Almost for Free: Crafting Adversarial Examples with Convolutional Image Filters

ملخص تقني: شبه مجاني: صياغة الأمثلة العدائية باستخدام مرشحات الصور الالتفافية

بيان المشكلة
تُنشأ الأمثلة العدائية (AEs) في التعلم العميق عادةً باستخدام التحسين القائم على التدرج (gradient-based optimization)، مما يتطلب إما وصولاً مباشراً إلى معاملات النموذج (الصندوق الأبيض - white-box) أو تقريبات مكثفة قائمة على الاستعلام (الصندوق الأسود - black-box). وتتضمن هذه الأساليب غالباً حلقات تحسين معقدة، وتكاليف حوسبية عالية، وفي حالة الأساليب القائمة على النماذج التوليدية، تتطلب ملايين المعاملات. يتساءل المؤلفون عما إذا كانت هذه التعقيدات ضرورية، ويقترحون إمكانية استغلال قابلية الشبكات العصبية للتأثر بالاضطرابات الهيكلية المحددة من خلال آليات أبسط.

المنهجية
يقترح البحث نهجاً جديداً لصياغة أمثلة عدائية غير مستهدفة (untargeted) باستخدام مرشحات الصور الالتفافية (convolutional image filters). تنقسم المنهجية إلى استراتيجيتين متميزتين:

1. هجوم مرشح الحواف (مستقل عن النموذج):

   • الإلهام: استناداً إلى التعلم الآلي القابل للتفسير (Adebayo et al., 2018; Ancona et al., 2018)، لاحظ المؤلفون وجود ارتباط بين خرائط البروز (saliency maps) (التي تقرب التدرجات $\nabla_x f_\theta(x)$) وبين كشف الحواف الكلاسيكي.
   • الآلية: يطبق الهجوم مرشح كشف حواف قياسي (تحديداً مرشح Sobel) على صورة مدخلة $x$ لإنشاء خريطة حواف $E(x)$. يتم إنشاء الاضطراب $\delta$ عن طريق تغيير حجم خريطة الحواف هذه: $\delta = \rho(E(x)) = \pm \mu E(x)$.
   • التشغيل: يتطلب هذا عملية التفاف واحدة فقط. اختبر المؤلفون تجريبياً طرح معلومات الحواف ($\mu < 0$)، مما يؤدي إلى تعتيم الحواف، ووجدوا أنه أكثر فعالية قليلاً من إضافتها.

2. هجوم المرشح العدائي (يعتمد على النموذج):

   • الآلية: بدلاً من استخدام نوى (kernels) ثابتة، يقوم المؤلفون بتحسين أوزان مرشح التفافي صغير $k$ لتعظيم خسارة النموذج المستهدف.
   • التحسين: يتم تدريب المرشح عبر حل المعادلة التالية:
     $$\arg\min_k -\sum_{x \in D} \ell(x + x * k, f_\theta(x), \theta) + \lambda \|k\|_2^2$$
     حيث $D$ هي مجموعة بيانات صغيرة تمثل توزيع التدريب، و $\ell$ هي دالة الخسارة، و $\lambda$ تعمل على تنظيم قوة الاضطراب.
   • الكفاءة: المرشحات صغيرة (على سبيل المثال $3 \times 3$ أو $5 \times 5$)، مما يتطلب عدداً أقل بكثير من المعاملات مقارنة بالنماذج التوليدية. هذا الهجوم هو هجوم "بخطوة واحدة" (one-shot)، حيث يتم إنشاء الاضطراب عبر عملية التفاف واحدة بعد تحسين المرشح.

المساهمات الرئيسية

• البساية والكفاءة: يوضح المؤلفون أنه يمكن صياغة الأمثلة العدائية دون الحاجة إلى تحديثات تدرج تكرارية أو بنيات توليدية معقدة. تقلل المرشحات المقترحة عدد المعاملات بمقدار خمس درجات أسية مقارنة بالأساليب التوليدية ذات الصلة (مثل Baluja & Fischer, 2018).
• القابلية للانتقال (Transferability): تُظهر المرشحات العدائية المتعلمة قابلية عالية للانتقال عبر بنيات نماذج مختلفة (VGG-13, ResNet-50, Inception-V3)، حتى عندما يتم تحسين المرشح لنموذج معين وتطبيقه على نموذج آخر.
• الرؤى الهيكلية: تشترك المرشحات المُحسّنة، رغم تفردها، في سمات هيكلية مع نوى معالجة الصور الكلاسيكية (مثل Laplacian of Gaussian)، مما يشير إلى أن تركيبات محددة من التنعيم وتعزيز الحواف يمكن أن تخدع الشبكات العصبية بفعالية.

النتائج التجريبية
قيم المؤلفون نهجهم على نماذج مدربة على ImageNet (وهي VGG-13، وResNet-50، وInception-V3) باستخدام مجموعة بيانات ImageNet V2.

• هجوم مرشح الحافة: باستخدام مرشح Sobel ثابت، حقق الهجوم معدلات نجاح تتراوح بين 30% و80% اعتماداً على النموذج وحجم الاضطراب ($\mu$). ورغم أنه أقل فعالية من الأساليب التكيفية، إلا أنه لم يتطلب أي معرفة بالنموذج واستخدم 27 معاملاً فقط.
• هجوم المرشح العدائي:
  • باستخدام مرشح $3 \times 3$ و1,000 مثال تدريبي، وصلت معدلات النجاح إلى 56% لـ VGG، و46% لـ ResNet، و48% لـ Inception عند نسبة PSNR تبلغ 20.
  • أدى زيادة حجم المرشح إلى $5 \times 5$ وزيادة بيانات التدريب إلى 3,000 مثال إلى رفع معدلات النجاح إلى 94% (ResNet)، و92% (VGG)، و68% (Inception).
  • القابلية للانتقال: احتفظت المرشحات المُحسّنة لنموذج واحد بفعالية عالية على النماذج الأخرى. على سبيل المثال، حقق مرشح تم تحسينه لـ ResNet نسبة نجاح نسبية بلغت 93% على VGG و82% على Inception (عند PSNR=20).
• خصائص الاضطراب: على عكس الضوضاء العدائية القياسية التي تغطي الصورة بأكملها، تحافظ هذه الاضطرابات على المخطط الهيكلي للصورة المدخلة ولكنها تُدخل ضوضاء عديمة اللون وموضعية. يُظهر الفحص البصري أنه بينما تكون بعض الاضطرابات غير محسوسة (PSNR > 30)، فإن تلك التي عند PSNR 20 تُظهر تعتيماً أو تغبيماً مرئياً عند الحواف.

الأهمية والادعاءات
يدعي البحث أن نتائجه توفر حداً أدنى للتعقيد المطلوب لشن هجمات غير مستهدفة فعالة. يجادل المؤلفون بأن:

1. التعقيد ليس ضرورياً دائماً: ليست الاستراتيجيات التحسينية المتطورة مطلوبة بالضرورة لتحقيق معدلات نجاح عالية؛ إذ يمكن للمرشحات الالتفافية البسيطة والمُحسّنة أن تفي بالغرض.
2. هشاشة الشبكات العصبية: تسلط القابلية العالية للانتقال ونجاح هذه المرشحات البسيطة الضوء على هشاشة جوهرية في الشبكات العصبية تجاه أنماط ضوضاء محددة وخبيثة تحاكي أو تشوه هياكل الحواف.
3. الكفاءة: يوفر الاختزال الهائل في عدد المعاملات والتكلفة الحوسبية (تمريرة واحدة) منظوراً جديداً للمفاضلة بين تعقيد الهجوم وفعاليته.

يظل المؤلفون متواضعين في طرحهم، معترفين بأن مرشحاتهم البسيطة لا يمكنها منافسة ذروة الأداء المطلقة لاستراتيجيات التحسين الحديثة، لكنها تعمل كمعيار حرج لفهم الحد الأدنى من المتطلبات اللازمة لهجمات عدائية ناجحة. ويقترحون أن العمل المستقبلي يمكن أن يستكشف تسلسلات من عمليات الالتفاف لسد الفجوة بين المرشحات البسيطة وبنيات الشبكات الكاملة.