Angular Gradient Sign Method: Uncovering Vulnerabilities in Hyperbolic Networks

إليك ملخص تقني مفصل للورقة البحثية بعنوان: "طريقة تدرج الزاوية: كشف نقاط الضعف في الشبكات الهيبيربولية (الزائدية)".

1. بيان المشكلة

بينما تُعد الهجمات العدائية (مثل FGSM وPGD) مدروسة جيدًا في التعلم العميق الإقليدي، إلا أن تطبيقها على الشبكات الهيبيربولية (Hyperbolic Networks) لا يزال غير مستكشف بشكل كافٍ وغير مثالي.

• عدم التوافق الهندسي: تفترض الهجمات التقليدية فضاء تمثيل مسطح (إقليدي). فهي تحسب التدرجات في فضاء ذي انحناء صفري، متجاهلة الانحناء الجوهري والبنية الهرمية للفضاءات الهيبيربولية.
• عدم الكفاءة: غالبًا ما يؤدي تطبيق الاضطرابات الإقليدية مباشرة على التضمينات الهيبيربولية إلى هجمات "غير متسقة هندسيًا". قد تؤدي هذه الاضطرابات إلى تغيير العمق الهرمي (الإزاحة الشعاعية) دون تغيير المعنى الدلالي بفعالية، أو قد تفشل في استغلال الاتجاهات المحددة التي تكون فيها النماذج أكثر عرضة للاختراق.
• الفجوة: هناك نقص في استراتيجيات الهجوم التي تحترم التفكيك الفريد للفضاء الهيبيربولية إلى مكونات شعاعية (العمق/الهرمية) وزاوية (الدلالة/المستوى).

2. المنهجية: طريقة تدرج إشارة الزاوية (AGSM)

يقترح المؤلفون طريقة AGSM، وهي هجوم عدائي مبتكر مصمم خصيصًا للهندسة الهيبيربولية. الجوهر يكمن في أن تدرج الخسارة في الفضاء الهيبيربولية يمكن تفكيكه إلى مكونين متميزين داخل الفضاء المماسي:

1. المكون الشعاعي: يغير العمق الهرمي (على سبيل المثال، الانتقال من فئة عامة إلى فئة فرعية محددة).
2. المكون الزاوي: يعدل التمثيل ضمن نفس المستوى الهرمي، مما يلتقط الاختلافات الدلالية الدقيقة.

ملاحظات رئيسية:

• الإزاحات الشعاعية لها تأثير ضئيل على التنبؤات النهائية (تنخفض الثقة ولكن غالبًا ما تظل التسميات صحيحة).
• الإزاحات الزاوية هي المحرك الرئيسي لخطأ التصنيف وعدم الاتساق الدلالي.

الخطوات الخوارزمية:

1. إسقاط الفضاء المماسي: يتم رسم خرائط لتمثيلات المخرجات الخاصة بالنموذج (في نماذج كرة بوانكاريه أو نموذج لورنتز) إلى الفضاء المماسي باستخدام الخرائط اللوغاريتمية.
2. تفكيك التدرج:
   • حساب اضطراب قياسي (عبر FGSM مثلاً) للحصول على إزاحة الميزة $\Delta h$.
   • إسقاط $\Delta h$ على متجه شعاعي وحدة $u_h$ لعزل المكون الشعاعي ($v_{rad}$).
   • طرح المكون الشعاعي لعزل المكون الزاوي ($v_{ang} = \Delta h - v_{rad}$).
3. الانتشار العكسي: بدلاً من استخدام التدرج الكامل، تقوم الطريقة بعمل انتشار عكسي لـ متجه الإزاحة الزاوية ($v_{ang}$) إلى فضاء المدخلات.
4. توليد الاضطراب: يتم اضطراب المدخلات بناءً على إشارة تدرج الضرب الداخلي بين الميزة والإزاحة الزاوية:
   $$x_{adv} = x + \epsilon \cdot \text{sign}(\nabla_x \langle h, v_{ang} \rangle)$$
5. التوسيع (PAGD): تم توسيع الطريقة لتصبح هجومًا تكراريًا متعدد الخطوات (النزول المتدرج الزاوي المسقط - Projected Angular Gradient Descent) لتعظيم الانحراف الزاوي مع احترام ميزانيات الاضطراب ($\ell_\infty$ أو $\ell_2$).

3. المساهمات الرئيسية

• الرؤية النظرية: أثبتت الورقة أن الضعف العدائي في الشبكات الهيبيربولية مدفوع أساسًا بـ الانحرافات الزاوية وليس الإزاحات الشعاعية. فالإزاحات الشعاعية تحافظ على التسميات الدلالية، بينما تسبب الإزاحات الزاوية عدم اتساق دلالي.
• الهجوم المبتكر (AGSM): قدمت هجومًا مدركًا للهندسة يعزل صراحةً ويعظم المكون الزاوي للتدرج، متجاوزةً عدم كفاءة الهجمات القياسية القائمة على الإقليديات.
• التحقق التجريبي: أثبتت AGSM تفوقها على FGSM وPGD القيسيين عبر مهام وبنيات متنوعة، محققة معدلات خداع أعلى وانخفاضات أعمق في الثقة.
• تحليل الدفاع: أظهرت أن التدريب باستخدام بيانات مضطربة بواسطة AGSM يوفر مكاسب متواضنة فقط في المتانة ويؤدي إلى مقايضة في دقة البيانات النظيفة، مما يسلط الضوء على الحاجة إلى آليات دفاع جديدة مصممة خصيصًا للفضاءات المنحنية.

4. النتائج التجريبية

تم تقييم الطريقة على Poincaré ResNet (تصنيف الصور) وHyCoCLIP (استرجاع الوسائط المتعددة) باستخدام مجموعات بيانات مثل CIFAR-10/100، وTiny ImageNet، وMS COCO، وFlickr30K.

• تصنيف الصور (Poincaré ResNet):

  • قللت AGSM باستمرار الدقة المتينة بمقدار إضافي يترا-وح 9-13% مقارنة بـ FGSM القياسي.
  • أدت PAGD (متعددة الخطوات) إلى تدهور الدقة بمقدار 9-10% إضافية مقارنة بـ PGD القياسي.
  • مثال: في مجموعة CIFAR-100 مع ResNet-32 عند $\epsilon=8.0/255$، حققت AGSM معدل خداع نتج عنه دقة قدرها 13.93%، وهي أقل بكثير من دقة FGSM البالغة 19.67%.

• استرجاع الوسائط المتعددة (HyCoCLIP):

  • تسببت AGSM في انخفاض إضافي بنسبة 2-5% في Recall@5/10 مقارنة بـ FGSM.
  • أظهر التحليل النوعي (الشكل 2) أنه بينما حافظت الإزاحات الشعاعية على الأوصاف الصحيحة، وأنتج FGSM أوصافًا غير صحيحة دلاليًا، فإن AGSM أنتجت المخرجات الأكثر عدم اتساقًا دلاليًا (على سبيل المثال، تغيير "عربة خيول" إلى "أشخاص يركبون فيلة").

• التحليل الهندسي:

  • المسافة: دفعت AGSM الميزات المضطربة لمسافات أبعد بكثير على طول المسارات الجيوديسية الهيبيربولية مقارنة بـ FGSM (الجدول 5).
  • الثقة: تسببت AGSM في انخفاضات أكبر في احتمالية Softmax القصوى (MSP)، مما يشير إلى انهيار أكثر حدة في يقين النموذج (الجدول 6).

5. الأهمية والخاتمة

• الأمن المدرك للهندسة: تثبت الورقة أن استراتيجيات الأمن للشبكات الهيبيربولية لا يمكنها ببساطة نسخ الطرق الإقليدية. فانحناء الفضاء يملي أن الضعف الدلالي يكمن في الاتجاه الزاوي.
• الضعف الهرمي: تكشف النتائج أن التضمينات الهرمية هشة بشكل خاص تجاه الاضطرابات التي تغير المعنى الدلالي داخل مستوى هرمي واحد دون تغيير المستوى نفسه.
• الاتجاهات المستقبلية: تسلط الدراسة الضوء على فجوة حرجة في الدفاع؛ حيث إن التدريب العدائي القياسي باستخدام أمثلة AGSM لا يجعل النماذج قوية تمامًا وقد يضر بأداء البيانات النظيفة. وهذا يشير إلى الحاجة إلى استراتيجيات دفاع جديدة تأخذ في الاعتبار صراحةً البنية الهرمية والمنحنية للتمثيلات الهيبيربولية.

باختصار، توفر AGSM إطارًا مبدئيًا لمهاجمة الشبكات الهيبيربولية من خلال استغلال خصائصها الهندسية، كاشفةً أن البعد "الزاوي" هو المتجه الأساسي للتحكم العدائي الناجح في فضاءات التمثيل الهرمية.