Opportunistic Target Selection: Early Directional Commitment for Query-Efficient Black-Box Adversarial Attacks

ملخص تقني: اختيار الهدف الانتهازي للهجمات العدائية في الصندوق الأسود ذات الكفاءة في الاستعلام

1. تعريف المشكلة: انزياح الفئة في الهجمات غير المستهدفة

تهدف الهجمات العدائية القياسية غير المستهدفة إلى تقليل ثقة النموذج في الفئة الحقيقية ($y$) دون تحديد فئة مستهدفة. تشمل التنفيذات الشائعة تقليل الاحتمالية $P(y|x')$ (مثل SimBA) أو تقليل خسارة الإنتروبيا المتقاطعة (cross-entropy). يحدد المؤلفون عدم كفاءة حرجًا في هذا النهج يُسمى انزياح الفئة (class drift).

في الهجمات غير المستهدفة، لا يتم توجيه الكتلة الاحتمالية "المحررة" نحو فئة عدائية محددة. بدلاً من ذلك، يقوم الاضطراب (perturbation) بعملية "سير عشوائي" (random walk) عبر فضاء الميزات الكامن، حيث يعبر عبر أحواض فئات متعددة بشكل انتهازي. يؤدي هذا الافتقار إلى الالتزام الاتجاهي إلى هدر الاستعلامات، لا سيما في النماذج الصعبة حيث يجب على الاضطراب عبور العديد من الأحواض قبل الاستقرار عند حد قرار (decision boundary). بينما تلغي الهجمات المستهدفة الانزياح بحكم تعريفها، إلا أنها تتطلب معرفة مسبقة بالفئة المستهدفة، وهو أمر غير متاح عمومًا في بيئات الصندوق الأسود. توفر الخسائر القائمة على الهامش (margin-based losses) حلاً جزئيًا من خلال تتبع أقرب حد قرار ضمنيًا، لكن العديد من الهجمات الشهيرة القائمة على الدرجات (مثل SimBA أو Square Attack مع الإنتروبيا المتقاطعة) لا تدعمها أو تعمل على الاحتمالات الخام حيث لا يمكن تطبيق منطق الهامش مباشرة.

2. المنهجية: اختيار الهدف الانتهازي (OTS)

يقدم البحث اختيار الهدف الانتهازي (OTS)، وهو خوارزمية تغليف خفيفة الوزن تحول الهجوم غير المستهدف إلى هجوم مستهدف في وقت مبكر من مساره دون الحاجة إلى الوصول إلى التدرج (gradient) أو معرفة مسبقة بالهدف.

الآلية الجوهرية:
يعمل OTS في مرحلتين:

1. مرحلة الاستكشاف (Exploration Phase): يعمل الهجوم في وضع غير مستهدف قياسي لعدد قصير من التكرارات $T$ (أو حتى يتم استيفاء شرط الاستقرار). خلال هذا الوقت، تراقب الخوارزمية تصنيفات الفئات للمدخل المضطرب.
2. مرحلة الاستغلال (Exploitation Phase): بمجرد تحديد وتثبيت فئة غير حقيقية "رائدة" (الفئة ذات الاحتمالية الأعلى بين $k \neq y$)، يقوم الهجوم بـ قفل (lock) المسار على هذه الفئة كهدف ثابت. يتغير الهدف إلى تعظيم احتمالية هذه الفئة المستهدفة المحددة ($P(t|x')$) لبقية ميزانية الاستعلام.

الأنواع الخوارزمية:

• التبديل ذو التكرار الثابت (Fixed-Iteration Switch): يغير الهجوم أهدافه بعد عدد ثابت من التكرارات $T$. تظهر دراسات الاستئصال (ablation studies) أن أي قيمة لـ $T \in \{5, \dots, 500\}$ تعطي نتائج متماثلة إحصائيًا، حيث تستقر تصنيفات الفئات بسرعة في الهجمات المعرضة للانزياح.
• متغير استقرار الرتبة (Rank-Stability Variant): يتتبع عداد الفئة غير الحقيقية الرائدة، ولا ينتقل إلا بعد أن تقود نفس الفئة لعدد $S$ من الخطوات المقبولة المتتالية. ورغم تضمينه للاكتمال، أظهرت التجارب أنه لا يقدم ميزة ملموسة مقارنة بالتبديل الثابت.

التكامل:
يتم تطبيق OTS على ثلاث عائلات متميزة من الهجمات:

• SimBA: ينتقل من تقليل $P(y|x')$ إلى تعظيم $P(t|x')$.
• Square Attack (Cross-Entropy): يستخدم عمدًا خسارة الإنتروبيا المتقاطعة (التي تسبب الانزياح) بدلاً من خسارة الهامش الافتراضية لعزل تأثير OTS.
• Bandits: هجوم تقدير التدرج الذي يمتلك بطبيعته اتجاهية (directionality).

3. المساهمات الرئيسية

يقدم البحث ثلاث مساهمات رئيسية:

1. عمل OTS كبديل لخسارة الهامش (Margin-Loss Surrogate): يوضح المؤلفون أن OTS يقرب "حد المنافس" (competitor term) الخاص بخسارة الهامش ($\max_{k \neq y} f_k(x')$) للهجمات التي تفتقر إلى تتبع الهدف الضمني. من خلال القفل على الفئة الرائدة غير الحقيقية مبكرًا، يوفر OTS الالتزام الاتجاهي الذي توفره خسارة الهامش، ولكن دون الحاجة للوصول إلى قيم الـ logits أو إعادة حساب الهامش ديناميكيًا في كل خطوة.
2. التحقق التجريبي: أظهرت التجارب المكثفة عبر خمسة مصنفات لـ ImageNet (AlexNet, ResNet-18, VGG-16, ResNet-50, ViT-B/16) وثلاث طرق هجوم (4,500 عملية تشغيل) أن OTS يحقق كفاءة تقارب أداء "الأوراكل" (oracle efficiency). يسلط المؤلفون الضوء على أن الاختيار العشوائي للهدف يكون كارثيًا، مما يثبت أن الاختيار "الانتهازي" للفئة الرائدة حاليًا هو العامل الحاسم.
3. توصيف الحياد في الاستهداف: تحدد الدراسة أن OTS لا يقدم أي فائدة في النماذج المدربة عدائيًا (adversarially-trained models). ويعزو المؤلفون ذلك إلى توزيع الصعوبة ثنائي المنوال (bimodal difficulty distribution) في النماذج القوية، حيث تكون الصور إما سهلة الهجوم للغاية أو مستعصية تمامًا، مما يلغي نظام "الصعوبة المتوسطة" حيث يوفر الالتزام الاتجاهي قيمة.

4. النتائج التجريبية

الأداء على النماذج القياسية:

• معدل النجاح: في ResNet-50، رفع OTS معدل نجاح SimBA من 43% إلى 70% (+27 نقطة مئوية) وSquare Attack (CE) من 81% إلى 94% (+13 نقطة مئوية). يتبع أداء OTS أداء "الأوراكل" (حيث يتم اختيار الهدف لاحقًا بناءً على المسار غير المستهدف) عن كثب.
• كفاءة الاستعلام: قلل OTS من متوسط التكرارات المبتورة (الذي يعاقب حالات الفشل) بنسبة 43% لـ SimBA و29.5% لـ Square Attack في ResNet-50.
• تخصص الهجوم:
  • مفيد: الهجمات التي تعتمد على تقليل الاحتمالية أو خسارة الإنتروبيا المتقاطعة (SimBA, Square Attack CE) تظهر مكاسب كبيرة.
  • فائض/ضار: هجمات تقدير التدرج (Bandits) والهجمات التي تستخدم خسارة الهامش لا تظهر أي فائدة أو تظهر تراجعًا طفيفًا. وهذا يؤكد أن OTS ضروري فقط عندما يفتقر الهجوم إلى الاتجاهية المدمجة.

محاذاة الاضطراب:
يكشف تحليل تشابه جيب التمام (cosine similarity) بين الاضطرابات واتجاه الأوراكل أن اضطرابات الهجمات غير المستهدفة تنزاح بشكل كبير (التشابه النهائي $\approx 0.17$)، بينما تتماشى اضطرابات OTS بسرعة مع اتجاه الأوراكل بعد التبديل (التشابه $\approx 0.86$).

النماذج القوية:
على النماذج المدربة عدائيًا (Salman2020Do R18/R50)، لم يظهر OTS أي تحسن ذي دلالة إحصائية على خطوط الأساس غير المستهدفة. يفسر المؤلفون ذلك كنتيجة لتوزيع الصعوبة: النماذج القوية تضغط طيف الصعوبة إلى طرفين (سهل جدًا أو مستحيل تمامًا)، مما يلغي منطقة "الصعوبة المتوسطة" حيث يكون الالتزام بهدف معين مفيدًا.

5. الأهمية والادعاءات

يضع البحث OTS ليس كخوارزمية هجوم جديدة، بل كـ تغليف عالمي (universal wrapper) يعزز كفاءة الاستعلام لفئات معينة من الهجمات في الصندوق الأسود. تكمن أهميته في:

• سد الفجوة: يوفر فوائد كفاءة الهجمات المستهدفة (الالتزام الاتجاهي) دون اشتراط المعرفة المسبقة بالهدف.
• الرؤية النظرية: يوضح أن المعلومات المطلوبة لاختيار هدف فعال كامنة في مسار الهجوم خلال التكرارات القليلة الأولى.
• المنفعة العملية: يقدم تعديلًا بسيطًا ومنخفض التكلفة (تغيير دالة الهدف) يحقق أداءً يقارب أداء الأوراكل في النماذج القياسية، خاصة للهجمات التي تعاني من انزياح الفئة.

يظل المؤلفون متواضعين بشأن القدرة على التعميم، مشيرين إلى أن الفوائد قد تقل في البيئات ذات عدد الفئات المنخفض (مثل CIFAR-10) حيث تملك الكتلة الاحتمالية مساحة أقل للتشتت، وأن سلوك النماذج القوية يشير إلى أن الاستهداف غير فعال عندما يكون توزيع الصعوبة ثنائي المنوال.