Concept-based Adversarial Attack: a Probabilistic Perspective

إليك ملخص تقني مفصل للورقة البحثية بعنوان "الهجوم العدائي القائم على المفهوم: منظور احتمالي":

1. بيان المشكلة

تعتمد الهجمات العدائية التقليدية على مصنفات الصور عادةً على تطبيق اضطرابات هندسية صغيرة وغير محسوسة (مثل معايير $L_1$ أو $L_2$ أو $L_\infty$) على صورة أصلية واحدة ($x_{ori}$). وبينما تُعد هذه الطرق فعالة في بيئات الصندوق الأبيض (white-box)، إلا أنها تواجه قيوداً كبيرة:

• الانزياح الدلالي (Semantic Drift): مع تحسن آليات الدفاع، يتطلب توليد هجمات ناجحة غالباً اضطرابات أكبر تشوه الصورة، مما يؤدي إلى فقدان المثال العدائي لمعناه الدلالي الأصلي (على سبيل المثال، لم يعد الكلب يبدو كلبًا).
• مساحة بحث محدودة: إن قصر الهجوم على جوار صورة واحدة يحد من تنوع الأمثلة المولدة، مما يؤدي غالباً إلى انخفاض قابلية النقل (transferability) إلى نماذج الصندوق الأسود (black-box).
• تحديات الهجمات غير المقيدة: الهجمات "غير المقيدة" الحالية (التي تسمح بتغييرات هندسية أكبر) غالباً ما تفشل في الحفاظ على هويات أو مفاهيم محددة، أو تعتمد على قيود الصورة الواحدة التي تكون صارمة للغاية.

تفترض الورقة أن الهدف الجوهري للهجوم العدائي هو خداع المصنف مع الحفاظ على المفهوم الأساسي (الهوية، فئة الكائن، أو حالة معينة). ويرى المؤلفون أن العمل على صورة واحدة غير كافٍ لتحقيق معدلات نجاح عالية مع الحفاظ على الأمانة الدلالية.

2. المنهجية: الهجوم العدائي القائم على المفهوم

يقترح المؤلفون إطار عمل ينقل نموذج الهجوم من صورة واحدة إلى مفهوم كامل ($C_{ori}$)، متمثلاً في توزيع احتمالي.

أ. الإطار الاحتمالي

بناءً على المنظور الاحتمالي للهجمات العدائية (Zhang et al., 2024b)، يعمل الأسلوب على نمذجة توليد الأمثلة العدائية كعملية أخذ عينات من حاصل ضرب توزيعين:

1. توزيع الضحية ($p_{vic}$): يمثل ميل المصنف المستهدف لتصنيف المدخلات بشكل خاطئ نحو تسمية مستهدفة $y_{tar}$.
2. توزيع المسافة ($p_{dis}$): تقليدياً، يكون متمركزاً حول صورة واحدة $x_{ori}$. وفي هذا العمل، تمت إعادة تعريفه كـ توزيع المفهوم $p(\cdot | C_{ori})$.

يتم صياغة التوزيع العدائي كما يلي:
$$p_{adv}(x_{adv} | C_{ori}, y_{tar}) \propto p_{vic}(x_{adv} | y_{tar}) \cdot p_{dis}(x_{adv} | C_{ori})$$

ب. تمثيل المفهوم وتعزيزه

• تعريف المفهوم: يمكن أن يكون المفهوم $C_{ori}$ هو هوية محددة (مثل كلب معين بملامح فريدة) أو فئة (class). ويتم تمثيله بمجموعة من الصور $\{x^{(1)}_{ori}, \dots, x^{(K)}_{ori}\}$.
• استراتيجية التعزيز: نظراً لصعوبة الحصول على صور متنوعة لمفهوم محدد، يستخدم المؤلفون نماذج توليدية حديثة لتوسيع مجموعة بيانات المفهوم:
  1. الضبط الدقيق (Fine-tuning): يتم ضبط نموذج Stable Diffusion XL (SDXL) باستخدام تقنية LoRA على مجموعة صغيرة من صور المفهوم (مثلاً: 5 صور لكلب من نوع كورجي محدد).
  2. توليد المطالبات (Prompt Generation): يقوم نموذج لغوي كبير (GPT-4o) بتوليد مطالبات متنوعة تصف المفهوم في بيئات، ووضعيات، وزوايا رؤية مختلفة.
  3. التخليق (Synthesis): يقوم النموذج الذي تم ضبطه بدقة بتوليد مجموعة بيانات متنوعة (أكثر من 30 صورة مثلاً) تمثل نفس المفهوم الأساسي.

C. توليد الهجوم

تتم عملية أخذ العينات من توزيع المفهوم الموسع. ولتحديد أفضل مثال عدائي من بين $M$ من العينات، يتم استخدام استراتيجيتين:

• الاستراتيجية التحفظية (CONS): تختار العينة ذات أدنى احتمال "softmax" للفئة المستهدفة (من بين العينات الناجحة)، مما يضمن بقاء الصورة أقرب إلى المفهوم الأصلي.
• الاستراتيجية الهجومية (AGGR): تختار العينة ذات أعلى احتمال "softmax" للفئة المستهدفة، مما يعظم إمكانات الهجوم.

3. المساهمات الرئيسية

1. إطار عمل الهجوم القائم على المفهوم: أول طريقة تُعرف توزيع المسافة في الهجمات العدائية بناءً على توزيع مستوى المفهوم بدلاً من صورة واحدة. يسمح هذا للهجوم باستكشاف مساحة دلالية أوسع (وضعيات وخلفيات مختلفة) مع الحفاظ على الهوية الجوهرية.
2. التبرير النظري: يثبت المؤلفون أن توسيع توزيع المسافة من نقطة واحدة إلى توزيع مفهوم يقلل من تباعد كولباك - ليبلر (KL divergence) بين توزيع المسافة ($p_{dis}$) وتوزيع الضحية ($p_{vic}$). ويشير صغر تباعد KL إلى وجود تداخل أكبر، مما يؤدي إلى معدلات نجاح هجوم أعلى وجودة أفضل.
3. خط إنتاج تعزيز عملي: خط إنتاج مبتكر يجمع بين الضبط الدقيق بأسلوب DreamBooth، وتقنية LoRA، وهندسة المطالبات المدفوعة بالنماذج اللغوية الكبيرة لتوليد مجموعات بيانات مفاهيم متنوعة لتوليد الهجمات.
4. التحقق التجريبي: تجارب شاملة تثبت تفوق الهجمات القائمة على المفهوم على الأساليب الحديثة في كل من بيئات الصندوق الأبيض والصندوق الأسود.

4. النتائج التجريبية

تم تقييم الطريقة على مجموعة بيانات ImageNet باستخدام ResNet-50 كضحية في الصندوق الأبيض، ونماذج متنوعة (VGG19, ResNet152, DenseNet، إلخ) لقابلية النقل في الصندوق الأسود.

• معدلات نجاح الهجوم:
  • الصندوق الأبيض (Targeted Top-1): حققت الطريقة المقترحة (OURS AGGR) نسبة نجاح بلغت 97.82%، متفوقة بشكل كبير على ProbAttack (59.23%) و DiffAttack (84.23%).
  • قابلية النقل في الصندوق الأسود: أظهرت الطريقة قدرة فائقة على النقل، خاصة مع الاستراتيجية الهجومية (Aggressive). فعلى سبيل المثال، حققت في نموذج ResNet-152 نسبة نجاح Top-5 بلغت 8.72% مقارلة بـ 3.33% لـ ProbAttack.
• الحفاظ على المفهوم والجودة:
  • دراسة المستخدمين: حققت الطريقة درجة تشابه بلغت 0.9654 (مما يشير إلى أن البشر يدركون الصورة كـ "نفس العنيد")، متجاوزة بفارق كبير DiffAttack (0.7577) و ProbAttack (0.8041).
  • جودة الصورة: أكدت المقاييس الكمية (MUSIQ, TReS, NIMA) أن الهجمات القائمة على المفهوم تولد صوراً ذات جودة أعلى تحتفظ بالتفاصيل الدقيقة (الفراء، الأنسجة) مقارنة بالهجمات غير المقيدة الأخرى التي غالباً ما تنتج عيوباً أو تفاصيل مفقودة.
• تحليل تباعد KL: أكد التقدير التجريبي أن تباعد KL بين توزيع المسافة القائم على المفهوم وتوزيع الضحية أقل بكثير من توزيعات الصورة الواحدة ($\Delta < 0$)، مما يؤكد الادعاء النظري.

5. الأهمية والآثار المترتبة

• نموذج جديد للمتانة العدائية: تتحدى هذه الورقة الفكرة القائلة بأن الأمثلة العدائية يجب أن تكون "اضطرابات" لصورة واحدة. فهي تثبت أن توليد صورة جديدة تلتقط نفس المفهوم ولكن تختلف في الميزات غير الجوهرية (الوضعية، الخلفية) هو ناقل هجوم أكثر قوة.
• المخاطر الأمنية: يمثل هذا النهج تهديداً خطيراً للأنظمة الحساسة أمنياً (مثل التعرف على الوجه، أو كشف المواد المحظورة) لأن الأمثلة العدائية تكون متطابقة دلالياً مع الكائن الأصلي بالنسبة للمراقبين البشريين والمصنفات القوية، ومع ذلك تنجح في تجاوز الكشف.
• الآثار على الدفاع: تشير النتائج إلى أن الدفاعات الحالية التي تعتمد على القيود الهندسية أو المتانة تجاه الصورة الواحدة غير كافية. يجب على المدافعين مراعاة المتانة على مستوى المفهوم، وربما استخدام التدريب العدائي القائم على المفهوم أو كشف المحتوى المولد بواسطة الذكاء الاصطناعي.
• الأبحاث المستقبلية: يفتح هذا العمل اتجاهاً جديداً لدراسة التقاطع بين النماذج التوليدية، وتمثيل المفهوم، والتعلم الآلي العدائي، مما يسلط الض