ملخص تقني: عندما تصبح القابلية للتفسير نقطة ضعف: الهجمات العدائية على طبقات المفاهيم في نماذج عنق الزجاجة المفاهيمية (CBM)

1. بيان المشكلة

برزت نماذج عنق الزجاجة المفاهيمية (CBMs) كنهج رائد في التعلم الآلي القابل للتفسير من خلال تفكيك التنبؤات إلى مرحلتين: رسم الخرائط من المدخلات إلى مفاهيم قابلة للتفسير بشرياً ($f: X \to C$)، ورسم الخرائط من المفاهيم إلى التسميات ($g: C \to Y$). وبينما توفر هذه البنية الشفافية، تحدد هذه الورقة ثغرة أمنية حرجة لم تُستكشف سابقاً: طبقة عنق الزجاجة المفاهيمية نفسها.

على عكس الهجمات العدائية التقليدية التي تعتمد على ضوضاء غير محسوسة على مستوى البكسل، توضح هذه الدراسة أن نماذج CBM عرضة لـ هجمات مفاهيمية عدائية. يمكن للمهاجم التلاعب بالتمثيلات الدلالية (تنشيطات المفاهيم) لإحداث خطأ كارثي في التصنيف. على سبيل المثال، في نظام لتصنيف الطيور، يمكن للمهاجم قلب مفهوم "المنقار المنحني" إلى "منقار مستقيم" لتصنيف الصقر خطأً على أنه دراج (Crane). وفي المجالات عالية الخطورة مثل التصوير الطبي، قد يؤدي كبت المفاهيم الحاسمة للقرار (مثل "الحواف غير المنتظمة") إلى تصنيف آفة خبيثة على أنها حميدة. وتختلف هذه الهجمات كونها تعمل على سمات ذات معنى دلالي، مما يجعل صياغتها أسهل محتملاً باستخدام المعرفة بالمجال، وأصعب في الكشف عنها مقارنة بضوضاء البكسل.

2. المنهجية

2.1. الإطار النظري وسطح الهجوم

يصيغ المؤلفون نموذج CBM كـ $F(x) = g_\phi(f_\theta(x))$، حيث تقوم $f_\theta$ برسم خرائط المدخلات إلى تنشيطات المفاهيم، و $g_\phi$ هي عادةً مصنف خطي. يتم تحديد سطح الهجوم في فضاء المفاهيم منخفض الأبعاد والقابل للتفسير.

• العلاقة بين المدخل والمفهوم: تثبت الورقة وجود حد أدنى نظري يثبت أن زيادة الحد الأدنى من الاضطراب المطلوب في فضاء المفاهيم تترجم مباشرة إلى زيادة في الحد الأدنى من الاضطراب المطلوب في فضاء بكسلات المدخلات (عبر استمرارية ليبشيتز/Lipschitz continuity). وهذا يؤكد أن الدفاع عن طبقة المفاهيم يوفر أماناً حقيقياً على مستوى المدخلات.
• خوارزمية الهجوم الأمثل: يشتق المؤلفون حلاً مغلق الصيغة للحد الأدنى من الاضطراب $\delta$ المطلوب لقلب التنبؤ من الفئة الحقيقية $y^*$ إلى الفئة المستهدفة $t$. بالنسبة للمصنف الخطي، يتم صياغة ذلك كبرنامج تربيعي مقيد. تستخدم الحلول معكوس مور-بينروز (Moore-Penrose pseudoinverse) للوفاء بجميع حدود الفئات في آن واحد، مما يوفر طريقة فعالة لحساب هجوم "الحد الأدنى من المعيار" (minimal norm).

2.2. قياس المتانة

لقياس الضعف، تقدم الورقة:

• درجة القابلية للهجوم (A): مقلوب معيار الاضطراب الأدنى ($\rho$). تشير الدرجة العالية إلى أن العينة قريبة من حد القرار وسهلة التصنيف الخاطئ.
• معيار الاضطراب النسبي: مقدار الاضطراب المطلوب للنجاح، والذي يعمل كوسيط للتكلفة الحسابية للهجوم.

2.3. آلية الدفاع: SPECTRA

للتخفيف من هذه الثغرات، تقترح الورقة SPECTRA (التدريب المفاهيمي القائم على الاضطراب الدلالي لتعزيز المتانة ضد الهجمات).

• تنظيم الاستقرار: تقدم SPECTRA حداً لخسارة الاستقرار ($L_{stability}$) أثناء التدريب يعاقب على قيم معيار الاضطراب الأدنى الصغيرة. يتم تعريف الخسارة كـ $-\log(1 + \|\delta_{min}\|_2^2)$.
• هدف التدريب: تجمع الخسارة الإجمالية بين دقة تنبؤ المفهوم، ودقة التصنيف، وحد الاستقرار: $L_{total} = \lambda_c L_{concept} + \lambda_y L_{class} + \lambda_s L_{stability}$.
• الآلية: من خلال تعظيم الهامش في فضاء المفاهيم، تجبر SPECTRA النموذج على تعلم تمثيلات لا تؤدي فيها التغييرات الدلالية الصغيرة إلى تغيير التصنيف، مما يؤدي فعلياً إلى "تحصين" فضاء المفاهيم.

3. الإعداد التجريبي

• مجموعة البيانات: CUB-200-2011 (تصنيف طيور دقيق)، باستخدام مجموعة فرعية من 15 نوعاً و312 سمة بصرية ثنائية.
• البنية: خلفية ResNet-18 لاستخراج الميزات، تليها متنبئ مفهوم خطي ومصنف خطي.
• التقييم: تقوم الدراسة بمسح معامل تنظيم الاستقرار ($\lambda_s$) لتحليل المقايضة بين دقة التصنيف والمتانة.

4. النتائج الرئيسية

4.1. ضعف نماذج CBM القياسية

تظهر نماذج CBM الأساسية ($\lambda_s = 0$) حساسية شديدة للهجمات المفاهيمية، بدرجة قابلية للهجوم تبلغ 2.196 ومعيار اضطراب نسبي أدنى قدره 0.46 فقط. يشير هذا إلى إمكانية التلاعب بالنماذج القياسية بسهولة وبجهد ضئيل.

4.2. الانتقال الطوري في المتانة

النتيجة الأكثر أهمية هي وجود انتقال طوري في متانة النموذج كدالة لقوة التنظيم $\lambda_s$:

• النطاق الضعيف ($\lambda_s < 0.08$): تظل النماذج معرضة بشدة مع درجات عالية من القابلية للهجوم.
• العتبة الحرجة ($\lambda_s \approx 0.083$): عند هذه النقطة الدقيقة، يخضع النموذج لتحول مفاجئ. تنخفض درجة القابلية للهجوم بنسبة 86% (من 0.507 إلى 0.070)، ويقفز معيار الاضطراب النسبي من 1.97 إلى 14.30.
• النطاق المتين ($\lambda_s > 0.083$): مع زيادة $\lambda_s$، تنمو تكلفة الهجوم الناجح بشكل أسي. عند $\lambda_s = 0.092$، يتجاوز معيار الاضطراب 4,000، وعند $\lambda_s = 0.30$، يتجاوز 49 مليوناً، مما يجعل التلاعب المفاهيمي المستهدف مستحيلاً حسابياً.

4.3. الدقة والتشتت

• الحفاظ على الدقة: تحافظ نقطة التشغيل المثلى ($\lambda_s = 0.083$) على دقة تصنيف تبلغ 70.2%، مما يمثل خسارة طفيفة مقارنة بالنموذج الأساسي (72.2%). وحتى عند مستويات التنظيم الأعلى حيث تكون المتانة قصوى، يظل تدهور الدقة محدوداً (مثلاً 60.2% عند $\lambda_s = 0.092$).
• التشتت: يعزز تنظيم الاستقرار تمثيلات مفاهيمية أكثر تشتتاً (Sparser)، مما يقلل من خسارة التشتت بنسبة 99% (من 0.9457 إلى 0.0084) عند أقصى قدر من التنظيم، مما يشير إلى أن النموذج يعتمد على مفاهيم أقل وأكثر جوهرية لاتخاذ القرار.

5. الأهمية والادعاءات

تدعي الورقة أنها أرست دعائم اعتبار المتانة العدائية على مستوى المفهوم كاعتبار حاسم للنشر العملي لنماذج CBM. وتتمثل مساهماتها الرئيسية في:

1. نموذج تهديد جديد: حددت وشخصت نموذج تهديد متميز حيث يتلاعب المهاجمون بالتمثيلات الوسيطة الدلالية بدلاً من مجرد بكسلات المدخلات.
2. إطار عمل منهجي: توفر أول إطار نظري وخوارزميات لتوليد اضطرابات فضاء المفاهيم ذات المعيار الأدنى.
3. دفاع فعال: تثبت أن تنظيم الاستقرار المستهدف (SPECTRA) يمكن أن يحول بنية شديدة الضعف إلى بنية متينة مع تأثير ضئيل على الأداء.
4. إرشادات عملية: تحدد عتبة معلمة فائقة حرجة ($\lambda_s \approx 0.083$) تعمل كـ "نقطة مثالية" للنشر، مما يوفر مكاسب أمنية كبيرة مع مقايضات مقبولة في الدقة.

يخلص المؤلفون إلى أنه بينما تفرض القابلية للتفسير في نماذج CBM ثغرات جديدة، إلا أنه يمكن التخفيف منها بشكل منهجي من خلال التنظيم المبدئي، مما يفتح آفاقاً بحثية جديدة عند تقاطع التعلم الآلي القابل للتفسير والمتانة العدائية.