ملخص تقني: AdvScene

بيان المشكلة

الرقعات العدائية (Adversarial patches) هي أنماط فيزيائية تُلحق بأجسام حقيقية بهدف تضليل أنظمة الرؤية المعتمدة على الذكاء الاصطناعي. وبينما أظهرت الأبحاث الحالية أن هذه الرقع يمكن أن تنجح في سيناريوهات محددة ومسيطر عليها، إلا أن طرق التقييم الحالية تفشل في قياس متانة المشهد (scene robustness) بشكل كافٍ: وهي مدى فعالية رقعة منشورة ثابتة عبر الظروف المتغيرة في بيئة حقيقية (مثل اختلاف زوايا النظر، والمسافات، وسياقات المشهد).

يحدد البحث فجوة حرجة في نماذج التقييم الحالية:

1. تحويلات مستوى الصورة (image-plane transformations) (مثل عمليات المسح بنمط EOT): تعامل الرقع كطبقات ثنائية الأبعاد (2D overlays)، مما يؤدي إلى إغفال تأثيرات الإسقاط الفيزيائي مثل الزوايا المائلة، أو الاحتجاب الجزئي، أو تغير الحجم الذي يحدث عند لصق رقعة على سطح ثلاثي الأبعاد (3D).
2. اختبارات القياس الواقعية (Real-capture benchmarks): توفر أدلة فيزيائية ولكنها تقتصر على وضعيات وظروف ثابتة، مما يجعل عملية أخذ عينات كثيفة للمساحة التشغيلية المطلوبة لفهم مخاطر النشر عملية شاقة وتتطلب جهداً كبيراً وغالباً ما تكون غير آمنة.
3. المنصات القائمة على المحاكاة (Simulator-based platforms): توفر القدرة على التحكم ولكنها تفتقر غالباً إلى الارتباط بمشاهد واقعية محددة، مما قد يؤدي إلى إدخال عيوب (artifacts) لا تعكس مواقع النشر الفعلية.

بناءً على ذلك، فإن الرقعة التي تنجح في "منظور مرجعي" (anchor view) واحد قد تشكل خطراً عملياً محدوداً، بينما يكمن التهديد الحقيقي في ما إذا كان الهجوم سيظل فعالاً عبر مجموعة واسعة من زوايا النظر الطبيعية. المشكلة المركزية هي كيفية قياس الغلاف التشغيلي (operational envelope) — وهو المنطقة المحددة من ظروف الملاحظة الناجمة عن المشهد حيث ينجح هجوم منشورة ثابتة — دون الحاجة إلى تجارب فيزيائية شاملة.

المنهجية: إطار عمل AdvScene

يقترح المؤلفون AdvScene، وهو إطار عمل مرتبط بالمشهد يقوم بإعادة بناء البيئات الحقيقية وتقييم الرقع العدائية الثابتة داخلها. الابتكار الجوهري يكمثل في إعادة صياغة التقييم كـ مشكلة قياس تشغيلي بدلاً من مجرد معدل نجاح لصورة واحدة.

1. إعادة بناء المشهد والدمج (Scene Reconstruction and Embedding)

يستخدم AdvScene تقنية التشتت الغاوسي ثلاثي الأبعاد (3D Gaussian Splatting - 3DGS) لإنشاء توائم رقمية عالية الدقة وقابلة للتحكم للمشاهد الحقيقية من خلال لقطات متعددة الزوايا. يتبع الإطار عملية مكونة من أربع مراحل:

• إعادة بناء المشهد: يتم إعادة بناء مشهد 3DGS نظيف ($G_0$) من صور متعددة الزوايا لمشهد حقيقي.
• إنشاء الهجوم المرجعي: تقوم خطوط إنتاج الهجوم الخارجية بإنشاء رقعة عدائية ثابتة من منظور مرجعي مختار، مما ينتج صورة مهاجمة ($I^*_a$) وقناع رقعة ($M_a$).
• دمج الرقعة العدائية في المشهد (APSE): هذا هو المساهمة التقنية الجوهرية. يقوم APSE برفع الهجوم من منظور مرجئي ثنائي الأبعاد إلى المشهد ثلاثي الأبعاد لإنشاء مشهد عدائي ($G_{adv}$). وهو يعالج "مشكلة الرفع المقيدة": كيفية تمثيل رقعة محددة في منظور واحد بحيث تظل وفية، وموضعية، ومتصلة بالسطح تحت منظورات جديدة.
• تقييم مستوى المشهد: يتم رندرة (rendering) المشهد العدائي تحت تغييرات محكومة في وضعية الكاميرا، والمسافة، وسياق المشهد لتقدير الغلاف التشغيلي.

2. دمج الرقعة العدائية في المشهد (APSE)

يعالج APSE غموض تعدد الزوايا مع الحفاظ على المظهر الحرج للهجوم. وهو يستخدم تمثيلاً غاوسياً هجيناً يتكون من:

• الغاوسيات المعاد استخدامها ($O$): يتم إعادة استخدام عناصر الغاوس الموجودة مسبقاً في المشهد ضمن منطقة الرقعة للحفاظ على هندسة السطح المعاد بناؤه. ويتم تحديث معايير مظهرها (اللون، والعتامة) فقط.
• الغاوسيات المولدة ($N$): يتم توليد عناصر غاوس جديدة بكثافة داخل قناع الرقعة لتوفير السعة المحلية اللازمة للأنماط العدائية عالية التردد.

لضمان تصرف الرقعة بشكل فيزيائي صحيح، يعمل APSE تحت أربعة قيود:

1. أمانة المنظور المرجعي: يجب أن تطابق الرقعة المرندرة الصورة المهاجمة المرجعية ($L_{patch}$).
2. الحفاظ على المشهد: يجب أن تظل المناطق خارج الرقعة متطابقة مع إعادة البناء النظيف ($L_{keep}$).
3. احتواء المنظور المساعد: باستخدام مناظير مساعدة غير مهاجمة، تعمل الطريقة على كبح "التسرب" (التغيرات غير المقصودة في المظهر في الخلفية) والعيوب العائمة ($L_{aux-rgb}$، $L_{aux-alpha}$).
4. الاتصال بالسطح: لمنع الرقعة من الطفو أو الانفصال (خاصة على الأجسام الرقيقة مثل لافتات المرور)، يقوم APSE بتهيئة الغاوسيات المولدة على مستوٍ أمامي ملائم ويقيد حركتها أثناء التحسين باستخدام أطر سطحية محلية وخسائر الالتزام بالناظم ($L_{normal}$).

3. قياس الغلاف التشغيلي

مخرج AdvScene ليس مجرد مقياس واحد بل هو غلاف تشغيلي ($E$)، يُعرف كمجموعة من ظروف الملاحظة $\theta$ (تُحدد بواسطة اتجاه الكاميرا، والموقع بالنسبة للجسم، والخصائص الداخلية) حيث ينجح الهجوم ($S(\theta) = 1$). وهذا يسمح بتحليل منهجي لأسباب وفشل الهجوم مع تغير ظروف المشهد.

المساهمات الرئيسية

1. التحول المفاهيمي: يحدد البحث متانة المشهد كبعد مفقود في تقييم الرقع الفيزيائية، ويصيغ المشكلة كقياس للغلاف التشغيلي لرقعة ثابتة في مشاهد معاد بناؤها.
2. إطار عمل AdvScene: نظام تقييم مرتبط بالمشهد يجمع بين إعادة بناء المشهد الحقيقي، ودمج الرقعة الثابتة، والرندرة المحكومة للمنظورات الجديدة لقياس سلوك الهجوم تحت متغيرات النشر الواقعية.
3. طريقة APSE: تقنية دمج مقيدة لـ 3D Gaussian Splatting تحافظ على المظهر الحرج للهجوم مع فرض المحلية، والحفاظ على المشهد النظيف، والاتصال بالسطح المستهدف، والاستقرار عبر المنظورات.
4. التحقق التجريبي:
   • الأمانة (Fidelity): مقابل 7 مشاهد فيزيائية حقيقية، حقق AdvScene اتساقاً بنسبة 99.30% في معدل نجاح الهجوم (ASR) مع الالتقاطات الفيزيائية، متفوقاً بشكل كبير على نماذج تحويل مستوى الصورة (93.54%). والأهم من ذلك، أنه يتجنب المبالغة الشديدة في تقدير المخاطر التي تقع فيها النماذج المرجعية في المناظر القريبة والمائلة.
   • النطاق (Scale): تم التقييم عبر 59 مشهداً من CO3D (مركزي حول الأجسام) و 28 مشهداً من Waymo (سيناريوهات القيادة) تغطي التصنيف المستهدف/غير المستهدف واختفاء كشف الأجسام.
   • النتائج:
     • غالباً ما ينهار النجاح في المنظور المرجعي خارج غلاف تشغيلي ضيق؛ فالرقعة التي تنجح في منظور واحد لا تضمن متانة واسعة النطاق عند النشر.
     • تسبب مشاهد القيادة أغلفة تشغيلية اتجاهية وغير متماثلة بسبب مسارات المركبات وهندسة جوانب الطريق.
     • الـ EOT المدرك للهندسة (Expectation over Transformation) هو التقنية الأساسية التي توسع الغلاف التشغيلي. أما المنظمات مثل درجة عدم قابلية الطباعة (NPS) والتباين الكلي (TV) فهي تؤثر بشكل أساسي على قابلية الطباعة أو السلاسة ولكنها لا تغير جوهرياً أنماط الفشل على مستوى المشهد.
     • يمكن لـ تنظيم $\ell_2$ أن يقيد حجم الرقعة دون تقليص الغلاف التشغيلي بشكل كبير، مما يشير إلى أن التخفي البصري والمتانة على مستوى المشهد ليسا دائماً في صراع مباشر.

الأهمية والادعاءات

يزعم البحث أن خطر الرقعة الفيزيائية يجب أن يُفهم كـ غلاف وليس كـ تقدير نقطي. ومن خلال جعل هذا الغلاف قابلاً للقياس، يوفر AdvScene أساساً أكثر دقة لتقييم المخاطر الفيزيائية للرقع.

يؤكد المؤلفون أن AdvScene ليس مولداً أقوى للهجمات بل هو إطار قياس للهجمات الثابتة المنتجة بواسطة المسارات الحالية. تكمن أهميته في الكشف عن أنماط الفشل المنهجية (مثل انهيار المنظور المائل) التي تغفلها التقييمات المرتكزة على الصور أو المحاكاة. وهذا يسمح للمدافعين بفهم الظروف التشغيلية المحددة التي تظل فيها الرقعة المنشورة تشكل تهديداً، ويساعد مصممي الهجمات على فهم أي التقنيات (تحديداً Geometry-aware EOT) تعمل فعلياً على تحسين المتانة على مستوى المشهد مقابل تلك التي تحسن فقط قابلية الطباعة الفيزيائية أو أداء المنظور المرجعي.

نطاق العمل متواضع، حيث يركز على الرقع ثنائية الأبعاد الثابتة والقابلة للطباعة والمتصلة بالسطح في مشاهد ثابتة، ويستبعد صراحةً الأجسام العدائية ثلاثية الأبعاد، أو الشاشات الديناميكية، أو أنظمة القيادة الذاتية الكاملة ذات دمج المستشعرات، تاركاً ذلك للأعمال المستقبلية.