Backdoor Mitigation in Object Detection via Adversarial Fine-Tuning

ملخص تقني: التخفيف من الباب الخلفي في اكتشاف الأشياء عبر الضبط الدقيق العدائي

بيان المشكلة
تشكل هجمات الأبواب الخلفية (Backdoor attacks) في أنظمة اكتشاف الأشياء تهديداً كبيراً للأنظمة الرؤيوية ذات المهام الحرجة (مثل القيادة الذاتية، وأنظمة المراقبة). وبخلاف تصنيف الصور، حيث يخرج النموذج تسمية واحدة فقط، تقوم نماذج اكتشاف الأشياء بإنتاج مجموعة من صناديق الإحاطة (bounding boxes) المرتبطة بدرجات فئات (class scores) معينة. هذا التعقيد الهيكلي يوسع سطح الهجوم ويقدم أهدافاً هجومية متباينة. وقد حددت الأعمال السابقة نموذجين رئيسيين للتهديد: هجمات سوء تصنيف المناطق (RMAs)، حيث يتم تصنيف الكائنات التي تحمل المحفز (trigger) بشكل خاطئ إلى فئة مستهدفة يختارها المهاجم، وهجمات اختفاء الأشياء (ODAs)، حيث يتم كبح التنبؤات الخاصة بالأشياء المستهدفة بالهجوم تماماً.

تعتبر الدفاعات الحالية لاكتشاف الأشياء محدودة؛ فأساليب كشف المحفز في وقت الاستدلال (Inference-time) مكلفة حاسوبياً وغالباً ما تتطلب إجراءات منفصلة لأنواع الهجوم المختلفة. أما أساليب تخليق المحفز (Trigger synthesis) فتفترض معرفة الفئة الضحية، وهو أمر ليس متحققاً دائماً. وتظل استراتيجيات التخفيف المباشرة، مثل الضبط الدقيق (fine-tuning) لنموذج مخترق باستخدام مجموعة بيانات نظيفة صغيرة، غير متطورة لعملية الاكتشاف. إن تكييف الضبط الدقيق العدائي الموجه للتصنيف مع اكتشاف الأشياء أمر غير بديهي لأن:

1. هدف الهجوم غير معروف: غالباً لا يعرف المدافع ما إذا كان الباب الخلفي يستهدف سوء التصنيف (RMA) أم الاختفاء (ODA).
2. تخفيف التدرج (Gradient Dilution): تجمع خسائر الاكتشاف القياسية الأخطاء عبر العديد من التنبؤات المرشحة (بما في ذلك الخلفية)، وعند إجراء الضبط الدقيق على مثال عدائي، فإن إشارة التدرج المتعلقة بالكائن المستهدف تحديداً يتم تخفيفها بواسطة التنبؤات غير ذات الصلة، مما يضعف إشارة الإصلاح.

المنهجية
يقترح المؤلفون إطار عمل للضبط الدقيق العدائي المدرك للاكتشاف مصمم للتخفيف من الأبواب الخلفية عندما يمتلك المدافع وصولاً فقط إلى كاشف مخترق ومجموعة بيانات نظيفة محدودة، دون معرفة بهدف الهجوم المحدد. يتكون النهج من مكونين رئيسيين:

1. تخليق الأمثلة العدائية:
   يقدم إطار العمل استراتيجيتين لتخليق محفزات بديلة تتوافق مع بنية عتبة الدرجة (score-threshold) لاكتشاف الأشياء:

• تعظيم خسارة التصنيف (CLM): وهو تكييف لتعظيم الخسارة العدائية القياسي الذي يركز على تعظيم خسارة التصنيف ($L_{CLS}$) المقيدة بالتنبؤات المتطابقة مع الكائن المستهدف. يعمل هذا كبديل غير مباشر لإحداث سوء التصنيف أو الكبح.
• تقليل التفرع الناعم (SBM): استراتيجية مبتكرة مصممة لأهداف الهجوم غير المعروفة. يحدد SBM فرعين للتحسين: فرع لـ RMA (يشجع درجة فئة غير مستهدفة على تجاوز عتبة الكشف $\tau$) وفرع لـ ODA (يشجع جميع درجات المقدمة على الهبوط تحت $\tau$). يتم دمج هذين الفرعين عبر بوابة ناعمة (softmax فوق الخسائر السالبة) تعمل على منح الأولوية ديناميكياً للفرع الأقرب للتحقق. يسمح هذا بتوليد اضطرابات فعالة ضد أي من نوعي الهجوم دون معرفة مسبقة بنوع التهديد. كما يتضمن SBM عقوبة تركيز قائمة على الإنتروبيا لضمان أن تؤدي هجمات RMA إلى فئة غير مستهدفة مهيمنة واحدة بدلاً من انتشار الدرجات بشكل مشتت.

2. الضبط الدقيق المدرك للاكتشاف:
   لمعالجة تخفيف التدرج، يقترح المؤلفون خسارة دفاع مزدوجة الأهداف تُطبق تحديداً على مجموعة التنبؤات المتطابقة مع الكائن المستهدف ($J_{i^*}$)، بدلاً من مجموعة التنبؤات الكاملة. تكمل هذه الخسارة خسارة الاكتشاف القياسية ($L_{OD}$) عبر حدين:

• حد الاستعادة ($L_{REC}$): يشجع درجة الفئة الحقيقية على تجاوز عتبة الكشف $\tau$، لمواجهة ODA وRMA.
• حد الكبح ($L_{SUP}$): يعاقب درجات الفئات غير المستهدفة العالية، مما يمنع النموذج من استعادة درجة الفئة الحقيقية مع تخصيص درجات عالية للفئات المنافسة في آن واحد (مما يؤدي إلى سوء التصنيف).

كما يقدم الإطار الاختيار الموزون المصفى (FWS) لاختيار الكائن المستهدف أثناء التوليد العدائي. بدلاً من الاختيار العشوائي، يقصر FWS المرشحين على الأشياء التي يتم اكتشافها بشكل صحيح في المدخلات النظيفة ويوزنها بناءً على ثقتها، مما يضمن أن حلقة التحسين الداخلية تركز على أهداف مستقرة ومعلوماتية بدلاً من غموض الاكتشاف الموجود مسبقاً.

المساهمات الرئيسية

• التوليد العدائي المدرك للاكتشاف: تقديم SBM، الذي يتعامل مع أهداف الهجوم غير المعروفة (RMA مقابل ODA) من خلال هدف منظم بالبوابة الناعمة والإنتروبيا، وCLM، وهو تكييف خاص بالاكتشاف لتعظيم خسارة التصنيف.
• هدف إصلاح مركز: خسارة دفاع مزدوجة الأهداف مقيدة بالتنبؤات المتطابقة مع الهدف، والتي تمنع تخفيف إشارة الإصلاح بواسطة الخلفية أو الأجسام غير المستهدفة.
• تقييم شامل: تم تقييم الطريقة عبر كاشفات تعتمد على CNN (YOLOv5, FCOS) وTransformer (DINO) على مجموعات بيانات Pascal VOC وMTSD وCOCO ضد هجمات RMA وODA.

النتائج
تظهر التجارب أن النهج المقترح يتفوق بشكل كبير على النماذج المرجعية الموجهة للتصنيف (Fine-Tuning, Fine-Pruning, FT-SAM) في المقايضة بين معدل نجاح الهجوم (ASR) ومعدل الكشف الحقيقي (TDR):

• تقليل ASR: خفضت التشكيلة الأقوى (SBM مع FWS وخسارة الدفاع) متوسط ASR بنسبة 83% في Pascal VOC و94% في MTSD مقارنة بأقوى نموذج مرجعي.
• الحفاظ على TDR: بينما يقلل النهج من ASR، فإنه يحافظ على معدل كشف حقيقي (TDR) ملائم، مع مكاسب في TDR بلغت 0.52 (VOC) و0.43 (MTSD)، بتكلفة طفيفة في الأداء النظيف (نسبة تكلفة mAP $\le$ 0.10).
• المتانة تجاه ندرة البيانات: يظل النهج فعالاً حتى عند تقليل ميزانية البيانات النظيفة من 5% إلى 1.25%، متفوقاً على النماذج المرجعية التي تدربت على ميزانية الـ 5% كاملة في كثير من الحالات.
• التعميم: يتعمم النهج عبر بنيات كاشفات مختلفة وأنواع محفزات مختلفة، ويظهر قدرة قوية على الانتقال من مجموعات البيانات الاصطناعية (MTSD) إلى المحفزات الفيزيائية الواقعية (PTSD).

الأهمية والادعاءات
يدعي البحث معالجة فجوة حرجة في أمن اكتشاف الأشياء من خلال توفير استراتيجية تخفيف عامة لا تتطلب الوصول إلى بيانات الباب الخلفي أو معرفة بهدف أو نوع المحفز المحدد. ويؤكد المؤلفون أن نهجهم مدفوع بالتباينات الهيكلية بين إعدادات التصنيف والاكتشاف.

يتسم المؤلفون بالتواضع في ادعاءاتهم، حيث يقرون بأن:

• استعادة الكشوفات الصحيحة تماماً للأشياء التي تحمل المحفز تظل أمراً صعباً، حيث يحتفظ TDR بـ "ذيل سفلي طويل" في بعض الإعدادات، وهو ما يتوافق مع القيود الملاحظة في الدفاعات القائمة على التصنيف.
• يوفر التحليل النظري تبريراً على مستوى الآلية (مثل محاذاة التدرج وهوامش الدرجة) بدلاً من تقديم ضمانة متانة عالمية لجميع بنيات الكاشفات.
• الإطار الحالي مركزي حول الكائن ولا يعالج مباشرة هجمات توليد الأشياء (حيث تؤدي المحفزات في مناطق الخلفية إلى اكتشافات وهمية)، معتبرين ذلك اتجاهاً للعمل المستقبلي.

يضع هذا العمل آلية إصلاح عملية للأنظمة ذات المهام الحرجة، حيث يوفر مقايضة قوية بين الأمن (ASR منخفض) والمنفعة (TDR عالٍ وmAP نظيف) تحت قيود واقعية حيث يمتلك المدافع بيانات نظيفة محدودة ولا يمتلك معرفة بمحفز الباب الخلفي أو هدفه المحدد.