ملخص تقني: العمود الفقري هو كل ما تحتاجه

بيان المشكلة

استلزمت التطورات السريعة في الصور الاصطناعية المولدة بواسطة الذكاء الاصطناعي ضرورة تطوير أنظمة كشف قوية. وبينما أصبحت نماذج المحولات الرؤيوية (Vision Transformers - ViTs) حجر الزاوية في الكشف عن التزييف العميق الحديث نظرًا لقدرتها على التعميم عبر فئات المولدات غير المرئية، لا تزال هناك ثغرة حرجة لم تُستكشف بشكل كافٍ. تعتمد معظم أنظمة الكشف الحالية على أعمدة فقارية (backbones) من نوع ViT مجمدة ومُدربة مسبقًا، مع تدريب رأس تصنيف ضحل فقط للمهمة المحددة.

ركزت الأبحاث العدائية الحالية بشكل أساسي على هجمات الصندوق الأبيض (الوصول الكامل إلى أوزان النموذج واللوجيتس/القيم المنطقية) أو القدرة على الانتقال بين البنى المختلفة. ومع ذلك، فإن الثغرة المحددة لهجمات الصندوق الرمادي (gray-box attacks) — حيث يمتلك المهاجم معرفة بالعمود الفقري المجمد لـ ViT ولكنه يفتقر إلى الوصول إلى رأس التصنيف الخاص بكاشف الهدف، أو بيانات التدريب، أو استراتيجيات التعزيز (augmentation) المحددة — ظلت مهملة. تفترض هذه الورقة أن معرفة العمود الفقري وحده قد تكون كافية لتقويض موثوقية الكاشف.

المنهجية: الهجوم التكراري البديل للسمات (SIAA)

يقترح المؤلفون الهجوم التكراري البديل للسمات (SIAA)، وهو هجوم صندوق رمادي مصمم للعمل بالكامل ضمن مساحة السمات لكاشف الهدف. يفترض الهجوم معرفة العمود الفقري لـ ViT المُدرب مسبقًا وأوزانه فقط.

تُنفذ المنهجية في مرحلتين متمايزتين:

المرحلة 1: تدريب رأس معالجة السمات (FP) البديل

لسد الفجوة بين رأس تصنيف الهدف غير المعروف والعمود الفقري المعروف، يقوم المؤلفون بتدريب نموذج بديل يتكون من:

1. المكونات المجمدة: العمود الفقري المستهدف $F(\cdot)$ ومشفر نص CLIP $G(\cdot)$.
2. المكون القابل للتدريب: رأس معالجة السمات (FP) $H(\cdot)$ الذي يتكون من فرعين خطيين:
   • $L_t$: يعالج التضمينات النصية المستمدة من المطالبات (على سبيل المثال، "الصورة حقيقية" مقابل "الصورة مزيفة").
   • $L_v$: يعالج السمات البصرية المستخرجة بواسطة العمود الفقري لـ ViT.

يتم تدريب رأس (FP) باستخدام فقد تبايني متعدد المصطلحات لمحاذاة السمات البصرية ($v'$) والسمات النصية ($t'$) في مساحة تضمين مشتركة. الهدف هو تقريب حدود القرار لرأس تصنيف الهدف غير المعروف عن طريق تجميع السمات البصرية حول التضمينات النصية المقابلة لها. تتضمن دالة الفقد ما يلي:

• $L_{pull}$: يقلل المسافة بين السمات البصرية وتضمينات النص الصحيحة.
• $L_{push}$: يفرض هامشًا ضد تضمينات نص الفئة المعادية.
• $L_{text}$: يضمن الفصل بين مجموعتي التضمين النصي.

المرحلة 2: النشر وتحسين الاضطراب

بمجرد تدريب رأس (FP)، يقوم الهجوم بتوليد أمثلة معادية دون الوصول إلى لوجيتس (logits) الهدف.

• دالة الهدف: بدلاً من تعظيم الإنتروبيا المتقاطعة (cross-entropy) على اللوجيتس، يقوم SIAA بتحسين دالة مسافة مخصصة $J$ في مساحة السمات البديلة:
  $$J = \|v' - t'_y\|^2 - \|v' - t'_{1-y}\|^2$$
  تعظيم $J$ يدفع التمثيل البصري بعيدًا عن فئة الحقيقة الأرضية ونحو فئة الهدف المعادي.
• التحسين: تقوم خوارزمية التدرج المتدرج المسقط (Projected Gradient Descent - PGD) بتحديث صورة الإدخال $I_j$ بشكل تكراري لتعظيم $J$، مع الخضوع لشرط $\ell_\infty$-norm ($\epsilon = 8/255$) لضمان عدم القدرة على الإدراك.

المساهمات الرئيسية

1. ناقل هجوم جديد: تقديم SIAA، وهو أول هجوم صندوق رمادي مصمم خصيصًا لاستغلال أعمدة ViT المجمدة في التحليل الجنائي للصور الاصطناعية دون الحاجة إلى معرفة رأس التصنيف.
2. استغلال مساحة السمات: إثبات أن الاضطرابات المعادية يمكن تحسينها بفعالية في مساحة سمات بديلة تمت محاذاتها عبر التعلم التبايني (contrastive learning) بين النص والصورة، متجاوزة الحاجة إلى الوصول إلى اللوجيتس.
3. تقييم شامل: تقييم منهجي للهجوم تحت مستويات متفاوتة من معرفة الصندوق الرمادي، بما في ذلك سيناريوهات التعلم بلقطات قليلة (few-shot learning)، وتعزيز البيانات غير المعروف، وعدم تطابق البيانات.
4. تحليل القدرة على الانتقال: تقييم انتقال الهجوم عبر نماذج ViT مختلفة (CLIP, Swin, DINOv2).

النتائج التجريبية

قيم المؤلفون SIAA مقابل كواشف تعتمد على نماذج CLIP وSwin وDINOv2 باستخدام مجموعة بيانات Synthbuster.

• الأداء مقابل النماذج المرجعية: تفوق SIAA بشكل كبير على النماذج المرجعية للصندوق الرمادي (PGD-ViT والنسخة الخطية PGD-L).
  • ضد كواشف CLIP وSwin، حقق SIAA معدلات نجاح هجوم (ASR) بلغت 1.00 و0.99 على التوالي، مع قيم AUC بعد الهجوم تقترب من 0.00، مما يجعله يضاهي أداء هجمات PGD في الصندوق الأبيض.
  • ضد DINOv2، حقق SIAA معدل نجاح هجوم قدره 0.56. ويعزو المؤلفون مقاومة DINOv2 العالية إلى أهداف التدريب ذاتي الإشراف واستخدام رموز التسجيل (register tokens)، والتي تخلق مشهد خسارة أكثر سلاسة.
• المتانة تجاه عدم المحاذاة (دراسات الاستئصال):
  • تغيرات رأس التصنيف: حافظ SIAA على معدل نجاح هجوم $\geq 0.98$ حتى عندما اختلف عمق رأس تصنيف الهدف (1 أو 2 أو 3 طبقات).
  • التعلم بلقطات قليلة: مع وجود 100 عينة حقيقية و100 عينة مزيفة فقط للتدريب، حقق SIAA معدل نجاح هجوم قدره 0.985.
  • التعزيز غير المعروف: عندما كانت استراتيجيات تعزيز البيانات غير معروفة، ظل معدل نجاح الهجوم مرتفعًا عند 0.96.
  • عدم تطابق البيانات: في السيناريو الأكثر تقييدًا (مجموعة بيانات تدريب مختلفة وتعزيز غير معروف)، حقق SIAA مع ذلك معدل نجاح هجوم قدره 0.70، حيث نجح في مهاجمة أكثر من 50% من الصور التي تم تصنيفها بشكل صحيح.
• القدرة على الانتقال:
  • الاضطرابات التي تم تحسينها على CLIP أو Swin انتقلت جيدًا إلى بعضها البعض (ASR $\approx 0.56$).
  • أظهرت الاضطرابات المحسنة على DINOv2 قدرة متوسطة على الانتقال إلى CLIP (ASR 0.31) وSwin (ASR 0.28)، رغم كون DINOv2 مقاومًا للغاية كهدف.

الأهمية والادعاءات

تدعي الورقة أن الاعتماد على النماذج التأسيسية المجمدة في التحليل الجنائي للصور الاصطناعية يقدم "ثغرة دقيقة ولكنها حرجة". النتيجة الأساسية هي أن معرفة العمود الفقري وحده كافية لتقويض موثوقية الكاشف، وغالبًا ما تعطي معدلات نجاح هجوم تضاهي هجمات الصندوق الأبيض.

يؤكد المؤلفون أن هذه الثغرة تستمر حتى في ظل ظروف عدم المحاذاة التامة فيما يتعلق ببيانات التدريب، والتعزيز، وبنية رأس التصنيف. وبناءً على ذلك، تجادل الورقة بضرورة ملحة لتطوير دفاعات أكثر مرونة لا تعتمد فقط على افتراض أن إخفاء رأس التصنيف يوفر أمنًا كافيًا. يسلط العمل الضوء على أن مساحة السمات لنماذج ViT المجمدة، عندما تتم محاذاتها مع المطالبات الدلالية، هي مساحة يمكن التنبؤ بها بما يكفي لاستغلالها من قبل المهاجمين الذين لديهم وصول محدود.