Multi-Task Consistency-based Detection of Adversarial Attacks

تخيل أنك تقود سيارة ترى العالم من خلال كاميرا، وليس مجرد عينين. تستخدم هذه السيارة نوعًا خاصًا من العقل الحاسوبي يسمى "الشبكة العصبية العميقة" (DNN) لفهم ما تراه. إنها بحاجة لرصد إشارات المرور، وقراءة اللوحات، وإيجاد السيارات الأخرى لتقود بأمان. لكن الجزء الصعب هنا هو أن هذه العقول الحاسوبية يمكن خداعها. فإذا أضاف شخص ما "ضجيجًا" ضئيلًا غير مرئي تقريبًا إلى صورة ما — مثل تحريك بكسلات قليلة بطريقة محددة للغاية — فقد يظن العقل الحاسوبي أن علامة "قف" هي لوحة تحديد سرعة، أو قد لا يرى مشاة على الإطلاق. يُسمى هذا "هجومًا خصوميًا" (Adversarial Attack)، وهو يشبه خدعة اليد السحرية التي يستخدمها السحرة لخداع البشر، ولكنها موجهة للحواسيب. ولأن هذه الخدع يمكن أن تحدث بسهولة، فإن المهندسين في حالة استنفار لبناء نظام أمني يمكنه رصد محاولة خداع عقل السيارة قبل ارتكاب خطأ كارثي.

تقدم هذه الورقة البحثية "حارس أمن" ذكيًا لتلك السيارات ذاتية القيادة. فبدلاً من محاولة جعل العقل الحاسوبي غير قابل للاختراق (وهو أمر صعب ومكلف)، يقترح المؤلفون نهجًا يعتمد على "العمل الجماعي". لقد لاحظوا أنه إذا طلبت من نموذجين مختلفين من نماذج الحاسوب النظر إلى نفس الصورة — أحدهما مدرب على رسم مربعات حول الأشياء (Object Detection/كشف الأشماكن)، والآخر مدرب على تلوين الأشكال الدقيقة لتلك الأشياء (Instance Segmentation/تجزئة النسخ) — فإنهما عادة ما يتفقان تمامًا. ولكن عندما يحاول مهاجم ماكر خداعهما باستخدام خدعة ما، يبدأ النموذجان في الجدال. فقد يرى أحدهما سيارة، بينما لا يرى الآخر شيئًا، أو قد يختلفان على مكان وجود السيارة. لقد بنى المؤلفون نظامًا يستمع إلى هذا الجدال؛ فإذا اختلف النموذجان كثيرًا، يصرخ النظام: "مهلًا، هذه الصورة تم التلاعب بها!" ويوقف السيارة عن استخدام تلك البيانات السيئة.

اختبر الباحثون هذه الفكرة باستخدام مجموعة بيانات ضخمة لمشاهد القيادة تسمى BDD100k. لقد صنعوا آلاف الصور "المسمومة" باستخدام طريقة هجوم قوية تسمى PGD (الاشتقاق المتدرد المتوقع)، وراقبوا كيف يتفاعل نظامهم الجديد معها. ووجدوا أن "كاشف عدم الاتفاق" الخاص بهم كان بارعًا للغاية في أداء مهمته؛ فعندما وضعوا نظامهم في مواجهة المهاجمين، نجح في تحديد الصور المخادعة بنسبة 99.9% من المرات. هذه نتيجة هائلة، مما يعني أن النظام لا يُخدع إلا نادرًا جدًا.

وما يجعل هذا الأمر أكثر إثارة للاهتمام هو كيف اكتشفوا أي النماذج تعمل بشكل أفضل معًا. لقد اختبروا تركيبات مختلفة، مثل الجمع بين نموذج بـ "عقل" ResNet50 مقابل نموذج بـ "عقل" ResNet101. واكتشفوا أن أفضل الثنائيات هي في الواقع النماذج التي تتشابه كثيرًا في بنيتها الداخلية. قد يبدو هذا غريبًا، أليس كذلك؟ قد تعتقد أن نموذجين مختلفين سيكونان أفضل، لكن الورقة توضح أنه عندما يتعرض نموذجان متشابهان للهجوم، فإنهما يرتبكان بطرق مختلفة، مما يخلق جدالًا صاخبًا وواضحًا يسهل رصده. أما إذا كان النموذجان مختلفين جدًا، فقد يتجاهلان الهجوم تمامًا أو يفشلان بنفس الطريقة، مما يجعل من الصعب معرفة ما إذا كان هناك خطأ ما.

كما حاول الفريق التفوق على كاشفهم الخاص. فقد أنشأوا "مهاجمًا متكيفًا" فائق الذكاء يحاول خداع كلا النموذجين في آن واحد مع إجبارهما على الاتفاق على الإجابة الخاطئة. وحتى مع هذه الحيل المتقدمة، ظل الكاشف يعمل، حيث نجح في رصد الهجوم بنسبة 95% من المرات. وهذا يشير إلى أنه بينما يمكن للمهاجمين تنسيق خدعهم، فإن الاختلافات الطبيعية في كيفية معالجة النماذج للمعلومات تجعل من الصعب جدًا خداع الفريق بأكمله.

بالمقارنة مع طرق الأمن الأخرى، يعد هذا النهج بمثابة حارس خفيف وسريع الحركة بدلاً من دبابة ثقيلة وبطيئة. فالطرق الأخرى غالبًا ما تتطلب إعادة تدريب العقل الحاسوبي بالكامل أو إضافة كميات هائلة من الأكواد الإضافية، مما يبطئ حركة السيارة. قارن المؤلفون نظامهم بنظام دفاع شهير يسمى "RobustDet". وبينما جعل RobustDet النموذج أصعب في الخداع، إلا أنه كان ضخمًا (643 ميجابايت) وبطيئًا (11 إطارًا في الثانية). ومع ذلك، كان الكاشف الجديد أصغر بكثير (350 ميجابايت) وأسرع بمرتين (20 إطارًا في الثانية)، مع رصد كل هجوم تقريبًا.

باختًا، لا تدعي هذه الورقة أنها صنعت درعًا لا يُقهر، بل تقدم طريقة ذكية وفعالة لرصد الشقوق في الدرع. فمن خلال مراقبة التناقضات بين طريقتين مختلفتين لرؤية العالم، يمكن للنظام رصد ما إذا تم تعديل الواقع رقميًا. ويشير المؤلفون إلى أن هذه الطريقة يمكن أن تكون قطعة أساسية في لغز جعل السيارات ذاتية القيادة أكثر أمانًا، مما يثبت أنه في بعض الأحيان، أفضل طريقة للإمساك بالكاذب هي جعله يتحدث مع شخص آخر.