ColorFD: A Finite-Difference Guided Black-Box Physical Adversarial Attack for Remote Sensing Object Detection
تقترح هذه الورقة ColorFD، وهي طريقة هجوم فيزيائي بنظام الصندوق الأسود تستخدم التطور التفاضلي لتحسين وضع ولون الرقع ذات اللون الصافي، مسترشدةً بالتوطين بالفروق المحدودة واستخراج الميزات المشتركة، للتهرب بفعالية من كواشف الأجسام في الاستشعار عن بعد في كل من السيناريوهات الرقمية والواقعية.
تخيل عالماً تستطيع فيه الحواسيب "رؤية" السماء، وتحديد الطائرات أو السفن أو السيارات في صور الأقمار الصناعية بسرعة مذهلة. هذا هو مجال الذكاء الاصطناعي، وتحديداً الشبكات العصبية العميقة، التي تعمل كأعين فائقة القدرة لكل شيء، من السيارات ذاتية القيادة إلى الدفاع الوطني. لكن هنا تكمن المفارقة: هذه العيون الرقمية هشة بشكل مفاجئ. تماماً كما يمكن لخداع الساحر ببطاقة وُضعت بذكاء، يمكن خداع أنظمة الذكاء الاصطناعي هذه بتغييرات طفيفة وغير مرئية تقريباً في الصورة. تُسمى هذه الحيل "الهجمات العدائية" (Adversarial Attacks). وبينما أمضى العلماء سنوات في معرفة كيفية خداع هذه الحواسيب في العالم الرقمي (عن طريق اختراق ملف الصورة نفسه)، فإن القيام بذلك في العالم الحقيقي أصعب بكثير. لا يمكنك ببساطة "تعديل" طائرة حقيقية تحلق فوق رأسك؛ بل يجب عليك لصق شيء ما عليها أو وضعه بالقرب منها لإرباك الكاميرا. السؤال الكبير هو: هل يمكننا إنشاء ملصق أو رقعة فيزيائية تكون فعالة للغاية لدرجة تجعل كاشفاً عالي التقنية يعمى تماماً عن هدف ما، حتى عندما لا يعرف المهاجم كيف يعمل "عقل" الكاشف؟
هذا هو بالضبط ما تعالجه ورقة "ColorFD" البحثية. فقد طور الباحثون، الذين يعملون مع كلية علوم وتكنولوجيا المعلومات في جامعة بكين للكيمياء التقنية، طريقة جديدة لخداع كواشف الأجسام في الاستشعار عن بعد (أعين الذكاء الاصطناعي التي تراقب السماء) باستخدام رقع ذات ألوان نقية وبسيطة. وخلافاً للمحاولات السابقة التي حاولت إنشاء أنماط معقدة ومنقوشة يصعب طباعتها أو يسهل اكتشافها، يستخدم ColorFD نهج "الصندوق الأسود" (Black-box). وهذا يعني أن المهاجم لا يحتاج إلى معرفة "الوصفة السرية" (الكود الداخلي أو الرياضيات) للذكاء الاصطناعي الذي يحاول خداعه؛ بل يحتاج فقط إلى رؤية النتيجة النهائية (هل رصد الطائرة أم لا؟).
اكتشاف الفريق الرئيسي هو أنه من خلال لصق بعض المربعات الصغيرة ذات الألوان الصلبة على هدف ما — مثل طائرة نفاثة أو طائرة عادية — واختيار ألوانها ومواقعها بعناية، يمكنهم جعل الذكاء الاصطناعي يخطئ الهدف تماماً. لقد استخدموا استراتيجية بحث ذكية تسمى "التطور التفاضلي" (Differential Evolution)، وهي تشبه مختبراً للتطور الرقمي حيث يتم اختبار الآلاف من مجموعات الرقع العشوائية، ويتم تهجين "الأصلح" (الأكثر إرباكاً) مع بعضه البعض لإنشاء نسخ أفضل. ولجعل هذا البحث أسرع وأكثر فعالية، أضافوا دليلين ذكيين: أحدهما يجد "النقاط الحساسة" في جسم معين (مثل الأجنحة أو الأنف) من خلال اختبار رد فعل الذكاء الاصطناعي تجاه الألوان المختلفة، والآخر يستخدم معرفة عامة حول مكان هذه النقاط الحساسة عادةً لفئة كاملة من الأجسام (مثل جميع الطائرات النفاثة) لتخطي مرحلة التخمين.
النتائج مثيرة للإعجاب حقاً. فعندما اختبروا طريقتهم على كواشف ذكاء اصطناعي شهيرة مثل YOLOv3u و YOLOv5u و Faster R-CNN، كان ColorFD أفضل بكثير في إخفاء الأجسام من الطرق الأخرى التي قارنوها بها. في الواقع، في بعض الاختبارات الرقمية، قدم أداءً يضاهي هجمات "الصندوق الأبيض" (White-box)، حيث يعرف المهاجم كل شيء عن العمليات الداخلية للذكاء الاصطناعي. ولعل الأمر الأكثر إثارة للإعجاب هو أنهم أخذوا تصاميمهم الرقمية، وطبعوها على ورق ملون، ثم لصقوها على نماذج طائرات مصنوعة من السبائك الحقيقية. وعندما قاموا بتصوير هذه النماذج، فشل الذكاء الاصطناعي في رؤيتها، مما يثبت أن حيلهم الرقمية تعمل في العالم الفيزيائي الحقيقي. تشير الورقة إلى أنه بينما هذه الطريقة قوية، إلا أنها ليست مثالية؛ فهي تعمل بشكل أفضل في الظروف المستقرة، وقد تواجه صعوبة إذا تغيرت زاوية الكاميرا كثيراً أو إذا كان للذكاء الاصطناعي بنية "مرحلتين" تخفي خطوات تفكيره الوسيطة. ولكن بشكل عام، تظهر هذه الدراسة أن بعض الملصقات الملونة البسيطة يمكن أن تكون أسلحة قوية بشكل مدهش ضد "أعين" الذكاء الاصطناعي الحديث.
ملخص تقني: ColorFD: هجوم فيزيائي عدائي بنظام الصندوق الأسود موجه بالفروق المحدودة للاستشعار عن بعد
بيان المشكلة لا تزال أنظمة كشف الأجسام القائمة على التعلم العميق (DNN) في مجال الاستشعار عن بعد، رغم فعاليتها، عرضة للاضطرابات العدائية. تركز الأبحاث الحالية بشكل أساسي على الإعدادات الرقمية أو "الصندوق الأبيض" (white-box). أما الهجمات الفيزيائية بنظام "الصندوق الأسود" (black-box)، وهي الأكثر تمثيلاً لقيود النشر في العالم الحقيقي، فلا تزال غير مستكشفة بشكل كافٍ. تواجه هذه الهجمات تحديات كبيرة: ضمان الجدوى الفيزيائية (مثل قابلية الطباعة والتخفي) والتغلب على عدم كفاءة التحسين ضمن مساحات البحث عالية الأبعاد عند عدم توفر تدرجات النموذج (gradients). علاوة على على ذلك، غالبًا ما يتم تقييم طرق الهجوم الفيزيائي الحالية في المجال الرقمي بشكل أساسي، مما يفتقر إلى التحقق الكافي في البيئات الفيزيائية الحقيقية، لا سيما في سيناريوهات الاستشعار عن بعد التي تتميز بتغيرات كبيرة في المقياس وظروف تصوير معقدة.
المنهجية يقترح البحث إطار عمل ColorFD، وهو هجوم عدائي فيزيائي بنظام الصندوق الأسود مصمم لكواشف الأجسام في الاستشعار عن بعد. تعتمد الطريقة على نمذجة الاضطرابات العدائية كعدة رقع صغيرة ذات ألوان نقية بدلاً من تحسين الأنسجة على مستوى البكسل، مما يسهل عملية التصنيع والنشر الفيزيائي. تدمج المنههجية الأساسية ثلاثة مكونات رئيسية:
تحسين التطور التفاضلي (DE): يتم تحسين مواقع ومعلمات الألوان للرقع بشكل مشترك باستخدام خوارزمية التطور التفاضلي (DE)، وهي خوارটিزمية قائمة على الجمهرة لا تتطلب معلومات التدرج. يتم صياغة هدف الهجوم كتقليل استجابة الكاشف لإحداث اختفاء الجسم.
آلية اللياقة والاختيار المستندة إلى الهدف: لمعالجة تعقيد الهجمات متعددة الأهداف حيث قد يحجب مقياس اللياقة العالمي الواحد حالة الأهداف الفردية، يقدم ColorFD تقييماً مستنداً إلى الهدف. تقوم دالة لياقة على مستوى الهدف بتقييم حالة الهجوم لكل هدف بشكل مستقل. وتعمل آلية اختيار مبتكرة على الحفاظ على المتغيرات المفيدة الخاصة بكل هدف أثناء عملية التطور من خلال إجراء تبادلات جزئية للمكونات بين الآباء والأبناء، مما يخفف من صراعات التحسين عبر الأهداف المتعددة.
تقليص مساحة البحث عبر استراتيجيات التوجيه: للتخفيف من التكلفة الحسابية لمساحات البحث عالية الأبعاد، يتم استخدام استراتيجيتين للتوجيه:
تحديد المنطقة الرئيسية: باستخدام استقصاء اللون بالفروق المحدودة، تحدد هذه الاستراتيجية بشكل متكرر المناطق الحساسة الخاصة بكل حالة داخل إطار تحديد الهدف (bounding box). ومن خلال تطبيق نوافذ منزلقة واضطرابات متعددة الألوان، تولد خرائط حرارية للاستجابة لتقليص مساحة البحث إلى المناطق ذات التأثير العالي.
استخراج الميزات المشتركة: لتقليل العمليات الحسابية الزائدة، تقوم هذه الاستراتيجية بتجميع توزيعات المناطق الرئيسية عبر حالات الفئة الواحدة. ومن خلال محاذاة الأهداف وإنشاء خريطة حرارية للميزات المشتركة على مستوى الفئة، توفر هذه الاستراتيجية أولويات مكانية توجه البحث دون الحاجة إلى تكرار تحديد المواقع لكل حالة على حدة.
المساهمات الرئيسية يلخص المؤلفون مساهماتهم كما يلي:
تصميم قابل للتحقيق فيزيائياً: اقتراح تصميم عدائي يعتمد على عدة رقع مربعة صغيرة ذات لون نقي، مما يوازن بين قوة فعالية الهجوم وسهولة التصنيع والنشر في البيئات الحقيقية.
آلية تحسين مستندة إلى الهدف: تطوير آلية لياقة واختيار مستندة إلى الهدف للهجمات متعددة الأهداف بنظام الصندوق الأسود. يعالج هذا النهج تقييم الأهداف بشكل منفصل ويحافظ على التحسينات على مستوى الهدف، مما يعالج قيود مقاييس اللياقة العالمية الواحدة في السيناريوهات متعددة الأهداف.
استراتيجيات التوجيه: تقديم استراتيجيتين لتقليص مساحة بحث الرقع: استراتيجية المنطقة الرئيسية باستخدام استقصاء الفروق المحدودة للحساسية الخاصة بكل حالة، واستراتيجية الميزات المشتركة التي تبني أولويات على مستوى الفئة لتقليل تكرار تحديد المواقع مع الحفاظ على أداء تنافسي.
النتائج التجريبية أُجريت التجارب على مجموعة بيانات DIOR للاستشعار عن بعد، وتحديداً باستخدام مجموعة فرعية للطائئات تحتوي على 407 حالة عبر أنواع ومقاييس واتجاهات مختلفة. تم تقييم الطريقة مقابل YOLOv3u وYOLOv5u وFaster R-CNN.
الأداء في المجال الرقمي: تفوق ColorFD على طريقة الرقعة بنظام الصندوق الأسود (Bbox-Att) في جميع الكواشف المختبرة. في YOLOv5u، حقق المتغير الموجه بالمنطقة الرئيسية معدل نجاح هجوم (ASR) بنسبة 79.61% وخفض AP50 إلى 0.1453، متفوقاً على خط الأساس للصندوق الأسود ومنافساً بقوة للنماذج القوية بنظام الصندوق الأبيض (AP-PA وBADEI). وفي Faster R-CNN، حقق الإصدار غير الموجه ASR بنسبة 95.09% مع AP50 قدره 0.0169.
فعالية استراتيجية التوجيه: أدى توجيه المنطقة الرئيسية إلى تحسين الأداء بشكل كبير في الكواشف أحادية المرحلة (YOLOv3u، YOLOv5u) ولكنه أظهر مكاسب محدودة في نظام المرحلتين Faster R-CNN، ويرجع ذلك على الأرج_ح إلى عدم إمكانية الوصول إلى معلومات شبكة اقتراح المناطق (RPN) المتوسطة في إعدادات الصندوق الأسود. وعلى العكس من ذلك، أظهر توجيه الميزات المشترة أداءً فائقاً على Faster R-CNN (ASR بنسبة 99.35%)، مما عوض بفعالية قصور تحديد الموقع في المنطقة الرئيسية على كواشف المرحلتين.
التحقق في العالم الفيزيائي: أُجريت تجارب فيزيائية باستخدام رقع ورقية ملونة على نماذج طائرات مصنوعة من السبائك تحت ظروف تصوير محكومة. وبالرغم من الانحرافات الطفيفة في اللون والموقع بسبب خصائص المواد والتركيب اليدوي، نجحت الرقع المُحسّنة في كبح عمليات الكشف في المجال الفيزيائي، مما أثبت قابلية الانتقال من الرقمي إلى الفيزيائي.
الأهمية والادعاءات يدعي البحث أن ColorFD يوفر نهجاً عملياً لتقييم متانة أنظمة كشف الاستشعار عن بعد البصرية تحت قيود الوصول المحدود للنموذج. ويثبت أن الهجمات الفيزيائية بنظام الصندوق الأسود يمكن أن تحقق مستويات أداء تضاهي، أو تتجاوز، الهجمات القوية بنظام الصندوق الأبيض عند استخدام استراتيجيات التحسين وآليات التوجيه المناسبة. تسلط الدراسة الضوء على أن تصميم الرقعة ذات اللون النقي المقترح، جنباً إلى جنب مع التحسين المستند إلى الهدف وقيود الفروق المحدودة، يوازن بفعالية بين فعالية الهجوم والجدوى الفيزيائية.
يقر المؤلفون بوجود قيود، بما في ذلك الطبيعة العشوائية للتحسين القائم على DE مما يؤدي إلى تباين في الأداء، وانخفاض فعالية تحديد المنطقة الرئيسية في كواشف المرحلتين بسبب نقص الوصول إلى المعلومات المتوسطة، وحساسية الرقع ذات اللون النقي للتغيرات البيئية مثل تغير زاوية النظر والمقياس. وقد تم تحديد العمل المستقبلي في التركيز على تحسين استقرار التحسين والقدرة على التخفي البصري للرقع.