Out-of-the-box: Black-box Causal Attacks on Object Detectors

إليك ملخص تقني مفصل للورقة البحثية بعنوان "Out-of-the-box: Black-box Causal Attacks on Object Detectors" للباحثين ميلان نافاراتناراجان، ديفيد أ. كيلي، وهانا تشوكلر.

1. بيان المشكلة

تعد أجهزة كشف الأشياء (ODs) بالغة الأهمية للتطبيقات الحرجة للسلامة مثل القيادة الذاتية، ومع ذلك فهي عرضة للاضطرابات العدائية. تواجه طرق الهجوم العدائي الحالية عدة قيود:

• الاعتماد على الصندوق الأبيض (White-box Dependency): تتطلب العديد من الهجمات الفعالة الوصول إلى مكونات النموذج الداخلية (التدرجات، الطبقات الخفية)، وهو نموذج تهديد غير واقعي للأنظمة المنشورة.
• الافتقار إلى القابلية للتفسير (Lack of Explainability): بينما تنجح الهجمات غالبًا، إلا أن آلية الفشل نادرًا ما تُفهم. هجمات الضجيج العامة تكشف عن الضعف ولكنها لا تفسر لماذا يتسبب اضطراب معين في اختفاء الكشف.
• الإدراك البصري (Perceptibility): تتطلب العديد من هجمات الصندوق الأسود اضطرابات كبيرة (تشوه عالٍ) للنجاح، مما يجعلها سهلة الكشف من قبل المراقبين البشر.
• المفهوم المكاني الخاطئ (Spatial Misconception): هناك افتراض سائد بأن كاشف الأشياء يعتمد فقط على البكسلات داخل صندوق الإحاطة (bounding box) الموضح. تتحدى هذه الورقة هذا الافتراض، مشيرة إلى أن الكواشف تعتمد بشدة على السياق خارج الصندوق.

المشكلة الجوهرية التي تعالجها هي: كيف يمكن توليد هجمات عدائية فعالة، غير محسوسة، وقابلة للتفسير بالكامل على كواشف الأشياء في إطار صارم للصندوق الأسود (الوصول فقط إلى الملصقات وصناديق الإحاطة)؟

2. المنهجية: BlackCAtt

يقترح المؤلفون BlackCAtt (الهجمات السببية للصندوق الأسود)، وهو إطار عمل يستفيد من مجموعات بكسلات الكفاية الدنيا (MSPS) لبناء الهجمات.

المفاهيم الأساسية

• MSPS (مجموعات بكسلات الكفاية الدنيا): مجموعة فرعية من البكسلات في صورة ما تكون كافية لإنتاج تصنيف محدد من قبل النموذج. إذا تم تغيير هذه البكسلات، يتغير التصنيف.
• البكسلات السببية (Causal Pixels): تستخدم الورقة نظرية السببية الفعلية (عبر أداة rex) لتحديد البكسلات المسؤولة سببياً عن عملية الكشف.
• الرؤية الجوهرية: مجموعات MSPS غالباً لا تقتصر بالكامل داخل صندوق إحاطة الكائن. جزء كبير من "السبب" وراء الكشف يكمن غالباً في السياق المحيط.

خوارزميات الهجوم

يعمل BlackCAtt في وضعين رئيسيين، وكلاهما يتطلب فقط صندوق الإحاطة وتسمية الفئة (الصندوق الأسود):

1. BlackCAttBl (الممزوج - Blended):

   • يدمج خريطتين: خريطة المسؤولية عن الكشف الفعلي ($R(X)$) وخريطة مسؤولية "سلبية" حيث يتم تعيين الهدف إلى "لا شيء" ($R(\bar{X})$).
   • يقوم بدمج هذه الخرائط لتحديد المناطق التي سيؤدي فيها تغيير البكسلات إما إلى إزالة الكشف أو تغيير التسمية.
   • يبحث عن الاضطرابات ضمن ثلاثة أنماط مكانية: البكسلات داخل صندوق الإحاطة، البكسلات خارج صندوق الإحاطة، والـ MSPS بأكمله.

2. BlackCAttMoG (خليط من توزيعات غاوس - Mixture of Gaussians):

   • يعامل خريطة المسؤولية كخليط من توزيعات غاوس لإنشاء قناع اضطراب سلس ومتماسك مكانياً.
   • يستخرج القمم العليا من MSPS، ويطابقها مع نواة غاوس ثنائية الأبعاد، ويطبق ضجيجاً أو تمويهاً (blur) موزوناً بواسطة هذا القناع.
   • ينتج هذا النهج هجمات تبدو طبيعية أكثر وأقل إدراكاً مقارنة بالضجيج على مستوى البكسل.

القدرة كخوارزمية ميتا (Meta-Algorithm)

يمكن لـ BlackCAtt أيضاً أن يعمل كـ خوارزمية ميتا عندما تتوفر درجات ثقة النموذج. يمكنه توجيه المحسنات القياسية للصندوق الأسود (مثل Square Attack أو SparseRS) للتركيز فقط على البكسلات السببية (MSPS)، مما يقلل مساحة البحث والتشوه الناتج.

3. المساهمات الرئيسية

1. أول هجوم صندوق أسود قابل للتفسير لكواشف الأشياء: يعد BlackCAtt أول طريقة لتوليد هجمات عدائية قائمة على القرار لكواشف الأشياء، وهي قابلة للتفسير بالكامل عبر استهداف الآليات السببية بدلاً من تحسين دالة الخسارة بشكل عشوائي.
2. اكتشاف السببية "خارج الصندوق" (Out-of-the-Box): تقدم الورقة أدلة تجريبية على أن ~62% من كشوف YOLO و ~74% من كشوف Faster R-CNN لديها بكسلات MSPS لا تقع بالكامل داخل صندوق الإحاطة. إن اضطراب هذه البكسلات السياقية الخارجية كافٍ غالباً لإزالة الكشف.
3. الاستقلالية عن النموذج والبنية: تعمل الطريقة عبر عائلات مختلفة من الكواشف: أحادية المرحلة (YOLO)، ثنائية المرحلة (Faster R-CNN)، والمبنية على المحولات (RT-DETR).
4. التشغيل المزدوج: يعمل بفعالية بالمعلومات الدنيا (التسمية + صندوق الإحاطة) ويمكنه تعزيز الهجمات الأخرى القائمة على الدرجات عند توفر درجات الثقة.

4. النتائج التجريبية

قيم المؤلفون BlackCAtt على مجموعة بيانات COCO test2017 ضد ثلاثة نماذج: YOLOv11، Faster R-CNN، و RT-DETR.

• معدلات النجاح:

  • يتفوق BlackCAtt بشكل كبير على النماذج المرجعية غير الموجهة (Global Noise, Targeted Noise). على سبيل المثال، عند إضافة كشوف زائفة، حقق BlackCAtt ما يصل إلى 53% نجاح مقارنة بأقل من 10% للنماذج المرجعية تحت قيود إدراكية صارمة.
  • هو فعال بشكل خاص في إزالة الكشوف و إضافة كشوف جديدة. تغيير التسميات الموجودة أصعب ولكنه لا يزال ممكناً.

• الإدراك البصري (التشوه):

  • من خلال استهداف البكسلات السببية، يحقق BlackCAtt هجمات بتشوه أقل بكثير.
  • إحصائية رئيسية: عند استخدامه كخوارزمية ميتا مع Square Attack، قلل متوسط معيار $L_0$ (عدد البكسلات المتغيرة) من 0.987 إلى 0.072 مع الحفاظ على معدل نجاح مماثل.
  • يحقق باستمرار درجات $L_2$ و $LPIPS$ (تشابه رقعة الصورة المدركة المتعلمة) أقل من الطرق القياسية، مما يعني أن الهجمات أقل وضوحاً للبشر.

• التحليل المكاني:

  • أكدت الدراسة أن ~62% من كشوف YOLO و ~74% من كشوف Faster R-CNN لديها بكسلات MSPS لا تقع بالكامل داخل صندوق الإحاطة.
  • الهجمات التي تستهدف البكسلات خارج صندوق الإحاطة كانت غالباً أكثر نجاحاً لكل وحدة مساحة مضطربة مقارنة بالهجمات داخل الصندوق.

5. الأهمية والآثار المترتبة

• الآثار الأمنية: تكشف النتائج عن ثغرة حرجة في كواشف الأشياء: فهي تعتمد بشدة على الإشارات السياقية خارج حدود الكائن. هذا يعني أن المهاجم لا يحتاج إلى حجب الكائن نفسه لخداع النظام؛ فتلاعب الخلفية كافٍ.
• التطبيقات الدفاعية: تسمح قابلية التفسير لـ BlackCAtt للمطورين بفهم لماذا يفشل النموذج. يمكن أن يوجه هذا عملية التدريب العدائي (adversarial training) لجعل النماذج قوية ضد الاضطرابات القائمة على السياق وإجبارها على الاعتماد أكثر على الميزات الجوهرية للكائن.
• المساهمة النظرية: يجسّر هذا العمل الفجوة بين الذكاء الاصطناعي القابل للتفسير (XAI) و المتانة العدائية، موضحاً أن التفسيرات السببية يمكن استخدامها مباشرة كسلاح لإنشاء هجمات فعالة ومنخفضة التشوه.
• الواقعية: لا تتطلب الطريقة الوصول إلى تدرجات النموذج أو مكوناته الداخلية، مما يجعلها تهديداً واقعياً للأنظمة المنشورة في العالم الحقيقي حيث لا يمكن رؤية سوى المخرجات (صناديق الإحاطة).

في الختام، يثبت BlackCAtt أنه من خلال فهم البنية السببية لكشف الأشياء، يمكن صياغة هجمات عالية الكفاءة، غير محسوسة، وقابلة للتفسير تستغل اعتماد النموذج على السياق الخارجي، مما يتحدى الافتراض بأن صناديق الإحاطة تحصر عملية اتخاذ القرار بالكامل.