💻 computer science

Defending against Patch-Based and Texture-Based Adversarial Attacks with Spectral Decomposition

تقترح هذه الورقة "الدفاع الطيفي الخصومي" (ASD)، وهو آلية مبتكرة تسخر تحويل المويجات المتقطع لتحليل الاضطرابات عبر مقاييس ترددية متعددة وتتكامل مع التدريب الخصومي لتحقيق متانة رائدة ضد الهجمات الخصومية القائمة على الرقع أو الأنسجة التكيفية.

المؤلفون الأصليون: Wei Zhang, Xinyu Chang, Xiao Li, Yiming Zhu, Xiaolin Hu

نُشر 2026-04-15

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Wei Zhang, Xinyu Chang, Xiao Li, Yiming Zhu, Xiaolin Hu

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أنك حارس أمن في متحف عالي التقنية، ومهمتك هي رصد أشخاص محددين (مثل كبار الشخصيات) في حشد من الناس باستخدام نظام كاميرات. هذا النظام مدعوم بذكاء اصطناعي فائق الذكاء (شبكة عصبية عميقة).

ومع ذلك، فقد وجد لصوص أذكياء طريقة لخداع ذكائك الاصطناعي. هم لا يرتدون أقنعة فحسب؛ بل يرتدون قمصاناً خاصة أو يحملون لوحات غريبة تجعل الذكاء الاصطناعي "أعمى" عن وجودهم.

هجمات الرقع (Patch Attacks): يرفع اللص لوحة مربعة ذات نمط غريب وساطع. بالنسبة لعينيك، هي مجرد لوحة، ولكن بالنسبة للذكاء الاصطناعي، تبدو وكأنها ضجيج ساكن يقول له: "تجاهلني".
هجمات الأنسجة (Texture Attacks): يرتدي اللص قميصاً مغطى بنمط معين ومتكرر. بالنسبة لك، هو مجرد قميص رائع. أما بالنسبة للذكاء الاصطناعي، فإن النمط بأكمله يمثل إشارة "عدم رؤية".

تعمل هذه الحيل لأن الذكاء الاصطناعي ينظر إلى الصورة كصورة كاملة، وهذه الأنماط تربك "دماغه".

المشكلة في الدفاعات القديمة

حاول حراس الأمن السابقون إيقاف ذلك من خلال البحث عن "مربعات غريبة" أو "بقع عالية التباين".

الخلل: إذا قام اللص بتغيير حيلته قليلاً (هجوم تكيفي)، فإن الحارس القديم يصاب بالارتباك. إذا ارتدى اللص قميصاً بنمط يغطي الجسم بالكامل (وليس مجرد مربع)، فلن يعرف الحارس أين يبحث. الأمر يشبه محاولة العثور على إبرة في كومة قش عندما تصبح الإبرة الآن بحجم البطانية.

الحل الجديد: "الدفاع الطيفي" (ASD)

يقترح المؤلفون في هذه الورقة البحثية طريقة جديدة للنظر إلى المشكلة. بدلاً من مجرد النظر إلى الصورة، ينظرون إلى الاهتزازات داخل الصورة.

تخيل الصورة مثل سيمفونية موسيقية:

الترددات المنخفضة: هي نغمات "الباص" العميقة والجهيرة. هذه هي الأشكال الكبيرة، والألوان العامة، والأجزاء الناعمة من الصورة (مثل سماء صافية أو جدار صلب).
الترددات العالية: هي أصوات الصنوج (Cymbals) والكمان الحادة والواضحة. هذه هي الحواف، والتفاصيل الدقيقة، والأنسجة، والتغيرات الصغيرة (مثل حافة الوجه أو نمط القميص).

الاكتشاف:
وجد الباحثون أن "الأنماط الخادعة" التي يستخدمها اللصوص (الرقع وأنسجة القمصان) تخلق اهتزازات حادة وعالية بشكل غير طبيعي في الموسيقى. حتى لو بدا النمط طبيعياً للإنسان، فإنه عند تفكيك الصورة إلى نوتاتها الموسيقية (باستخدام أداة تسمى تحويل المويجات المتقطع أو DWT)، فإن الأنماط "السيئة" تصرخ بصوت أعلى بكثير من الأجزاء "الجيدة" في الصورة.

كيف يعمل الدفاع الجديد (عملية من 3 خطوات)

1. "الأذن الطيفية" (الكشف)
يمرر النظام الصورة عبر مرشح خاص (DWT) يفصل الموسيقى إلى آلات مختلفة. إنه يستمع إلى النغمات "الصارخة".

إذا سمع اهتزازاً حاداً وعالياً في منطقة معينة، فهو يعلم: "مهلاً، هذه حيلة!"
يقوم برسم قناع فوق تلك المنطقة، مما يعني فعلياً: "سأقوم بتغطية هذا الجزء المشبوه وتغبيشه حتى لا يرتبك الذكاء الاصطناعي بسببه".

2. استراتيجية "الطبقة المزدوجة" (التجميع)
هذا هو الجزء الصعب: قد يكون اللص بعيداً (مما يجعل نمطه يبدو مثل دندنة منخفضة التردد) أو قريباً (مما يجعله يبدو مثل صرخة حادة التردد).

النظام لا يستمع إلى آلة واحدة فقط؛ بل يستمع إلى جميع مستويات الأوركسترا في وقت واحد. إنه يتحقق من "الباص" العميق، والترددات المتوسطة، والترددات العالية الحادة.
يقوم بدمج كل هذه التحققات للتأكد من الإمساك بالمحتال بغض النظر عن حجمه أو بعده في الإطار.

3. "الدماغ المقوّى" (التدريب التنافسي)
ماذا لو حاول اللص أن يكون شديد التخفي؟ ماذا لو جعل نمطه هادئاً جداً بحيث لا تستطيع "الأذن الطيفية" سماعه؟

يستخدم النظام أيضاً "دماغاً مقوّى" (التدريب التنافسي). هذا يشبه تدريب حارس الأمن على تجاهل الضوضاء الخافتة والخفية التي قد تظل حيلًا.
التركيبة: "الأذن الطيفية" تمسك بالحيل الصاخبة والواضحة (الرقع والأنسجة الكبيرة)، و"الدماغ المقوّى" يمسك بالحيل الهادئة والخفية. معاً، يغطيان جميع الجوانب.

لماذا يعد هذا أمراً هاماً

إنه واقعي: هذا يعمل في العالم الحقيقي. يمكنك ارتداء القميص السيئ أو حمل اللوحة السيئة، ومع ذلك سيظل هذا النظام يرصدك.
إنه ذكي: إنه يتكيف مع اللص. حتى لو حاول اللص تغيير نمطه لخداع النظام، فإن هذا الدفاع جديد لأنه شامل جداً (يستمع إلى جميع التردات والمستويات) بحيث يظل قادراً على الإمساك به.
النتيجة: في الاختبارات، كان هذا الأسلوب الجديد أفضل بنسبة 21% من أي طريقة سابقة في رصد هؤلاء المخادعين، حتى عندما حاول المخادعون تحديداً كسر هذا النظام الجديد.

الخلاصة

تخيل حارس أمن لا يكتفي بمجرد النظر إلى الصورة، بل يستمع إلى الموسيقى الخفية داخلها. إذا بدت الموسيقى "غير مضبوطة" أو "عالية جداً" في بقعة معينة، فإنه يقوم بتغبيش تلك البقعة ويطلب من ذكاء اصطناعي فائق التدريب أن ينظر مجدداً. هذا يجعل من المستحيل تقريباً على اللصوص الاختباء في وضح النهار باستخدام أنماط خاصة.

إليك ملخص تقني مفصل لورقة البحث بعنوان: "الدفاع ضد الهجمات القائمة على الرقع (Patch-Based) والقائمة على الملمس (Texture-Based) باستخدام التفكيك الطيفي."

1. بيان المشكلة

تعتبر الشبكات العصبية العميقة (DNNs)، وخاصة في مجال اكتشاف الأشياء، عرضة لهجمات عدائية قابلة للتنفيذ مادياً. وبخلاف الهجمات الرقمية التي تضيف ضجيجاً غير محسوس، تتضمن هذه الهجمات المادية ما يلي:

الهجمات القائمة على الرقع (Patch-based attacks): وضع رقعة عدائية موضعية ذات تباين عالٍ (مثل وضعها على قميص أو لوحة كرتونية) لخداع الكاشف.
الهجمات القائمة على الملمس (Texture-based attacks): تغطية سطح الكائن بالكامل (مثل أنماط الملابس العدائية) بملمس منتشر لإخفاء الكائن.

محدودية الدفاعات الحالية:

الهجمات التكيفية (Adaptive Attacks): معظم الدفاعات الحالية (مثل كواشف الرقع أو الترميم/inpainting) تفشل عندما يصمم المهاجم الاضطراب خصيصاً لتجاوز الدفاع (في بيئة الصندوق الأبيض - white-box).
النطاق: تستهدف العديد من الدفاعات الهجمات القائمة على الرقع فقط، وتواجه صعوبة مع الهجمات القائمة على الملمس، والتي تكون أكثر انتشاراً مكانياً ويصعب تحديد موقعها.
الفجوات في النطاق الترددي: غالباً ما تركز الدفاعات القائمة على التردد (باستخدام تحويل فوريه المتقطع DFT أو ضغط JPEG) على إزالة الضجيج عالي التردد، لكنها تفشل في التعامل مع كتل الألوان منخفضة التردد والكبيرة التي تميز الرقع والملامس المادية.

2. المنهجية: الدفاع الطيفي العدائي (ASD)

يقترح المؤلفون ASD، وهو آلية دفاع تعتمد على تحويل المويجات المتقطع (DWT) لتحليل وتخفيف الأنماط العدائية عبر مستويات ترددية متعددة. تم تصميم ASD ليعمل بالتزامن مع نماذج التدريب العدائي (AT) الجاهزة.

أ. الرؤية الجوهرية: التحليل الطيفي

قام المؤلفون بتحليل المكونات الترددية للأمثلة العدائية المادية باستخدام DWT، ووجدوا أن:

كل من الهجمات القائمة على الرقع (AdvPatch) والهجمات القائمة على الملمس (AdvTexture) تظهر سعات (amplitudes) أعلى بكثير في معاملات التفاصيل الخاصة بـ DWT (النطاقات الفرعية عالية التردد) مقارنة برقع الصور السليمة.
بخلاف تحويل فوريه المتقطع (DFT)، الذي يلتقط التردد العالمي، يوفر DWT معلومات ترددية موضعية، مما يجعله مثالياً لاكتشاف الأنماط العدائية الموضعية.

ب. مسار عمل ASD

يتكون الدفاع من ثلاث مراحل:

قناع المنطقة العدائية متعدد الأطياف (ASD Masking):
- التفكيك: يتم تحويل الصورة المدخلة إلى تدرج رمادي وتفكيكها باستخدام 2D DWT (باستخدام مويجات Haar) إلى مستويات متعددة ( $n$ ). ينتج عن كل مستوى معاملات تفاصيل ( $D_i$ ) تمثل نطاقات ترددية مختلفة.
- رسم خرائط الكثافة: يتم حساب معيار $L_2$ لمعاملات التفاصيل عبر القنوات (أفقي، رأسي، قطري) لإنشاء خريطة كثافة طيفية.
- الكشف والتنعيم: يتم تنعيم خريطة الكثافة لتقليل الضجيج. تُحدد البكسلات التي تتجاوز عتبة ديناميكية ( $\theta_i = 2^{i-1}\theta$ ) كأجزاء عدائية.
- دمج الأقنعة: يتم رفع حجم الأقنعة من مستويات التفكيك المختلفة ودمجها (عملية الاتحاد - union operation) لإنشاء قناع ثنائي نهائي يغطي المناطق العدائية.
- المعالجة المسبقة: يتم تمويه المناطق العدائية المكتشفة في الصورة الأصلية (باستخدام Gaussian blur) لتثبيط الاضطرابات عالية السعة قبل إرسال الصورة إلى الكاشف.
تجميع مستويات ASD:
- نظراً لاختلاف أحجام الأشياء (شخص بعيد مقابل شخص قريب)، قد يظهر النمط العدائي في نطاقات ترددية مختلفة اعتماداً على المقياس.
- يعمل ASD بعملية التغطية بالقناع باستخدام مستويات تفكيك متعددة ( $n_1, n_2, \dots, n_k$ ).
- يتم تجميع نتائج الكشف من جميع المستويات باستخدام إزالة القيم غير القصوى (NMS) لضمان المتانة ضد الأجسام ذات الأحجام المختلفة.
التكامل مع التدريب العدائي (AT):
- يتعامل ASD مع الاضطرابات عالية السعة (الرقع/الملامس المادية) عن طريق التغطية (masking).
- ومع ذلك، قد يحاول المهاجم التكيفي التهرب من ASD عبر إنشاء اضطرابات منخفضة السعة (مقيدة بمعيار $L_\infty$ ).
- أثبت المؤلفون أن اضطرابات $L_\infty$ المنخفضة تؤدي بطبيعتها إلى سعات DWT منخفضة. لذلك، يتم دمج ASD مع نموذج تدريب عدائي (AT) قياسي يعتمد على $L_\infty$ .
- التآزر: يقوم ASD بإزالة التهديدات عالية السعة؛ بينما يوفر AT المتانة ضد التهديدات منخفضة السعة التي قد يغفل عنها ASD.

3. المساهمات الرئيسية

استراتيجية دفاع مبتكرة: يقترح ASD، وهو أول دفاع يستخدم التفكيك الطيفي متعدد الدقة (DWT) خصيصاً لاكتشاف وتغطية كل من الرقع الموضعية والملامس المنتشرة.
إطار عمل شامل: يدمج التحليل الطيفي مع التدريب العدائي الجاهز، مما يخلق دفاعاً فعالاً ضد الاضطرابات عالية السعة (المادية) ومنخفضة السعة (الرقمية الشبيهة) في بيئة تكيفية.
رؤية نظرية: يقدم برهاناً رياضياً يربط حدود اضطراب $L_\infty$ بحدود سعة DWT، مما يبرر الجمع بين ASD و AT.
أداء يضاهى أحدث المعايير: أظهر أداءً فائقاً عبر مختلف الكواشف (Faster R-CNN, FCOS, YOLOv8) وأنواع الهجمات.

4. النتائج التجريبية

قيم المؤلفون ASD+AT ضد مجموعة من الهجمات التكيفية في بيئة الصندوق الأبيض (حيث يعرف المهاجم الدفاع).

مكاسب الأداء:
- ضد مجموعة من 6 هجمات (4 مادية، 2 غير محسوسة)، حقق ASD+AT متوسط AP50 بنسبة 77.11%، متفوقاً على أفضل طرق الدفاع السابقة بنسبة 14.47%.
- تحديداً ضد هجمات الرقع والملمس، حسن AP50 بنسبة 21.73% عن أفضل خط أساس.
- في هجوم AdvPatch، حقق ASD+AT نسبة 90.04% AP (مقابل ~55-60% لخطوط الأساس).
- في هجوم AdvTexture، حقق ASD+AT نسبة 70.08% AP (مقابل ~25-40% لخطوط الأساس).
المتانة ضد الهجمات التكيفية:
- تم الاختبار ضد ثلاث استراتيجيات هجوم تكيفية مصممة لتجاوز ASD:
  1. هجوم التدرج المباشر (Direct Gradient Attack): تحسين المدخلات ضد النموذج المدافع.
  2. هجوم قائم على الخسارة (Loss-based Attack): إضافة حد خسارة لتقليل معاملات DWT.
  3. هجوم قائم على النطاق (Range-based Attack): تقييد قيم البكسل للحفاظ على سعات DWT منخفضة.
- حافظ ASD+AT على أداء عالٍ (AP > 88%) حتى ضد هذه الهجمات المصممة خصيصاً، بينما انخفض أداء AT القياسي بشكل كبير (إلى 55.46% في حالة AdvPatch).
التحقق في العالم الحقيقي:
- تم التقييم على لقطات فيديو حقيقية لملابس عدائية. حقق ASD+AT أداء دفاع بنسبة 100% ضد هجمات AdvTexture و AdvCaT في البيئات المادية غير التكيفية.
دراسات الاستئصال (Ablation Studies):
- أكدت أن إزالة AT تسبب انخفاضاً هائلاً في الأداء (مما يثبت الحاجة للدفاع ضد السعة المنخفضة).
- أكدت أن استخدام مستويات تفكيك متعددة (تجميع المستويات) أمر بالغ الأهمية لاكتشاف الأجسام بمقاييس مختلفة.
- أظهرت أن DWT يتفوق على FFT و DCT لأن DWT يلتقط التمركز المكاني.

5. الأهمية

الأمن للأنظمة الحرجة: يعالج هذا العمل فجوة حرجة في أمن الأنظمة ذاتية القيادة وأنظمة المراقبة، حيث تشكل الهجمات المادية (مثل ارتداء قميص "إخفاء" أو حمل لوحة) تهديدات واقعية.
المرونة التكيفية: من خلال الجمع بين التحليل الطيفي والتدريب العدائي، تظل الطريقة فعالة حتى عندما يحاول المهاجمون صراحةً عكس هندسة الدفاع، وهي نقطة الفشل الشائعة للطرق السابقة.
الكفاءة: رغم إضافة بعض العبء الحسابي (حوالي 2.5 ضعف زمن التأخير للتجميع الكامل)، إلا أن الطريقة أسرع بكثير من بعض خطوط الأساس القائمة على التردد (مثل FD-JPEG) وتقدم مكاسب هائلة في المتانة.
القدرة على التعميم: النهج مستقل عن النموذج (model-agnostic) وتم التحقق منه عبر بنيات متنوعة (كواشف ذات مرحلتين، مرحلة واحدة، وأخرى قائمة على المحولات مثل RF-DETR).

في الختام، يمثل ASD تقدماً كبيراً في الدفاع العدائي من خلال نقل التركيز من التلاعب في مساحة البكسل إلى التحليل في النطاق الطيفي، مما يحيد بفعالية الخصائص الفريدة للهجمات العدائية القابلة للتنفيذ مادياً.