Robust Spiking Neural Networks Against Adversarial Attacks

إليك ملخص تقني مفصل لورقة البحث بعنوان "الشبكات العصبية النبضية القوية ضد الهجمات العدائية" (ICLR 2026).

1. بيان المشكلة

تُعرف الشبكات العصبية النبضية (SNNs) بكفاءتها في استهلاك الطاقة ومحاكاتها للأنظمة البيولوجية، مما يجعلها مثالية للحوسبة العصبية. ومع ذلك، فإن الشبكات العصبية النبضية المدربة مباشرة (باستخدام طرق التدرج البديل) تعاني من مشكلات كبيرة في المتانة عند مواجهة الهجمات العدائية، تماماً مثل الشبكات العصبية الاصطناعية (ANNs).

حدد المؤلفون عقبة نظرية محددة: الخلايا العصبية النبضية المجاورة للعتبة (threshold-neighboring spiking neurons).

• نقطة الضعف: الخلايا العصبية التي تكون جهود غشائها ($V[t]$) قريبة من عتبة الإطلاق الخاصة بها ($V_{th}$) تكون شديدة الحساسية.
• النتيجة: تضع هذه الخلايا العصبية الحد الأعلى النظري لقوة الهجمات العدائية. ففي ظل الاضطرابات الطفيفة، تكون هذه الخلايا عرضة لـ "انقلاب الحالة" (التغير من حالة الإطلاق إلى الصمت أو العكس)، مما يؤدي إلى تأثير متسلسل عبر الشبكة لتغيير المخرج النهائي.
• الفجوة: استراتيجيات الدفاع الحالية (مثل التدريب العدائي) غالباً ما تتطلب تكاليف حوسبية عالية أو تفتقر إلى تحليل نظري موحد لسبب كون الشبكات العصبية النبضية ضعيفة بهذا الشكل المحدد.

2. المنهجية: تحسين حماية العتبة (TGO)

لمعالجة ضعف الخلايا العصبية المجاورة للعتبة، يقترح المؤلفون تحسين حماية العتبة (Threshold Guarding Optimization - TGO)، وهو نهج ثنائي المسار يعدل عملية التدريب دون إضافة عبء أثناء الاستدلال.

أ. قيود جهد الغشاء (تشتت التدرج)

يهدف المكون الأول إلى دفع جهود الغشاء بعيداً عن عتبة الإطلاق لتقليل معيار جاكوبي (Jacobian norm) للشبكة، وبالتالي خفض الحد الأعلى النظري للاضطرابات العدائية.

• الآلية: يتم إضافة حد قيد إضافي إلى دالة الخسارة. هذا الحد يعاقب الخلايا العصبية حيث يكون جهد الغشاء $V[t]$ ضمن هامش $\delta$ من العتبة $V_{th}$.
• التنظيم الديناميكي: يتحكم المعامل $\lambda$ في قوة هذا القيد. وبدلاً من استخدام قيمة ثابتة، يستخدم المؤلفون جدول تكييف جيب التمام الديناميكي (dynamic cosine annealing schedule) لـ $\lambda$. يبدأ المنحنى بقيمة منخفضة للسماح باستكشاف المعلمات، ثم يزداد عبر الدورات (epochs) لفرض "حماية" العتبة بصرامة.
• الهدف: تعظيم المسافة بين $V[t]$ و $V_{th}$، مما يزيد من تشتت التدرج ويقلل من حساسية الشبكة للاضطرابات في المدخلات.

ب. الخلايا العصبية النبضية الضوضائية (الإطلاق الاحتمالي)

يعالج المكون الثاني الخلايا العصبية المتبقية التي تظل حتماً بالقرب من العتبة بسبب متطلبات دالة الخسارة.

• الآلية: يقدم المؤلفون خلايا النموذج الليفي المتكامل والمتسرب المضاف إليه الضوضاء (Noisy-LIF). حيث يتم إضافة ضوضاء بيضاء غاوسية ($\xi[t] \sim \mathcal{N}(0, \sigma^2)$) إلى ديناميكيات جهد الغشاء.
• الأساس النظري: ينقل هذا آلية الإطلاق من الحتمية إلى الاحتمالية. وتظهر التحليلات النظرية (النظرية 1 و 2) أنه مع زيادة مستوى الضوضاء $\sigma$، فإن احتمال انقلاب الحالة ($P_{flip}$) للاضطرابات الصغيرة يتناقص بشكل رتيب عندما يكون الجهد قريباً من العتبة.
• الهدف: خلق "تأثير عازل" حيث لا تؤدي الاضطرابات الطفيفة إلى إطلاق حالة انقلاب فورية، مما يؤدي إلى استقرار مخرجات الشبكة.

3. المساهمات الرئيسية

1. التحليل النظري: تقدم الورقة برهاناً رياضياً صارماً يثبت أن الخلايا العصبية المجاورة للعتبة هي العامل الأساسي الذي يحد من متانة الشبكات العصبية النبضية. كما تثبت أن هذه الخلايا تحدد الحد الأعلى لقوة الهجوم العدائي ($R_{adv}$) وهي الأكثر عرضة لقلب الحالات تحت تأثير الضوضاء.
2. إطار عمل TGO: يقترح طريقة تحسين مبتكرة تجمع بين قيود جهد الغشاء (لإبعاد الجهود عن العتبات) والخلايا العصبية الضوضائية (لقمع انقلابات الحالة احتماليًا).
3. الأداء الرائد (SOTA): تحقق الطريقة أداءً رائداً في المتانة عبر مجموعات بيانات متعددة (CIFAR-10, CIFAR-100, DVS-CIFAR10) وبنيات مختلفة (VGG-11, WRN-16) تحت سيناريوهات هجوم متنوعة (FGSM, RFGSM, PGD, APGD, MTPGD).
4. الكفاءة: على عكس العديد من طرق التدريب القوية، لا يضيف TGO أي عبء حوسبي إضافي أثناء عملية الاستدلال.

4. النتائج التجريبية

قيم المؤلفون TGO باستخدام ثلاث استراتيجيات تدريب: التدريب العادي (BPTT)، التدريب العدائي (AT)، والتدريب العدائي المنظم (RAT).

• الأداء على CIFAR-10/100:
  • تحت تدريب Vanilla (BPTT)، حسن TGO المتانة ضد هجمات FGSM و RFGSM بنسبة 10-20% مقارنة بالشبكات العصبية النبضية القياسية.
  • عند دمجه مع AT و RAT، تفوق TGO باستمرار على طرق المتانة الأخرى (مثل تنظيم تشتت التدرج، DLIF، StoG). على سبيل المثال، في نموذج WRN-16 مع RAT، حقق TGO دقة بلغت 54.59% ضد هجمات PGD7، مقارنة بـ 23.90% للنموذج الأساسي.
• الهجمات المتقدمة: أظهر TGO صموداً فائقاً ضد هجمات Auto-PGD (APGD) و Multi-Targeted PGD (MTPGD)، حتى عند استخدام "التوقع عبر التحويل" (EoT) لمواجهة حجب التدرج.
• البيانات العصبية: في مجموعة بيانات الأحداث DVS-CIFAR10، أدى دمج TGO مع AT إلى تقليل معدل نجاح الهجوم (ASR) من 44.32% (في حالة AT القياسي) إلى 31.0%.
• دراسات الاستئصال (Ablation Studies):
  • أدى كل من مكون "قيد الغشاء" (MC) و"الخلايا الضوضائية" (NLIF) بشكل فردي إلى تحسين المتانة.
  • عند دمجهما، أظهرا تأثيراً تآزرياً، حيث تفوقا بشكل كبير على مجموع الأجزاء الفردية.
  • أظهر تصوير تضاريس الخسارة (loss landscapes) أن نماذج TGO تمتلك تدرجات أكثر سلاسة وعدد أقل من القيم المحلية المثلى مقارنة بالشبكات العصبية النبضية العادية.

5. الأهمية

هذا العمل مهم لمجال الحوسبة العصبية وأمن الذكاء الاصطناعي لعدة أسباب:

• الرؤية النظرية: يتجاوز الملاحظة التجريبية ليقدم تفسيراً نظرياً لضعف الشبكات العصبية النبضية، ويربط توزيع جهد الغشاء مباشرة بحدود المتانة العدائية.
• النشر العملي: من خلال ضمان عدم إضافة الطريقة لأي تكلفة استدلال، فإنها توفر مساراً قابلاً للتطبيق لنشر شبكات عصبية نبضية آمنة على الأجهزة ذات الموارد المحدودة (مثل إنترنت الأشياء، والمستشعرات ذاتية التشغيل).
• الذكاء الطرفي القوي: تمهد هذه النتائج الطريق لشبكات عصبية نبضية أكثر موثوقية في التطبيقات الواقعية حيث تشكل البيئات العدائية مصدر قلق، مما يسد الفجوة بين الحوسبة المحاكية للبيولوجيا ومتطلبات الأمن.

ختاماً، تجادل الورقة بأنه من خلال "حماية" العتبة — أي إبقاء الخلايا العصبية بعيدة عن خط الإطلاق وجعل عملية الإطلاق احتمالية — يمكن للشبكات العصبية النبضية تحقيق متانة تضاهي أو تتجاوز الشبكات العصبية الاصطناعية دون التضحية بمزايا كفاءة الطاقة الخاصة بها.