💻 computer science

Certified vs. Empirical Adversarial Robust-ness via Hybrid Convolutions with Attention Stochasticity

تقدم الورقة البحثية HyCAS، وهو إطار عمل دفاعي تنافسي مبتكر يوحد بين التقييس الطيفي الحتمي وآليات الانتباه والإسقاط العشوائية لتقليص الفجوة بين متانة L2 المعتمدة ومتانة L∞ التجريبية في آن واحد، مع الحفاظ على قدرة تعميم قوية عبر مختلف معايير التصوير القياسية.

المؤلفون الأصليون: Joy Dhar, Song Xia, Manish Kumar Pandey, Maryam Haghighat, Azadeh Alavi, Ferdous Sohel, Wenyu Zhang, Nayyar Zaidi

نُشر 2026-05-05

📖 4 دقيقة قراءة☕ قراءة في استراحة قهوة

CC BY 4.0

المؤلفون الأصليون: Joy Dhar, Song Xia, Manish Kumar Pandey, Maryam Haghighat, Azadeh Alavi, Ferdous Sohel, Wenyu Zhang, Nayyar Zaidi

البحث الأصلي مرخَّص بموجب CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل

تخيل أن لديك حارس أمن ذكي جداً (ذكاء اصطناعي) يقوم بفحص بطاقات الهوية عند دخول مبنى. هذا الحارس بارع في التعرف على الأشخاص، لكن لصاً ماكراً ("هجوم عدائي") يمكنه ارتداء قناع صغير غير مرئي تقريباً أو تغيير وضعية جسده بشكل طفيف بما يكفي لخداع الحارس والسمار بالدخول.

لفترة طويلة، حاول الباحثون الأمنيون طريقتين مختلفتين لإصلاح ذلك:

نهج "التقوية" (Hardening): جعل عيني الحارس أكثر حدة وتدريبه على آلاف الأقنعة المزيفة. يعمل هذا النهج بشكل جيد في الممارسة العملية، ولكن لا يمكنك أبداً التأكد رياضياً بنسبة 100% من أن الحارس لن يُخدع بواسطة خدعة جديدة.
نهج "تغمية العينين" (Blindfold): إعطاء الحارس عصابة للعين وطلب منه تخمين الهوية بناءً على نسخة ضبابية أو مشوشة من الوجه. هذا يمنحه ضماناً رياضياً ("شهادة") بأنه لن يُخدع ضمن مسافة معينة، ولكنه يجعل الحارس أبطأ بكثير وأقل دقة في رؤية الأشخاص الحقيقيين.

HyCAS هو نظام أمني جديد يحاول الجمع بين أفضل ما في العالمين: إنه يشبه إعطاء الحارس نظارات خاصة وذكية تجمع بين عدسة فائقة الحدة وآلة ضباب متحركة مدمجة.

إليك كيف يعمل HyCAS، مقسماً إلى أجزاء بسيطة:

1. "الهيكل العظمي الصلب" (الجوهر الحتمي - The Deterministic Core)

أولاً، يبني النظام هيكلاً عظمياً صارماً وصلباً لعقل الحارس. من الناحية الرياضية، هذا هو شبكة 1-Lipschitz.

التشبيه: تخيل أن عقل الحارس مصنوع من عوارض فولاذية. مهما حاولت الضغط أو السحب على المدخلات (بطاقة الهوية)، فإن الهيكل في الداخل يمكنه فقط أن ينحني مقداراً ضئيلاً ومتوقعاً. هذا يمنع اللص من إيجاد "نقطة ضعف" ليتسلل من خلالها.

2. "الضباب المتحرك" (الأجزاء العشوائية - The Stochastic Parts)

الهيكل الصلب وحده لا يزال قابلاً للتنبؤ. إذا عرف اللص بالضبط كيف ينحني الفولاذ، فبإمكانه لا تزال خداعه. لذا، يضيف HyCAS طبقتين من "الضباب" تتغير في كل مرة ينظر فيها الحارس إلى الهوية:

الإسقاطات العشوائية (Random Projections): تخيل أن الحارس ينظر فجأة إلى الهوية من خلال "كاليدوسكوب" يعيد ترتيب الألوان والأنماط عشوائياً في كل مرة.
ضجيج الانتباه (Attention Noise): تخيل أن رؤية الحارس تصاب ببعض التشويش أو "الثلج" على الشاشة، لكن هذا التشويش يتحرك بطريقة محكومة.
التشبيه: لأن الضباب والكاليدوسكوب يتغيران في كل مرة، لا يمكن للصاً التخطيط لخدعة واحدة تعمل مرتين. عليه أن يخمن، وتخمينه من المرجح أن يفشل.

3. "الدمج السحري" (التلافيف الهجينة - Hybrid Convolutions)

يطلق البحث على هذا النظام اسم HyCAS. إنه يأخذ الهيكل الفولاذي الصلب ويمزجه مع الضباب المتحرك.

النتي نتيجة: حتى مع كل هذه العشوائية، لا يزال النظام "صلباً" رياضياً (أصبح الآن شبكة 2-Lipschitz). هذا يعني أنه لا يزال بإمكان الباحثين كتابة شهادة رياضية تقول: "نحن نضمن أن هذا الحارس لن يُخدع بأي تنكر أصغر من X".
الفائدة: على عكس طريقة "تغمية العينين" القديمة، لا يفقد هذا النظام قدرته على رؤية الأشخاص الحقيقيين بوضوح؛ فهو يظل حاداً بينما يظل غير قابل للتنبؤ من قبل اللصوص.

ماذا أثبتوا؟

اختبر الباحثون هذا الحارس الجديد على مجموعة متنوعة كبيرة من "المباني" (مجموعات البيانات):

المباني القياسية: مثل CIFAR-10 و ImageNet (صور يومية).
المباني المتخصصة: مثل صور الأشعة السينية للصدر (الطبية)، وصور آفات الجلد، والتعرف على الوجه.

النتائج:

ضمانات أقوى: أثبت HyCAS قدرته على مقاومة الهجمات بشكل أفضل من الطرق "المعتمدة" السابقة. على سبيل المثال، في الأشعة السينية الطبية، حسن هامش السلامة المضمون بنحو 7.3%.
دفاع أفضل في الواقع: كما كان أداؤه أفضل ضد محاولات الاختراق القوية والحقيقية (الهجمات التجريبية) مقارنة بالطرق "التجريبية" السابقة، حيث حسن السلامة بنسبة تصل إلى 3.1% في بيانات آفات الجلد.
لا توجد مقايضة: عادةً، جعل النظام أكثر أماناً يجعله "أغبى" (دقة أقل في المهام العادية). نجح HyCAS في أن يكون أكثر أماناً دون التضحية بقدرته على تحديد الصور العادية بشكل صحيح.

العيب (التكلفة)

الورقة البحثية صريحة بشأن الجانب السلبي. لجعل هذا "الضباب الذكي" يعمل، يحتاج النظام إلى الكثير من العمليات الحسابية.

التشبيه: الأمر يشبه توظيف ثلاثة حراس بدلاً من حارس واحد، أو الطلب من حارس واحد أن ينظر عبر ثلاثة أجهزة كاليدوسكوب في وقت واحد.
التكلفة: يستخدم النظام حوالي 15 ضعفاً من القدرة الحسابية (FLOPs) ويستغرق وقتاً أطول لمعالجة الصورة من الحارس القياسي. ومع ذلك، يقول المؤلفون إن هذا مقبول في المواقف عالية المخاطر (مثل التشخيص الطبي أو الأمن) حيث يكون التأكد بنسبة 100% يستحق الوقت والمال الإضافيين.

باختصار

HyCAS هو طريقة جديدة لبناء ذكاء اصطناعي يكون مثبتاً رياضياً (يمكنك إثبات أنه آمن) وقوياً عملياً (إنه يوقف المخترقين في العالم الحقيقي بالفعل). يحقق ذلك من خلال بناء هيكل صلب ثم هزّه بعشوائية محكومة، مما يجعل من المستحيل على المهاجمين التنبؤ بكيفية استجابة الذكاء الاصطناعي، مع الحفاظ في الوقت نفسه على حدة الذكاء الاصطناعي للقيام بمهمته.

ملخص تقني: المتانة العدائية المعتمدة مقابل التجريبية عبر التلافيف الهجينة مع العشوائية الانتباهية (HyCAS)

1. بيان المشكلة

لا تزال نماذج التعلم العميق في الرؤية الحاسوبية عرضة للهجمات العدائية، مما يشكل مخاطر كبيرة على التطبيقات الحرجة للسلامة مثل القيادة الذاتية، وكشف الاحتيال، ودعم القرار السريري. تندرج استراتيجيات الدفاع الحالية عموماً تحت فئتين، تعاني كلتاهما من قيود كبيرة:

الدفاعات التجريبية (Empirical Defenses): الطرق مثل التدريب العدائي (AT) تعظم المتانة ضد هجمات محددة ولكنها غالباً ما تفتقر إلى الضمانات الرسمية وتكون عرضة لهجمات أقوى ومصممة خصيصاً (مثل APGD أو AutoAttack).
الدفاعات المعتمدة (Certified Defenses): التقنيات مثل التنعيم العشوائي (RS) توفر ضمانات متانة مثبتة (عادةً تحت معايير $\ell_2$ ) ولكنها غالباً ما تعاني من مقايضة صارمة حيث تؤدي ميزانيات الضوضاء الكبيرة إلى تآكل الدقة النظيفة، أو تفشل في التعميم ضد هجمات $\ell_\infty$ التجريبية القوية.

علاً من ذلك، تم التحقق من فعالية معظم الدفاعات الحالية بشكل أساسي على مجموعات بيانات الصور الطبيعية، مما يترك فعاليتها على التوزيعات الخاصة بمجالات معينة، مثل التصوير الطبي، غير مؤكدة. هناك حاية ماسة إلى دفاع يقلل في الوقت نفسه الفجوة بين شهادات $\ell_2$ المثبتة ومتانة $\ell_\infty$ التجريبية مع الحفاظ على تعميم قوي عبر مختلف معايير التصوير.

2. المنهجية: HyCAS

يقترح المؤلفون التلافيف الهجينة مع العشوائية الانتباهية (HyCAS)، وهو بنية دفاع عشوائية توحد قيود ليبشيتز (Lipschitz) الحتمية مع التنعيم العشوائي. الابتكار الجوهري هو حقن عشوائية محكومة وغير مرتبطة بالبيانات داخل بنية الشبكة، بدلاً من الاقتصار على المدخلات فقط، لإنشاء شبكة $\le 2$ -Lipschitz عالمياً تسمح بالاعتماد الرسمي.

المكونات المعمارية

تستبدل HyCAS طبقات التلافيف القياسية بثلاث مسارات متوازية، صُمم كل منها ليكون $\le 2$ -Lipschitz. يتم دمج هذه المسارات عبر بوابة محدبة غير مرتبطة بالبيانات لكل قناة.

FDPAN (الإسقاط الحتمي المدرك للتردد مع ضوضاء الانتباه):
- يجمع بين نواة حتمية 1-Lipschitz مع بقايا (residuals) عشوائية مزدوجة.
- النواة: يستخدم قناع تحويل جيب التمام المتقطع (DCT) منخفض التردد لاستئصال النطاقات عالية التردد الهشة، يليه مصفوفة جاكوبي متعامدة (1-Lipschitz) لتشتيت القنوات، وتلافيف معيرة طيفياً (SNC).
- العشوائية: يحقن ضوضاء الانتباه العشوائية (RANI) مباشرة بعد النواة الحتمية ومرة أخرى كبقايا، مما يضمن بقاء المسار ضمن نطاق $\le 2$ -Lipschitz.
SNCAN (التلافيف المعيرة طيفياً مع ضوضاء الانتباه):
- يستبدل التلافيف القياسية بتلافيف معيرة طيفياً (SNC) لفرض حد 1-Lipschitz على النواة.
- يدمج وحدة RANI لحقن عشوائية دقيقة غير مرتبطة بالبيانات، مما يحول الكتلة الحتمية إلى دفاع عشوائي مع الحفاظ على غلاف $\le 2$ -Lipschitz.
RPFAN (مرشح الإسقاط العشوائي مع ضوضاء الانتباه):
- يستفيد من ضمانات تضمين جونسون-ليندسترأس عبر مرشحات الإسقاط العشوائي.
- الخلط المسبق: يستخدم خلاط قنوات $1\times1$ متعامد لمساواة طاقة القنوات.
- المعايرة الطيفية: يطبق مخطط تكرار القوة ثنائي الخطوات الواعي بالدفعة لإعادة قياس مرشح الإسقاط العشوائي، مما يضمن كونه 1-Lipschitz.
- العشوائية: يجمع بين الإسقاط 1-Lipschitz ووحدة RANI لتحقيق حد $\le 2$ -Lipschitz.
RANI (حقن ضوضاء الانتباه العشوائية):
- آلية تحقن قناع انتباه محدود وغير مرتبط بالبيانات $M_\omega \in [0, 1]^d$ في خرائط الميزات.
- رسمياً، بالنسبة لخريطة حتمية $h$ ، يكون مخرج RANI هو $\hat{h} = h \odot M_\omega$ .
- يثبت البحث أن هذه العملية هي 2-Lipschitz، مما يحول كتل 1-Lipschitz الحتمية إلى كتل عشوائية 2-Lipschitz.

الضمانات النظرية

ثابت ليبشيتز: يثبت المؤلفون أن كل مسار مكون (FDPAN، SNCAN، RPFAN) هو فردياً $\le 2$ -Lipschitz. دمج المسارات عبر دالة محدبة يحافظ على هذا الحد.
الشهادة: من خلال حساب متوسط اللوغاريتمات (logits) عبر العشوائية الداخلية $\Omega$ ، تظل خريطة اللوغاريتمات المتوقعة $Z(x)$ أقل من أو تساوي $2$-Lipschitz. يسمح هذا بشهادة $\ell_2$ قائمة على الهامش: إذا كان الفرق بين أعلى لوغاريتمين متوقعين هو $\Delta(x)$ ، فإن النموذج يكون متيناً بشكل مثبت لأي اضطراب $\delta$ حيث $\|\delta\|_2 < \Delta(x)/4$ .

التدريب والاستدلال

التدريب: يتم تدريب النموذج باستخدام دالة خسارة قياسية على مدخلات مضطربة بضوضاء غاوسية (أسلوب التنعيم العشوائي) بالإضافة إلى العشوائية الداخلية للمسارات. كما يتم استخدام التدريب العدائي لتعزيز المتانة التجريبية.
الاستدلال: يتم تقديم شهادتين: شهادة تنعيم عشوائي (RS) قياسية بناءً على احتمالات الفئات، وشهادة هامش ليبشيتز حتمية بناءً على اللوغاريتمات المتوقعة.

3. المساهمات الرئيسية

معمارية HyCAS: تقديم بنية دفاع عشوائية مقيدة بـ Lipschitz تدمج نواة حتمية 1-Lipschitz مع وحدتين عشوائيتين (مرشحات إسقاط عشوائية معيرة طيفياً وضوضاء انتباه عشوائية).
الضمانات النظرية: اشتقاق شهادة متانة $\ell_2$ محكمة لـ HyCAS، مما يثبت أن الشبكة هي $\le 2$ -Lipschitz عالمياً وتوفر شهادة نقطية صالحة.
تصميم "Plug-and-Play": تصميم معياري يمكن دمجه في هياكل CNN القياسية (مثل ResNet) لتشكيل دفاع عشوائي يسمح بالاعتماد الرسمي.
التقييم الشامل: تجارب واسعة النطاق تثبت تفوق HyCAS على الدفاعات الرائدة السابقة في الشهادات والتجريب عبر ثمانية معايير متنوعة، بما في ذلك الصور الطبيعية (CIFAR-10/100، ImageNet) والصور الطبية (NIH Chest X-ray، HAM10000، EyePACS، NCT-CRC-HE-100K).

4. النتائج التجريبية

يسجل البحث نتائج على ثمانية معايير، حيث يقيم كل من دقة $\ell_2$ المعتمدة والمتانة التجريبية ضد هجمات $\ell_\infty$ القوية (APGD-20 وAutoAttack).

الدقة المعتمدة: تحقق HyCAS دقة معتمدة هي الأفضل في حالتها (SOTA) عبر جميع مستويات الضوضاء ( $\sigma$ $σ$ ) وأنصاف الأقطار ( $r$ $r$ ).
- في CIFAR-10، عند $r=0.75$ و $\sigma=0.25$ ، تحقق HyCAS دقة معتمدة بنسبة 44.3%، متفوقة على أفضل خط أساس (ARS) بنسبة 5.2–18.2%.
- في ImageNet، عند $r=1.5$ و $\sigma=0.50$ ، تصل HyCAS إلى 32.7%، متجاوزة الخطوط المرجعية بنسبة 2.1–32.7%.
- في مجموعات البيانات الطبية، تظهر HyCAS مكاسب كبيرة، مثل تحسن يصل إلى 7.3% في NIH Chest X-ray و 3.1% في HAM10000 مقارنة بالخطوط المرجعية الرائدة.
المتانة التجريبية: تحافظ HyCAS على متانة عالية ضد هجمات $\ell_\infty$ $ℓ_{\infty}$ القوية دون التضحية بالدقة النظيفة.
- في NIH-CXR، تتفوق HyCAS على خط الأساس الرائد (CTRW) بنسبة 1.8–4.2% تحت هجوم APGD-20 وAutoAttack.
- في HAM10000، تحسن الدقة المتينة بنسبة 1.9–3.1%.
- في إعدادات الهجوم الأقوى (زيادة حجم الاضطراب $\epsilon$ وخطوات التكرار)، تتدهور HyCAS بشكل أكثر سلاسة من الخطوط المرجعية، محتفظة بفارق قدره 7–12% عند 100 خطوة هجوم في CIFAR-100.
المقايضات: توفر الطريقة مقايضة يمكن التحكم فيها بين الشهادة والمتانة التجريبية. زيادة ضوضاء التنعيم $\sigma$ تحسن الدقة المعتمدة لنصف قطر كبير مع تأثير أدنى على نصف القطر الصغير أو الدقة النظيفة.

5. الأهمية والادعاءات

يدعي البحث أن HyCAS نجحت في سد الفجوة طويلة الأمد بين المتانة المعتمدة والتجريبية. من خلال ربط بنية حتمية مقيدة بـ Lipschitz مع العشوائية الداخلية، تحقق الطريقة ما يلي:

التحسين المتزامن: إنها تحسن كل من دقة $\ell_2$ المعتمدة ومتانة $\ell_\infty$ التجريبية، وهو إنجاز نادراً ما حققته الطرق السابقة التي كانت تحسن أحدهما على حساب الآخر عادةً.
التعميم: تتعمم الطريقة بفعالية عبر مجالات تصوير متنوعة، بما في ذلك الصور الطبيعية ومجموعات البيانات الطبية المتخصصة، مما يشير إلى فائدتها للتطبيقات عالية المخاطر.
السلامة: القدرة على توفير ضمانات رسمية مع الحفاظ على مرونة تجريبية قوية تدعم النشر الأكثر أماناً للنماذج العميقة في القطاعات الحرجة.

يقر المؤلفون بالقيود، مشيرين إلى أن الطريقة تستهلك الكثير من الحوسبة (مما يزيد من عمليات الفاصلة العائمة FLOPs ووقت الاستدلال بنحو عشرة أضعاف)، وأن الضمانات النظرية تقتصر حالياً على اضطرابات $\ell_2$ ، بينما يتم تقييم متانة $\ell_\infty$ تجريبياً. ويُقترح العمل المستقبلي لاستخراج شهادات أكثر إحكاماً وتصميم نسخ أخف وزناً.