OTI: A Model-free and Visually Interpretable Measure of Image Attackability

إليك ملخص تقني مفصل لورقة البحث بعنوان: "OTI: مقياس خالٍ من النماذج وقابل للتفسير بصرياً لقابلية الهجوم على الصور."

1. بيان المشكلة

تُعد الشبكات العصبية العميقة (DNNs) عرضة للاضطرابات العدائية (Adversarial Perturbations)، والتي يمكن أن تسبب أخطاءً في تصنيف النماذج للصور السليمة. وبينما يركز الكثير من الأبحاث على تحسين متانة النموذج، هناك اهتمام متزايد بـ "قابلية الهجوم على الصورة" (Image Attackability) — أي تقييم الضعف المتأصل في صور سليمة محددة تجاه الهجمات العدائية.

تعاني الطرق الحالية لقياس قابلية الهجوم على الصور من مشكلتين حرجتين:

1. الاعتماد على النموذج (Model Dependency): تعتمد النهج الحالية (مثل IAARS وZGP) على "نموذج بديل" (Surrogate Model) مدرب لتوليد التدرجات أو الحد الأدنى من الاضطرابات. وهذا أمر غير عملي في السيناريوهات التي يصعب فيها الوصول إلى النماذج (مثل التصوير الطبي) أو عندما تكون تكاليف التدريب باهظة.
2. الافتقار إلى التفسير البصري: الميزات المستخرجة بواسطة الطرق الحالية هي ميزات مجردة (مثل أوزان المميز في الشبكة العصبية أو نسب التدرج) وتفتقر إلى ارتباط بصري مباشر بمحتوى الصورة، مما يجعل من الصعب على البشر فهم لماذا تعتبر صورة ما عرضة للهجوم.

يهدف المؤلفون إلى تطوير مقياس خالٍ من النماذج (Model-Free) وقابل للتفسير بصرياً يحدد كمية قابلية الهجوم بناءً فقط على الخصائص الجوهرية للصورة.

2. المنهجية: كثافة نسيج الكائن (OTI)

المقترح الأساسي هو كثافة نسيج الكائن (Object Texture Intensity - OTI)، وهو مقياس يحدد كمية قابلية الهجوم بناءً على كثافة نسيج الكائن الدلالي داخل الصورة.

الأساس النظري

يفترض المؤلفون أن الصور ذات الأجسام الدلالية الأصغر والأنسجة الأضعف هي أكثر عرضة للهجوم. وقد برروا ذلك من منظورين:

• منظور حدود القرار (Decision Boundary Perspective): تؤدي الأجسام الأصغر والأنسجة الأضعف إلى تقليل المعلومات التمييزية، مما يدفع العينة للاقتراب من حد القرار الخاص بالنموذج. وبناءً على ذلك، تتطلب هذه العينات اضطرابات أصغر (ناقلات التدهور) لعبور الحد وتصنيفها بشكل خاطئ.
• منظور المجال الترددي (Frequency Domain Perspective): تعتمد الاضطرابات العدائية بشكل كبير على المكونات ذات التردد المتوسط والعالي. تعمل الأنسجة الدلالية القوية كحاجز ضد هذه الترددات، بينما تفتقر الصور ذات الأنسجة الضعيفة إلى هذه الحماية، مما يجعلها أكثر عرضة للضوضاء عالية التردد.

الصيغة الرياضية

يتم حساب OTI عن طريق دمج مكونين:

1. نسبة مساحة الكائن (Object Area Ratio - OAR): وهي نسبة مساحة الصورة التي يشغلها الكائن الدلالي ذو الصلة بالمهمة.
   $$OAR(x) = \frac{1}{C \times H \times W} ||object(x)||_1$$
   (حيث أن $object(x)$ هو خريطة تقسيم ثنائية للكائن الدلالي).

2. كثافة نسيج الصورة (Image Texture Intensity - ITI): وهي مجموع قيم النسيج المطلقة في الصورة، المستخرجة باستخدام عامل سوبل (Sobel operator) ويرمز له بـ ($f$).
   $$ITI(x) = \frac{1}{C \times H \times W} ||f * x||_1$$

3. حساب OTI: يجمع OTI بين هذين المكونين عبر حساب كثافة النسيج تحديداً داخل منطقة الكائن الدلالي باستخدام الضرب الجزئي (Hadamard product) ويرمز له بـ ($\odot$).
   $$OTI(x) = \frac{1}{C \times H \times W} ||object(x) \odot (f * x)||_1$$

التفسير: تشير قيمة OTI المنخفضة إلى كائن دلالي أصغر و/أو نسيج أضعف، مما يعني قابلية أعلى للهجوم (ضعف أكبر). وعلى العكس من ذلك، تشير قيمة OTI المرتفعة إلى أن الصورة أكثر مقاومة.

3. المساهمات الرئيسية

• رؤية جديدة: هذا هو العمل الأول الذي يكشف ويحدد صراحة العلاقة الكمية بين كثافة نسيج الكائنات وقابلية الهجوم على الصور.
• خالٍ من النماذج وقابل للتفسير: لا يتطلب OTI تدريب نموذج بديل أو الوصول إلى تدرجات النموذج. إنه يعتمد كلياً على الصورة ويوفر مرجعاً بصرياً (خريطة نسيج الكائن) يمكن للبشر فهمه بشكل حدسي.
• تفسير نظري: تقدم الورقة تفسيراً نظرياً مزدوج المنظور (حدود القرار والمجال الترددي) لسبب ارتباط كثافة النسيج بالمتانة.
• تحقق شامل: تم التحقق من المنهج عبر مهام متنوعة (التصنيف، التجزئة)، ومجالات مختلفة (الصور الطبيعية، السلائل الطبية/polyps)، وأنواع هجوم مختلفة.

4. النتائج التجريبية

قيم المؤلفون OTI مقابل أكثر من 15 هجوماً عدائياً متقدماً (القائمة على التدرج، القائمة على الاستعلام، القائمة على التوليد، والقائمة على المجموعات/Ensemble) وعدة نماذج مستهدفة (CNNs, ViTs, والنماذج المدعومة دفاعياً).

• الفعالية في اختيار الهجوم:
  • في الهجمات غير المستهدفة (نموذج بديل واحد)، أدى اختيار أعلى 10% من الصور الأكثر قابلية للهجوم (الأقل في قيمة OTI) إلى تحسين معدل نجاح الهجوم (ASR) بنسبة 13.39% مقارنة بأخذ العينات العشوائية.
  • في الهجمات المستهدفة، أدى الاختيار القائم على OTI إلى تحسين ASR بنسبة 6.79% عند معدل أخذ عينات 10%.
  • في الهجمات القائمة على المجموعات (Ensemble-based attacks)، حقق OTI تحسناً بنسبة 13.55% مقارنة بأخذ العينات العشوائية.
• المتانة ضد الدفاعات: ظل OTI فعالاً حتى عند مهاجمة النماذج المدربة عدائياً (مثل ConvNeXt-B, ViT-B + ConvStem)، حيث أظهر تحسناً في ASR بنسبة 12.24% مقارنة بأخذ العينات العشوائية.
• كفاءة الاستعلام: في الهجمات القائمة على الاستعلام، تطلبت الصور المختارة بواسطة OTI معايير اضطراب (Perturbation norms) أصغر بكثير ($L_\infty$ و $L_2$) ليتم مهاجمتها بنجاح، مما يؤكد أن الصور ذات قيمة OTI المنخفضة هي بطبيعتها أسهل في الخداع.
• مهام التجزئة (Segmentation): تم تطبيق OCI بنجاح على مجموعة بيانات Kvasir-SEG (تجزئة السلائل المعوية)، مما أظهر الفعالية في المجالات غير الطبيعية ونطاقات البيانات الأصغر.
• دراسة الاستئصال (Ablation Study): تفوق OTI باستمرار على مكوناته الفردية (OAR و ITI) وعلى خطوط الأساس العشوائية، مما يثبت أن حجم الكائن وكثافة النسيج عاملان متكاملان في تحديد قابلية الهجوم.

5. الأهمية والتوجهات المستقبلية

• التطبيقات العملية: يتيح OTI التعلم النشط (Active Learning) الفعال (اختيار الصور الأكثر معلوماتية)، والتدريب العدائي (Adversarial Training) (التركيز على العينات الأكثر ضعفاً)، وتعزيز الهجوم (Attack Enhancement) (تحديد نقاط الضعف في مجموعة بيانات دون الحاجة لنموذج مستهدف).
• أمن الذكاء الاصطناዊ المتمحور حول الإنسان: من خلال توفير تفسير بصري، يسد OTI الفجوة بين المتانة الرياضية المجردة والحدس البشري، مما يسمح للباحثين بتحديد سبب ضعف صور معينة بصرياً.
• القيود: يقتصر حالياً على بيانات الصور. يمكن للعمل المستقبلي توسيع هذا المفهوم ليشمل وسائط أخرى مثل الصوت أو النصوص.

باختสร، يقدم OTI أداة بسيطة، فعالة حاسوبياً، وفعالة للغاية لتقييم ضعف الصور دون عبء تدريب النماذج، مما يغير التركيز بشكل جذري من "كيفية الدفاع عن النماذج" إلى "فهم أي البيانات هشة بطبيعتها".