💻 computer science

ATAC: Augmentation-Based Test-Time Adversarial Correction for CLIP

تقترح الورقة البحثية ATAC، وهي استراتيجية دفاع وقت الاختبار فعالة حاسبياً تعزز متانة نموذج CLIP ضد الاضطرابات العدائية عن طريق تصحيح انزياحات التضمين في الفضاء الكامن باستخدام نواقل مستحثة بالتعزيز، محققةً أداءً هو الأفضل في فئته مع حد أدنى من العبء الإضافي.

المؤلفون الأصليون: Linxiang Su, András Balogh

نُشر 2026-04-07

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Linxiang Su, András Balogh

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أن لديك أمين مكتبة فائق الذكاء يُدعى CLIP. لقد قرأ هذا الأمين مليارات الكتب واطلع على مليارات الصور. إذا عرضت عليه صورة قطة وسألته: "هل هذه قطة أم كلب؟"، يمكنه عادةً إخبارك بذلك فوراً، حتى لو لم يسبق له رؤية تلك القطة تحديداً. إنه بارع جداً في مطابقة الصور بالكلمات.

ومع ذلك، لدى هذا الأمين نقطة ضعف: الخداع.

المشكلة: هجوم "القلم السحري"

تخيل أن شخصاً ما أخذ صورة لقطة واستخدم "قلماً سحرياً" غير مرئي لإضافة بعض بكسلات الضجيج إلى الصورة. بالنسبة لعين الإنسان، لا تزال تبدو تماماً كقطة. ولكن بالنسبة لعقل الأمين الحاسوبي، فإن هذه التغييرات الطفيفة تشبه صفارة إنذار صاخبة تصرخ: "هذه في الواقع محمصة خبز!"

يصاب الأمين بالارتباك، وينظر إلى "الصفارة"، ويقول بثقة: "هذه محمصة خبز!". يُسمى هذا هجوماً عدائياً (Adversarial Attack).

لفترة طويلة، كانت الطريقة الوحيدة لإصلاح ذلك هي إعادة تدريب الأمين من الصفر باستخدام آلاف الصور المخدوعة. لكن ذلك يستغرق وقتاً طويلاً ويكلف ثروة. حاولت طرق أخرى "تنظيف" الصورة أو تغيير "الأوامر" (Prompts) الخاصة بالأمين أثناء المعالجة، لكنها كانت إما بطيئة جداً أو لم تعمل بشكل جيد بما يكفي.

الحل: ATAC (المحقق من الانحراف)

قام مؤلفو هذه الورقة البحثية، لينكشيانغ سو وأندراس بالوج، بابتكار حيلة ذكية ومنخفضة التكلفة تُسمى ATAC (التصحيح العدائي القائم على التعزيز أثناء الاختبار).

إليك كيف يعمل، باستخدام تشبيه بسيط:

1. اختبار "هز الطاولة"

تخيل أن لديك طاولة ثقيلة ومتذبذبة (الصورة).

إذا كانت الطاولة طبيعية (صورة نظيفة): إذا دفعتها بلطف من زوايا مختلفة (تدويرها، قلبها، تغيير ألوانها قليلاً)، فستتأرجح الطاولة قليلاً في اتجاهات عشوائية. إنها مستقرة.
إذا كانت الطاولة ملغومة (صورة تعرضت لهجوم): إذا قام شخص ما بسرّ خلسة بلصق وزن ثقيل على أحد جوانبها (الهجوم العدائي)، ودفعتها من زوايا مختلفة، فستميل الطاولة دائماً في نفس الاتجاه المحدد بسبب ذلك الوزن الخفي.

2. إيجاد "الانحراف"

يقوم ATAC بأخذ الصورة وإنشاء عدة نسخ "معززة" منها (مقلوبة، مدورة، إلخ). ثم يسأل الأمين:

"إلى أين تحرك معنى الصورة عندما قلبناها؟"
"إلى أين تحركت عندما دورناها؟"

إذا كانت الصورة نظيفة، فإن "متجهات الحركة" (الانحرافات) تشير إلى اتجاهات عشوائية ومشتتة.
أما إذا كانت الصورة مخترقة، فإن "متجهات الانحراف" تشير جميعها إلى نفس الاتجاه. وذلك لأن الهجوم قد خلق انحيازاً خفياً يدفع معنى الصورة في اتجاه خاطئ محدد.

3. التصحيح

يقوم ATAC بحساب متوسط اتجاه هذه التحركات.

إذا كانت التحركات مشتتة: "حسناً، الصورة جيدة. لا تلمسها."
إذا كانت التحركات متوافقة: "آها! يتم دفع الصورة في الاتجاه الخاطئ بواسطة قوة خفية. لنقم بدفعها في الاتجاه المعاكس!"

يقوم ATAC أساساً بالإمساك بإجابة الأمين المرتبكة ويدفعها بلطف للعودة نحو الحقيقة، مستخدماً "الانحراف" الناتج عن الهجوم نفسه كخريطة لإيجاد طريق العودة.

لماذا يعد هذا أمراً هاماً؟

إنه سريع: لا يحتاج إلى إعادة تدريب الأمين. هو فقط يقوم ببعض الفحوصات السريعة أثناء معالجة الصورة. الأمر يشبه فحص الخريطة أثناء القيادة بدلاً من إعادة بناء السيارة.
إنه قوي: في الاختبارات، أصلح ATAC أخطاء الأمين بنسبة أفضل بنحو 50% من أي طريقة أخرى سبقتُه. وفي بعض الحالات، جعل الأمين محصناً تقريباً بنسبة 100% ضد هذه الحيل.
إنه ذكي: إنه يعمل حتى ضد "الهجمات التكيفية"، حيث يحاول المهاجمون خداكشف الهجوم خصيصاً. إنه يشبه حارس الأمن الذي يتعلم تمييز الخدعة حتى عندما يحاول اللص استخدام تنكر جديد.

العقبة (المقايضة)

هناك عيب صغير. أحياناً، يكون ATAC مندفعاً جداً في محاولة الإصلاح. قد يدفع صورة جيدة تماماً حركة بسيطة جداً، مما قد يقلل قليلاً من دقتها في الصور العادية غير المخترقة. لكن الورقة البحثية تظهر أن المكسب الهائل في الأمان (إيقاف الحيل) يستحق هذا الخسارة الطفيفة في المثالية.

باختصار

ATAC يشبه جهاز كشف الكذب لصور الذكاء الاصطناعي. بدلاً من محاولة مسح الأوساخ عن الصورة، فإنه ينظر إلى كيفية "اهتزاز" الصورة عند وخزها. إذا اهتزت بنمط ثابت ومريب، فإن ATAC يعرف أنها تعرضت للتلاعب ويوجه إجابة الذكاء الاصطناعي للعودة إلى الحقيقة. إنه طريقة بسيطة، رخيصة، وفعالة للغاية لجعل رؤية الذكاء الاصطناعي أصعب بكثير في الخداع.

إليك ملخص تقني مفصل لورقة البحث بعنوان "ATAC: التصحيح التناظري القائم على التعزيز في وقت الاختبار لنموذج CLIP".

1. بيان المشكلة

أحدثت نماذج الرؤية واللغة (VLMs) مثل CLIP ثورة في مطابقة الصور والنصوص بنمط "التعلم الصفري" (zero-shot)، لكنها تظل عرضة بشدة لـ الاضطرابات التناظرية (adversarial perturbations). حيث يمكن للتغييرات الطفية غير المرئية للبشر في الصور المدخلة أن تجعل نموذج CLIP يخطئ في تصنيفها بشكل عشوائي.

محدودية الحلول الحالية:
- الضبط الدقيق التناظري (Adversarial Fine-tuning): رغم فعاليته، إلا أن إعادة تدريب النماذج التأسيسية مكلفة للغاية من الناحية الحسابية ويمكن أن تؤدي إلى تدهور قدرة النموذج على التعميم في نمط التعلم الصفري.
- تنقية فضاء المدخلات (Input-Space Purification): الطرق التي تعتمد على التنعيم العشوائي (randomized smoothing) غالباً ما تضحي بدقة الصور السليمة وتظل عرضة للهجمات التكيفية.
- ضبط المطالبات في وقت الاختبار (Test-Time Prompt Tuning): الأساليب التي تعدل المطالبات النصية (مثل R-TPT) تعتمد على تجميع التنبؤات من النسخ المعززة، والتي قد تفشل إذا أنتجت النسخ المعززة تنبؤات ذات إنتروبيا منخفضة ولكنها خاطئة.
- الهجمات المضادة في وقت الاختبار (مثل TTC): تحاول هذه الأساليب دفع التضمينات (embeddings) بعيداً عن المناطق "السامة"، لكنها ثقيلة حسابياً وتفتقر إلى آلية لضمان تحرك التضمين نحو الاتجاه الدلالي الصحيح، بل تكتفي فقط بالابتعاد عن الاتجاه التناظري.

التحدي الجوهري هو تطوير دفاع في وقت الاختبار، خالٍ من التدريب، وفعال حسابياً يمكنه استعادة المعنى الدلالي الأصلي لصورة تناظرية دون إعادة تدريب النموذج أو تحسين بكسلات المدخلات.

2. المنهجية: إطار عمل ATAC

يقترح المؤلفون التصحيح التناظري القائم على التعزيز في وقت الاختبار (ATAC)، وهو أسلوب يعمل مباشرة في فضاء التضمين الخاص بـ CLIP بدلاً من فضاء الصور.

الرؤية الجوهرية

بينما يمكن للاضطرابات التناظرية قلب تنبؤات CLIP، تظل تضمينات CLIP مستقرة نسبياً تحت تأثير عمليات تعزيز البيانات القياسية (مثل القلب الأفقي، التدوير، وتغيير الألوان).

الصور السليمة: عند تعزيزها، تكون ناقلات الانجراف (drift vectors) الناتجة مشتتة (اتجاهات غير متسقة).
الصور التناظرية: عند تعزيزها، تكون ناقلات الانجراف الناتجة متوافقة (اتجاه متسق). يحدث هذا التوافق لأن الاضطراب التناظري يخلق "مساراً ذا مقاومة أقل" في فضاء التضمين يكون حساساً لاعتماد الهجوم على التصنيف الحقيقي (ground-truth label).

خطوات الخوارزمية

التعزيز (Augmentation): بالاعتماد على صورة مدخلة $x$ ، يتم توليد $n$ من النسخ المعززة ( $x_1, ..., x_n$ ) باستخدام التحويلات (مثل القلب الأفقي، التدوير).
حساب الانجراف (Drift Calculation): يتم تشفير الصورة الأصلية والنسخ المعززة باستخدام مشفر الصور الخاص بـ CLIP للحصول على التضمينات $f_x$ و $f_{x_i}$ . يتم حساب ناقلات الانجراف الكامن: $d_i = f_x - f_{x_i}$ .
اتجاه الاستعادة الدلالية: يتم حساب متوسط ناقل الانجراف $\bar{d} = \frac{1}{n}\sum d_i$ . بالنسبة للمدخلات التناظرية، يشير $\bar{d}$ نحو الاتجاه الدلالي الأصلي والصحيح.
بوابة الاتساق الجيبي (Cosine Consistency Gate): يتم حساب درجة الاتساق $\tau$ $τ$ (متوسط تشابه جيب التمام بين ناقلات الانجراف الفردية والمتوسط).
- $\tau$ مرتفع: يشير إلى انجرافات متوافقة (من المحتمل أنها صور تناظرية).
- $\tau$ منخفض: يشير إلى انجرافات مشتتة (من المحتمل أنها صور سليمة).
التصحيح (Correction):
- إذا كان $\tau > \tau^*$ (عتبة): يتم تصحيح التضمين: $f^* = f_x + \alpha \bar{d}$ .
- إذا كان $\tau \le \tau^*$ : يتم الإبقاء على التضمين الأصلي: $f^* = f_x$ .
- هنا، $\alpha$ هو حجم الخطوة، وتعمل البوابة على منع التصحيح الزائد للعينات السليمة.

الكفاءة

يتطلب ATAC فقط $n$ من عمليات التمرير الأمامي (forward passes) عبر مشفر الصور. لا يتضمن أي انتشار عكسي (backpropagation)، ولا تحديثات للمعاملات، ولا تحسيناً في فضاء البكسلات، مما يجعله أسرع بكثير من الأساليب القائمة على الهجمات المضادة.

3. المساهمات الرئيسية

نموذج جديد: يعد ATAC أول طريقة تصحح التضمينات البصرية مباشرة في الفضاء الميزاتي لـ CLIP باستخدام ناقلات الانجراف الناتجة عن التعزيز، مما يسد الفجوة بين ضبط المطالبات وتحسين المدخلات.
أداء رائد (SOTA): يحقق متانة أعلى بكثير من الأساليب السابقة عبر 13 اختباراً متنوعاً.
رؤية نظرية: حدد المؤلفون خللاً جوهرياً في الهجمات غير المستهدفة والقائمة على التدرج: فهي تعتمد بشكل مفرط على التصنيفات الحقيقية، مما يخلق تحولات اتجاهية متسقة وقابلة للاستغلال في فضاء التضمين، وهو ما يمكن لـ ATAC عكسه.
المتانة التكيفية: يحافظ الأسلوب على متانة غير ضئيلة حتى ضد الهجمات التكيفية المصمم خصيصاً لتجاوزه.

4. النتائج التجريبية

قيم المؤلفون ATAC على 13 مجموعة بيانات (بما في ذلك CIFAR-10/100، STL-10، Caltech، OxfordPets، Flowers102، إلخ) ضد هجمات PGD ( $\epsilon = 4/255$ ).

مكاسب المتانة:
- حسن ATAC دقة المتانة لنموذج CLIP غير المحمي بمتوسط ~80% (على سبيل المثال، من ~0.1% إلى ~80% في المتوسط).
- تفوق على أفضل الدفاعات السابقة في وقت الاختبار (R-TPT، TTC) بنسبة تقارب 50% في المتوسط.
- تجاوز أساليب الضبط الدقيق التناظري (TeCoA، PMG-AFT) بفارق كبير.
مقايضة دقة الصور السليمة:
- هناك انخفاض طفيف في دقة الصور السليمة (حوالي 2-5%) بسبب تصحيح بعض العينات السليمة، وهو أمر معتاد في أساليب المتانة. ومع ذلك، في بعض الحالات، تجاوزت دقة المتانة لـ ATAC على الصور التناظرية دقة الصور السليمة لنموذج CLIP الأصلي.
التكلفة الحسابية:
- يستغرق ATAC حوالي 18 ثانية لـ 1000 صورة، مقارنة بـ ~20 ثانية لـ TTC و ~916 ثانية لـ R-TPT. إنه فعال للغاية مقارنة بالدفاعات القائمة على التحسين.
دراسات الاستئصال (Ablation Studies):
- الأسلوب متين تجاه حجم الخطوة $\alpha$ (طالما أنه كبير بما يكفي) ولكنه حساس للغاية لعتبة الاتساق $\tau^*$ . توازن العتبة المثلى $\tau^* = 0.85$ بين المتانة ودقة الصور السليمة.
تحليل عيوب الهجوم:
- عندما تمت إزالة اعتماد الهجوم على التصنيف الحقيقي (مثل استخدام هجمات غير خاضعة للإشراف أو مستهدفة)، انخفض أداء ATAC ولكنه ظل متفوقاً على النماذج المرجعية. وهذا يؤكد أنه بينما يستغل ATAC خلل الاعتماد على التصنيف في الهجمات القياسية، فإنه يمتلك أيضاً متانة ذاتية.
الهجمات التكيفية:
- ضد الهجمات التكيفية من نوع "الإغراء" (Lure - لإجبار التصحيح) و"التجنب" (Avoid - لمنع التصحيح)، حافظ ATIC على متانة أعلى بكثير (على سبيل المثال، 7.21% مقابل 1.28% لـ TTC على CIFAR-100) وأجبر المهاجم على تحمل تكاليف حسابية أعلى بكثير.

5. الأهمية

الكفاءة: يقدم ATAC دفاعاً بنظام "التوصيل والتشغيل" (plug-and-play) لا يتطلب إعادة تدريب ويستهلك حداً أدنى من العبء الحسابي، مما يجعله قابلاً للتطبيق في نشر CLIP في التطبيقات الحرجة أمنياً.
نموذج دفاع جديد: ينقل التركيز من محاربة الهجمات في فضاء البكسلات أو فضاء المطالبات إلى التصحيح الدلالي في فضاء التضمين. هذا يشير إلى أن الهندسة الخاصة بفضاء التضمين نفسها تحتوي على معلومات قابلة للاستعادة حول الفئة الحقيقية، حتى تحت الهجوم.
الأثر العملي: يثبت الأسلوب أن الخصائص الهندسية البسيطة للتضمينات (اتساق الانجراف تحت التعزيز) يمكن استغلالها لبناء أنظمة شديدة المتانة، مما يتحدى الفكرة القائلة بأن المتانة تتطلب تدريباً ثقيلاً أو تحسيناً معقداً.

ختاماً، يمثل ATAC قفزة نوعية في الدفاع التناظري لنماذج الرؤية واللغة، حيث يقدم حلاً بسيطاً وسريعاً وفعالاً للغاية يتفوق على الاستراتيجيات الحالية القائمة على التدريب أو وقت الاختبار.