ملخص تقني: كاشف محاكي للاضطرابات في الصور المعادية

بيان المشكلة

تؤدي الهجمات المعادية (Adversarial attacks) إلى تقويض مصنفات الصور العميقة من خلال إدخال أنماط ضوضاء دقيقة وغير محسوسة تقريبًا ($\delta$) على صورة نظيفة ($x$)، مما يتسبب في خطأ في التصنيف مع بقائها متطابقة بصريًا مع ملاحظات البشر. تولد الهجمات القياسية المقيدة بـ $\ell_\infty$-bounded، مثل طريقة إشارة التدرج السريع (FGSM)، وطريقة التدرج المتدرج الموجه (PGD)، ونسخة $\ell_\infty$ من خوارزمية كارليني-والنر (Carlini–Wagner)، اضطرابات تتميز بأنماط إشارة عالية التردد وشبه عشوائية عند مستوى البكسل. وبينما تكون هذه الاضطرابات صغيرة في معيار $\ell_2$، إلا أنها تحمل طاقة تدرج غير متناسبة.

التحدي الرئيسي الذي يتم معالجته هو الكشف وليس المتانة. في حين أن جعل المصنف متينًا ضد هذه الاضطرابات أمر صعب، فإن الهدف هنا هو تحديد ما إذا كان المدخل $x'$ قد تعرض للاضطراب أم لا. تعتمد النهج الحالية، مثل SpectralDefense، غالبًا على تدريب المصنفات على ميزات مجال فورييه. يقترح هذا العمل بديلًا لا يتطلب تدريبًا (training-free)، حيث لا يتطلب نموذجًا بديلًا ولا وصولًا إلى الشبكة المستهدفة بالهجوم.

المنهجية

يستغل الكاشف المقترح الفرق الجوهري في توزيع طاقة التدرج بين الصور الطبيعية والاضطرابات المعادية. تركز الصور الطبيعية طاقة التدرج على الحواف مع وجود محتوى سلس في أماكن أخرى، بينما توزع الاضطرابات المعادية طاقة التدرج بشكل موحد عبر الصورة بأكملة عند أعلى الترددات المكانية.

نسبة طاقة التدرج المحاكية (Mimetic Gradient-Energy Ratio)

المقياس الأساسي للطريقة هو مقياس عددي مفرد $T(x)$، يُعرف بنسبة طاقة التدرج المحاكية إلى معيار البكسل العادي:

$$T(x) = \frac{(G u)^\top P (G u)}{\sum_{i,j} x_{ij}^2}$$

حيث أن:

• $u$: هي الصورة المدخلة $x$ مضاف إليها خلية وهمية واحدة على كل جانب (replicate boundary) ومُتجهة (vectorized).
• $G$: هو مؤثر التدرج المحاكي من رتبة $k$ لـ Corbino–Castillo.
• $P$: هي مصفوفة أوزان قطرية موجبة محددة مرتبطة بـ $G$.
• البسط: يمثل طاقة التدرج المنفصلة (المجموع الموزون لمربعات قيم التدرج).
• المقام: يمثل المجموع الإقليدي لمربعات قيم البكسل.

تفاصيل التنفيذ

• المؤثرات: تستخدم الطريقة مؤثرات Corbino–Castillo عالية الرتبة من مكتبة MOLE مفتوحة المصدر. تم اختيار هذه المؤثرات لدقتها العالية، وخلوها من المعلمات الحرة، ودقتها المتسقة عند الحدود (لمنع المحفزات الاصطناعية الناتجة عن التأطير المستطيل).
• الحوسبة: يتم إجراء الحساب في زمن قدره $O(HW)$ لكل صورة، ويهيمن عليه حاصل ضرب مصفوفة متفرقة في متجه واحد.
• قاعدة القرار: يتم معايرة العتبة $\tau$ على مجموعة بيانات نظيفة محجوزة (بناءً على معدل الخطأ الإيجابي المطلوب). إذا كان $T(x) > \tau$، يتم تعليم الصورة على أنها معادية؛ وإلا، تُعتبر نظيفة.
• الخصائص: المقياس $T$ عديم الأبعاد وثابت القياس ($T(\alpha x) = T(x)$ لـ $\alpha \neq 0$).

النتائج التجريبية

تم التحقق من صحة الكاشف على صورة "الفلفل" (peppers) الرمادية القياسية بمقاس 128 $\times$ 128 (من أدوات MATLAB/Octave) مع ميزانية $\ell_\infty$ قدرها $\epsilon = 16/255$.

حالات الاختبار

تم إنشاء ثلاث مدخلات:

1. نظيفة (Clean): لا يوجد اضطراب.
2. نمط معادٍ (Adversarial-style): $\delta_{adv} = \epsilon \text{sign}(\eta)$، حيث $\eta_{ij} \sim \mathcal{N}(0, 1)$، لمحاكاة البصمة المكانية لـ FGSM/PGD.
3. تحكم سلس (Smooth control): $\delta_{low}$ بسعة $\ell_\infty$ متساوية ولكن بمحتوى منخفض التردد (جيب متموج).

النتائج الرئيسية

• الفصل (Separation): أدى الاضطراب المعادي إلى زيادة المقياس $T$ بأكثر من عامل 3 بالنسبة للصورة النظيفة عبر جميع الرتب المختبرة ($k=2, 4, 6$).
• الخصوصية (Specificity): ترك اضطراب التحكم السلس المقياس $T$ دون تغيير (ضمن نطاق 1%)، مما يثبت أن الكاشف يستجيب للضوضاء عالية التردد وليس فقط لتغيرات السعة.
• الاعتماد على الرتبة (Order Dependence): نمت هامش الكشف (نسبة $T_{adv}/T_{clean}$) بشكل رتيب مع الرتبة المحاكية $k$:
  • $k=2$: فصل بمقدار 3.55$\times$.
  • $k=4$: فصل بمقدار 3.94$\times$.
  • $k=6$: فصل بمقدار 4.19$\times$.
• الدليل البصري: كشفت عملية تصور مقدار التدرج المحاكي $|Gx|$ عن وجود طباعة عالية التردد منتظمة تقريبًا في الحالة المعادية، والتي كانت غائبة في الصورة النظيفة.

الأهمية والادعاءات

يضع البحث هذا العمل كـ كاشف أحادي الخطوة (single-shot detector) عملي وقابل للنشر يتميز بثلاث مزايا متميزة:

1. صفر تكلفة تدريب: لا يتطلب مجموعة تدريب للأمثلة المعادية، ولا نموذجًا بديلًا، ولا وصولًا إلى الأوزان الداخلية للشبكة المستهدفة.
2. كفاءة حوسبية: يعمل في زمن خطي بالنسبة لحجم الصورة ($O(HW)$)، مما يجعله مناسبًا للتطبيقات في الوقت الفعلي.
3. تمييز قابل للتوسع: تتحسن قدرة الكشف بشكل رتيب مع رتبة المؤثر المحاكي، وهي خاصية متأصلة في بناء MOLE.

القيود والنطاق

يصرح المؤلفون صراحةً أن هذا كاشف، وليس دفاعًا معتمدًا (certified defense). يمكن للمهاجم المتكيف الذي يقلل $T$ صراحةً مع الحفاظ على الخطأ في التصنيف أن يدفع الإحصائية لتقترب من القيمة النظيفة، وهو ما سيؤدي على الأرجح إلى تقليل معدل نجاح الهجوم أو زيادة ميزانية $\ell_\infty$.

يقترح البحث امتدادين طبيعيين للعمل المستقبلي:

• التطبيق على الصور الملونة ومتعددة الأطياف (عبر دمج $T$ لكل قناة باستخدام تركيب خطي متعلم).
• التكيف مع الهندسات الحسية غير المنتظمة أو المنحنية، حيث تكون الهياكل المحاكية قوية بشكل خاص.