ملخص تقني: DiffAttack

بيان المشكلة

تمتلك أنظمة التعرف على الوجه (FR) العميقة، رغم فعاليتها في عمليات المصادقة والمراقبة، حدود قرار ضيقة بما يكفي لتكون عرضة للهجمات العدائية. تواجه الأساليب العدائية الحالية التي تستهدف القياسات الحيوية للوجه قيودًا كبيرة:

• الهجمات القائمة على الضجيج (Noise-based attacks): رغم أنها غالبًا ما تكون غير محسوسة، إلا أنها تفتقر إلى المتانة ضد التغيرات في العالم الحقيقي (مثل تغيرات الإضاءة) وتظهر قدرة ضعيفة على الانتقال عبر النماذج المختلفة.
• الهجمات القائمة على الرقع (Patch-based attacks): تُدخل عيوبًا بصرية واضحة، مما يضعف التخفي ويجعلها غير مناسبة لمشاركة الصور الطبيعية.
• الهجمات القائمة على السمات الدلالية أو المكياج (Semantic/Makeup-based attacks): رغم تحسين جودة الإدراك، إلا أنها تعتمد غالبًا على صور مرجعية جامدة، أو إشارات دلالية يدوية، أو مجموعات بيانات مكياج واسعة النطاق مما يؤدي إلى تحيز ديموغرافي ويحد من التعميم.
• الأساليب القائمة على شبكات الخصومة التوليدية (GAN-based approaches): تتطلب هذه الأساليب عادةً إعادة تدريب لهويات مستهدفة جديدة، وتكون مقيدة بالمنطوق التوليدي لشبكة الـ GAN.
• الأساليب القائمة على الانتشار (Diffusion-based methods): تعتمد مقاربات مثل DiffAM أو Adv-Diffusion غالبًا على التحسين التكراري، أو إعادة التدريب المستهدف، أو الأقنعة الاستدلالية الجامدة، مما يؤدي إلى عيوب في الحدود وتقليل الكفاءة.

التحدي الجوهري هو توليد وجوه عدائية تكون واقعية فوتوغرافياً، متوافقة هوياتيًا مع هدف معين، وغير محسوسة للمراقبين البشريين، مع الحفاظ على قدرة عالية على الانتقال عبر أنظمة التعرف على الوجه المتنوعة وغير المرئية (black-box).

المنهجية: DiffAttack

يقترح المؤلفون DiffAttack، وهو إطار عمل مبتكر يقوم بتوليد الأمثلة العدائية عبر التحسين في الفضاء الكامن (latent-space optimization) باستخدام نموذج انتشار كامن مجمد (تحديدًا Stable Diffusion v2.1).

البنية الأساسية والعملية

1. الترميز الكامن (Latent Encoding): يتم ترميز صورة المصدر النظيفة ($x_{src}$) إلى تمثيل كامن ($z_{src}$) باستخدام مشفر متباين (VAE) مجمد.
2. حقن الضجيج (Noise Injection): يتم إضافة كمية ثابتة من الضجيج الغاوسي عند خطوة زمنية محددة $t$ لإنشاء مدخل كامن مشوش لعمود الفقري لشبكة U-Net.
3. شبكة U-Net المعززة بـ LoRA: بدلاً من ضبط جميع معاملات U-Net الضخمة، يقوم إطار العمل بحقن محولات الضبط منخفض الرتبة (LoRA) خصيصًا في طبقات الانتباه المتقاطع (cross-attention layers) (إسقاطات Q، K، V). يتم تحسين هذه المصفوفات خفيفة الوزن والقابلة للتدريب لتوجيه عملية الانتشار نحو تمثيل الهوية المستهدفة.
4. حلقة التحسين (Optimization Loop):
   • تتنبأ شبكة U-Net بالضجيج، مما يسمح بإعادة بناء الكامن النظيف ($x_0$).
   • يتم فك تشفير الكمان لتوليد الوجه العدائي في مساحة البكسل.
   • التغذية الراجعة متعددة المصادر: يتم تمرير الوجه المولد عبر مجموعة من نماذج التعرف على الوجه المجمدة (IR152، IRSE50، MobileFace) لحساب مسافة الهوية بين الوجه العدائي وهوية مستهدفة.
   • الانتشار العكسي للتدرج (Gradient Backpropagation): يتم نشر التدرجات من نماذج التعرف على الوجه حصريًا إلى أوزان LoRA، مما يعمل على صقل الميزات العدائية بشكل تكراري حتى يتم الخطأ في تحديد هوية المصدر واعتبارها الهوية المستهدفة.

دالة الخسارة (Loss Function)

يقلل التحسين من دالة خسارة موحدة متعددة الأهداف ($L_{total}$):

• خسارة الهوية للمجموعة (Ensemble Identity Loss - $L_{id}$): تدفع التضمين المولد نحو التضمين المستهدف باستخدام تشابه جيب التمام (cosine similarity hinge).
• التوجيه الاتجاهي (Directional Guidance - $L_{dir}$): يضمن أن التحول الكامن يتبع مسارات الهوية الدلالية (المصدر $\leftarrow$ الهدف) بدلاً من الاختصارات السطحية.
• تثبيط المصدر (Source Suppression - $L_{src}$): يعاقب المحسن لمنع الانجراف العائد إلى هوية المصدر الأصلية.

التناغم العالمي (Global Harmonization)

على عكس الأساليب التي تستخدم أقنعة تقسيم جامدة أو مزجًا موضعيًا، يقوم DiffAttack بتحسين التمثيل الكامن للصورة الكاملة. وهذا يسمح للمسبقات التوليدية لنموذج الانتشار بمواءمة تحول الهوية بشكل طبيعي مع الخلفية الأصلية، والإضاءة، والسمات المحيطة، مما يلغي هالات الحدود ويضمن الواقعية الفوتوغرافية.

المساهمات الرئيسية

1. إطار عمل جديد للتهرب في الفضاء الكامن: مسار موحد يقوم بالتحسين في الفضاء الكامن باستخدام طبقات الانتباه المتقاطع المعززة بـ LoRA. يتجنب هذا الطريقة آثار العيوب الواضحة في مساحة البكسل ويقلل من العبء الحسابي مقارنة بالضبط الدقيق الشامل.
2. القدرة على الانتقال في الصندوق الأسود (Black-Box Transferability): استراتيجية تحسين متعددة المصادر تستفيد من التغذية الراجعة من "الصندوق الأبيض" عبر نماذج خلفية متنوعة (IR152، IRSE50، MobileFace). يقوم هذا الأسلوب بحقن سمات عدائية تعمم على أهداف غير مرئية (مثل FaceNet) دون الوصول إلى بارامتراتها الداخلية.
3. التناغم الكامن العالمي: من خلال تحسين الإشارة العدائية عبر الفضاء الكامن بالكامل بدلاً من استخدام أقنعة موضعية، يضمن إطار العمل دمج تحول الهوية بسلاسة مع السياق المحيط، متجنبًا عيوب الحدود.
4. أداء رائد (State-of-the-Art): أظهر التقييم المكثف على مجموعات بيانات FFHQ و CelebA-HQ أداءً متفوقًا على الأساليب الحالية القائمة على الضجيج، والمكياج، والسمات الدلالية.

النتائج التجريبية

تم تقييم إطار العمل على مجموعتي بيانات FFHQ و CelebA-HQ تحت ظروف "الصندوق الأسود" الصارمة.

• معدل نجاح الهجوم (ASR): حقق DiffAttack معدل ASR متوسط جديد كأفضل أداء حالي بلغ 84.86% عبر نماذج متعددة للتعرف على الوجه.
  • تفوق على الأساليب التقليدية القائمة على الضجيج بأكثر من 15.28% والأساليب القائمة على السمات الدلالية بنحو 5.21%.
  • لوحظت معدلات نجاح عالية محددة ضد MobileFace (95.03%) و IRSE50 (94.24%).
  • عند مهاجمة FaceNet كهدف للصندوق الأسود، كانت المجموعة البديلة تتكون من IR152، IRSE50، و MobileFace (باستثناء FaceNet). وعلى العكس، عند مهاجمة MobileFace، تضمنت المجموعة البديلة FaceNet، IRSE50، و IR152.
• الجودة الإدراكية:
  • SSIM: حقق 0.961، مما يشير إلى تشابه هيكلي عالٍ مع المصدر.
  • PSNR: بلغ 24.54 dB، مما يظهر تضمينًا دقيقًا للاضطرابات.
  • FID: بلغ 27.58، مما يشير إلى أن الصور المولدة تظل ضمن نطاق الصور الطبيعية.
• المقارنة البصرية: على عكس الأساليب القائمة على الضجيج التي تسبب "تأثيرات الشبح" (ghosting) أو الأساليب القائمة على المكياج التي تبدو اصطناعية، يحافظ DiffAttack على نسيج المصدر الأصلي، وتعبيراته، وإضاءته. وبينما تُستخدم درجات Face++ في الشكل 1 لتوضيح محاذاة الهوية، فإن التقييم الرسمي يعتمد على نماذج IR152، IRSE50، MobileFace، و FaceNet.

الأهمية والادعاءات

يزعم البحث أن DiffAttack يمثل تقدمًا كبيرًا في تقييم الأمن البيومتري من خلال إثبات أن التحسين في الفضاء الكامن باستخدام LoRA يمكنه توليد أمثلة عدائية تكون فعالة للغاية ضد أنظمة الصندوق الأسود وغير قابلة للتمييز بصريًا عن الصور الفوتوغرافية الحقيقية للمراقبين البشريين.

يؤكد المؤلفون أن عملهم مخصص للتحليل الدفاعي الأمني وحماية الخصوصية. ومن خلال الكشف عن هذه الثغرات، يهدف البحث إلى توجيه تطوير أنظمة تحقق بيومترية أكثر متانة قادرة على الصمود أمام تهديدات الذكاء الاصطناعي التوليدي المتقدمة. يلتزم البحث بصرامة بالمعايية الأخلاقية، حيث يستخدم فقط مجموعات البيانات البحثية العامة ويمتنع عن إصدار أوزان مدربة مسبقة لأغراض انتحال الشخصية.