه، كانت الآلة تحتوي على قرص تحكم واحد لتحديد كمية الصابون المستخدمة. لنسمِ هذا القرص مستوى الضجيج ( $t^*$ ).

قام الباحثون بضبط القرص على رقم ثابت (مثلاً 100 فقاعة) لكل صورة على حد حد سواء، بغض النظر عن حالتها.

لماذا يفشل هذا؟

السيناريو (أ) (القميص ذو البقع الخفيفة): تخيل صورة نظيفة بنسبة 99%، بها فقط ذرة صغيرة من الجليتر. إذا قمت برشها بـ 100 فقاعة صابون، فقد تفرك القمي_ بقوة تجعل القماش يتمزق أو تمحو التصميم الأصلي. تصبح الصورة غير قابلة للتمييز.
السيناريو (ب) (الحذاء الملطخ بالطين): تخيل صورة مغطاة بطين كثيف (ضجيج عدائي ثقيل). إذا استخدمت 10 فقاعات فقط، سيبقى الطين مكانه. تفشل الآلة في تنظيفها، ويظل الحارس مرتبكاً.

الطريقة القديمة كانت تشبه استخدام خرطوم مياه عالي الضغط على زهرة رقيقة، واستخدام رذاذ خفيف على حذاء مليء بالطين. لم تكن تعمل بشكل جيد مع الجميع.

الحل: SSNI (موزع الصابون الذكي)

يقترح مؤلفو هذه الورقة نظاماً جديداً يسمى SSNI (Sample-specific Score-aware Noise Injection).

فكر في SSNI كأنه موزع صابون ذكي ينظر إلى كل قطعة ملابس قبل أن يقرر كمية الصابون التي سيستخدمها.

"الأنف" (شبكة التقييم - Score Network): قبل الغسيل، تستخدم الآلة مستشعراً خاصاً (شبكة تقييم مدربة مسبقاً) لـ "شم" الصورة. إنها تقيس مدى "بعد" الصورة عن كونها صورة طبيعية ونظيفة.
- تشبيه: إذا كانت الصورة عبارة عن قميص أبيض نظيف، يقول المستشعر: "الرائحة منعشة! نحتاج القليل فقط من الصابون".
- تشبيه: إذا كانت الصورة عبارة عن حذاء طيني، يقول المستشعر: "الرائحة سيئة جداً! نحتاج كمية هائلة من الصابون!".
"القرص القابل للتعديل" (إعادة الوزن - Reweighting): بناءً على هذه "الشمّة"، تقوم الآلة تلقائياً بتعديل مستوى الصابون ( $t^*$ ) لتلك الصورة المحددة.
- الصور النظيفة تحصل على رذاذ لطيف (حقن ضجيج منخفض) حتى لا تتدمر تفاصيلها.
- الصور المتسخة تحصل على دفعة قوية (حقن ضجيج عالٍ) لضمان إزالة كل "الجليتر" العدائي.
النتيجة: تخرج الملابس نظيفة تماماً. يمكن لحارس الأمن الآن التمييز بسهء بين الكلب والقطة، ويصبح من الصعب جداً على المخترقين خداع النظام.

لماذا يهم هذا؟

تثبت الورقة أن "المقاس الواحد لا يناسب الجميع". فمن خلال تخصيص عملية "الغسيل" لكل صورة على حدة، حققوا انتصارين كبيرين:

دقة أفضل: لم يتسببوا في إتلاف الصور النظيفة بالخطأ (وهو ما حدث في طريقة "المقاس الواحد للجميع" القديمة).
أمان أفضل: نجحوا في تنظيف الصور التي تعرضت لهجمات قوية، والتي فشلت الطريقة القديمة في تنظيفها.

ملخص في سطور

الطريقة القديمة: استخدام نفس كمية "الضجيج" لتنظيف كل صورة. النتيجة: بعض الصور تُدمر، وبعضها يبقى متسخاً.
الطريقة الجديدة (SSNI): استخدام مستشعر ذكي لقياس مدى اتساخ كل صورة، ثم تطبيق الكمية الصحيحة تماماً من الضجيج لتنظيفها دون إتلافها.
النتيجة: نظام دفاع ذكاء اصطناعي أكثر ذكاءً، وأماناً، ودقة، يعامل كل صورة كفرد فريد ومتميز.

يطلق المؤلفون على هذا الاسم Sample-specific Score-aware Noise Injection، ولكن يمكنك ببساطة التفكير فيه على أنه "دورة الغسيل المصممة خصيصاً للذكاء الاصطناعي".

إليك ملخص تقني مفصل لورقة البحث بعنوان "حقن الضجيج الخاص بكل عينة في التطهير القائم على الانتشار" (Sample-Specific Noise Injection For Diffusion-Based Adversarial Purification).

1. بيان المشكلة

السياق: تُعد الشبكات العصبية العميقة (DNNs) عرضة للأمثلة العدائية (AEs)، حيث تؤدي الاضطرابات غير المحسوسة إلى تصنيف خاطئ. التطهير العدائي (AP) هو استراتيجية دفاعية تستخدم النماذج التوليدية لإزالة الضجيج العدائي قبل عملية التصنيف. وقد برز التطهير القائم على الانتشار (DBP) كمنهجية رائدة في التطهير العدائي، مستفيداً من قدرات إزالة الضوضاء (denoising) لنماذج الانتشار.

المشكلة الجوهرية: تعتمد طرق التطهير القائمة على الانتشار الحالية (مثل DiffPure و GDMP و GNS) على مستوى ضجيج ثابت مشترك لجميع العينات ( $t^*$ ) لعملية الانتشار الأمامي. فهي تقوم بحقن كمية ثابتة من الضجيج الغاوسي في جميع عينات الإدخال (سواء كانت نظيفة أو عدائية) قبل عكس العملية لاستعادة الصورة النظيفة.

خلل 1 (عدم كفاية إزالة الضوضاء): بالنسبة للعينات العدائية ذات الاضطراب الشديد، قد يكون مستوى $t^*$ الثابت (على سبيل المثال 100) صغيراً جداً بحيث لا يكفي لتدمير النمط العدائي بشكل كافٍ، مما يترك ضجيجاً متبقياً لا تستطيع عملية العكس إزالته.
خلل 2 (الإفراط في إزالة الضوضو): بالنسبة للعينات النظيفة أو قليلة الاضطراب، قد يكون نفس المستوى الثابت $t^*$ كبيراً جداً، مما يسبب اضطراباً مفرطاً في المعلومات الدلالية (semantic information). يؤدي هذا إلى تدهور في الدقة على البيانات النظيفة (clean accuracy) لأن عملية العكس تجد صعوبة في استعادة الدلالات الأصلية من حالة شديدة التلف.

الفرضية: مستوى الضجيج الأمثل $t^*$ ليس عالمياً؛ بل يجب أن يتغير بناءً على كل عينة على حدة. العينات الأكثر نظافة تتطلب ضجيجاً محقوناً أقل، بينما تتطلب العينات الأكثر اضطراباً حقناً أكثر قوة للضجيج لإعادتها بفعالية إلى "منطوي البيانات" (data manifold).

2. المنهجية: حقن الضجيج المتكيف مع درجة السكور لكل عينة (SSNI)

يقترح المؤلفون إطار عمل SSNI، وهو إطار عمل يقوم بتعديل مستوى حقن الضجيج ( $t^*$ ) لكل عينة بشكل تكيفي بناءً على انحرافها عن توزيع البيانات النظيفة.

المكونات الرئيسية:

معيار معيار السكور (Score Norm):
- تعتمد الطريقة على دالة السكور (score function) ( $\nabla_x \log p_t(x)$ )، والتي تمثل تدرج كثافة الاحتمال اللوغاريتمي.
- الحدس: العينات الأقرب إلى منطقة الكثافة العالية للبيانات النظيفة (العينات النظيفة) لديها معايير سكور (score norms) منخفضة. أما العينات البعيدة عن التوزيع (الأمثلة العدائية) فلديها معايير سكور عالية.
- الملاحظة: يؤكد التحليل التجريبي (الشكل 2) أن معايير السكور تتناسب خطياً مع ميزانية الاضطراب ( $\epsilon$ ).
سكور الاضطراب المتوقع (EPS):
- لتجنب الحساسية تجاه مستوى ضجيج مرجعي واحد، يستخدم SSNI ما يسمى بـ EPS، والذي يجمع معايير السكور عبر طيف من مستويات الضوضاء ( $t \sim U(0, t_S)$ ).
- $EPS(x) = \mathbb{E}_{t \sim U(0, t_S)} [\nabla_x \log p_t(x)]$ .
- يعمل مقدار $\|EPS(x)\|$ كمعيار لانحراف العينة.
دوال إعادة الوزن التكيفية:
يستبدل SSNI القيمة الثابتة $t^*$ بقيمة $t(x)$ خاصة بكل عينة يتم حسابها عبر دالة إعادة وزن $f$ :
$t(x) = f(\|EPS(x)\|, t^*)$
تم اقتراح وظيفتين محددتين:
- إعادة الوزن الخطي ( $SSNI\text{-}L$ ): تعمل على تطبيع معيار السكور لزيادة $t^*$ بشكل خطي.
- إعادة الوزن غير الخطي ( $SSNI\text{-}N$ ): تستخدم دالة سيجمويد (sigmoid) لتعديل $t^*$ بسلاسة، مما يسمح له بالاقتراب من حد أقصى للعينات شديدة الاضطراب.
- حد الانحياز (Bias Term): يمكن إضافة انحياز اختياري $b$ للسماح لـ $t(x)$ المعاد وزنه بتجاوز $t^*$ الأصلي، مما يضمن حقن ضجيج كافٍ للهجمات القوية.
سير العمل:
- عينة الإدخال $x$ $\leftarrow$ حساب $\|EPS(x)\|$ باستخدام شبكة سكور مدربة مسبقاً.
- حساب $t(x)$ التكيفي باستخدام دالة إعادة الوزن.
- حقن الضجيج حتى الخطوة $t(x)$ (العملية الأمامية).
- عكس عملية الانتشار من $t(x)$ إلى 0 لاستعادة الصورة المطهرة.
- تصنيف النتيجة.

3. المساهمات الرئيسية

اكتشاف الضجيج الأمثل الخاص بكل عينة: تثبت الورقة أن $t^*$ العالمي الواحد ليس مثالياً، وتوضح أن مستويات الضجيج المثلى تختلف بشكل كبير بين العينات اعتماداً على قوة اضطرابها.
إطار عمل SSNI: هو إطار عمل عام وقابل للتركيب (plug-and-play) يتكامل مع طرق DBP الحالية (DiffPure, GDMP, GNS) لتمكين حقن ضجيج خاص بكل عينة دون الحاجة لإعادة تدريب نموذج الانتشار أو المصنف.
التبرير النظري: يقدم المؤلفون براهين نظرية (الملحق K) تربط معايير السكور بمستويات الضوضاء، مما يظهر أن مستويات الضجيج المختلفة تؤدي إلى معايير سكور متميزة، مما يؤكد صحة استخدام معايير السكور كوسيط لتحديد عمق حقن الضجيج المطلوب.
الكفاءة: عملية إعادة الوزن خفيفة الوزن، حيث تضيف حِملاً حسابياً ضئيلاً (حوالي 0.5 ثانية على CIFAR-10 و5 ثوانٍ على ImageNet-1K لكل صورة) مقارنة بعملية الانتشار الكاملة.

4. النتائج التجريبية

تم تقييم الطريقة على مجموعتي بيانات CIFAR-10 و ImageNet-1K ضد هجمات "الصندوق الأبيض" التكيفية القوية (PGD+EOT, BPDA+EOT, AutoAttack, DiffAttack).

المفاضلة بين الدقة والمتانة (Accuracy-Robustness Trade-off):
- الدقة على البيانات النظيفة (Clean Accuracy): يحسن SSNI الدقة القياسية بشكل كبير (على سبيل المثال +3.58% لـ DiffPure في CIFAR-10) عن طريق حقن ضجيج أقل في العينات النظيفة، مما يحافظ على دلالاتها.
- الدقة المتينة (Robust Accuracy): يحافظ SSNI على المتانة أو يحسنها ضد الأمثلة العدائية من خلال حقن ضجيج كافٍ لإزالة الاضطرابات القوية.
- المقارنة: عبر جميع النماذج المرجعية (DiffPure, GDMP, GNS) والبنى الهيكلية (WideResNet, ResNet-50, Swin-Transformer)، يتفوق SSNI-N باستمرار على الطرق الأصلية في كلا المقياسين في آن واحد.
مكاسب محددة (CIFAR-10, PGD+EOT $\ell_\infty$ ):
- DiffPure + SSNI-N: ارتفعت الدقة القياسية من 89.71% إلى 93.29%؛ وارتفعت الدقة المتينة من 47.98% إلى 48.63%.
- GDMP + SSNI-N: ارتفعت الدقة القياسية من 92.45% إلى 94.08%؛ وارتفعت الدقة المتينة من 36.72% إلى 40.95%.
التعميم: تتعمم الطريقة بشكل جيد على أنواع الهجمات المختلفة (بما في ذلك Diff-PGD و DiffAttack) والبنى الهيكلية المختلفة (Transformers).

5. الأهمية

تحول في النموذج الفكري (Paradigm Shift): يتحدى SSNI الافتراض السائد في التطهير القائم على الانتشار بأن جدول ضجيج ثابت هو أمر كافٍ. فهو يقدم مفهوم حقن الضجيج التكيفي المصمم خصيصاً لـ "حالة" كل عينة إدخال.
الانتشار العملي: من خلال تحسين الدقة على البيانات النظيفة دون التضحية بالمتانة، يعالج SSNI عقبة رئيسية في الدفاع العدائي: وهي المفاضلة التي تؤدي فيها الدفاعات المتينة غالباً إلى تدهور الأداء على البيانات النظيفة.
النمطية (Modularity): يمكن دمج SSNI بسلاسة في أي مسار عمل DBP موجود، مما يجعله أداة متعددة الاستخدامات لتعزيز متانة الأنظمة القائمة على DNN في التطبيقات الحرجة (مثل القيادة الذاتية أو الأمن).

باخت ملخص، تثبت الورقة أن تكييف عملية التطهير مع الخصائص المحددة لكل عينة إدخال يؤدي إلى أداء دفاعي فائق، مما يستغل الإمكانات الكاملة لنماذج الانتشار في التطهير العدائي.