Large-scale Testing Global Optimization Methods with Black-box Adversarial Attacks

تخيل أنك تحاول تعليم روبوت التعرف على الحيوانات. تعرض عليه آلاف الصور لخيول وقطط وكلاب حتى يصبح بارعاً جداً في التخمين. ولكن ماذا لو استطاع شخص ما خداع الروبوت؟ ماذا لو أضاف شخص ما "ضجيجاً" ضئيلاً وغير مرئي إلى صورة حصان، وفجأة يعتقد الروبوت أنه ينظر إلى قطة؟ يُسمى هذا هجوماً خصومياً (Adversarial Attack). إنه يشبه خدعة سحرية للحواسيب: ترى العين البشرية حصاناً، لكن عقل الكمبيوتر يرى قطة بسبب دفعة رياضية سرية.

لمعرفة كيفية جعل هذه الخدع تنجح (أو كيفية إيقافها)، يحتاج العلماء إلى اختبار "استراتيجيات بحث" مختلفة. تخيل أنك في سلسلة جبال ضبابية عملاقة تبحث عن أعمق وادٍ. بعض استراتيجيات البحث تشبه المشي في خط مستقيم حتى تصطدم بجدار؛ والبعض الآخر يشبه إرسال سرب من النحل لاستكشاف كل ركن وزاوية. لعقود من الزمن، اختبر العلماء هذه الاستراتيجيات باستخدام "جبال" وهمية بسيطة (دوال رياضية) كانت سهلة الرسم ولكنها ربما لا تشبه العالم الحقيقي. السؤال الكبير هو: هل هذه الاختبارات القديمة والبسيطة كافية لإخبارنا أي استراتيجية بحث هي الأفضل حقاً في عالم الذكاء الاصطناي الحديث المعقد والفوضوي؟

هذه الورقة البحثية، التي كتبها فويتشيك زارزيكي وجاروسواف أراباس من جامعة وارسو للتكنولوجيا، تقول "لا، ليست كذلك". يجادل المؤلفان بأن مشكلة خداع الذكاء الاصطناعي (الهجوم الخصمي) هي في الواقع اختبار مثالي وحقيقي لاستراتيجيات البحث هذه. لقد تعاملا مع الهجوم كأنه لغز ضخم: ابحث عن أصغر تغيير غير مرئي في الصورة يمكنه خداع الكمبيوتر. لقد اختبرا عدة طرق بحث من نوع "السرب" (مثل الخوارزميات التطورية ومحسنات الذئب الرمادي) لمعرفة أي منها يمكنه حل هذا اللغز بشكل أفضل.

إليك ما وجداه:

اللغز مخادع
أولاً، أراد المؤلفان إثبات أن هذا ليس لغزاً بسيطاً له إجابة واحدة فقط. استخدما طريقة بحث محلية (استراتيجية تنظر فقط إلى الجوار المباشر) على آلاف الصور. وجدا أنه عندما يبدآن من نقاط عشوائية مختلفة، ينتهي بهما المطاف إلى "حلول" مختلفة. بعض الحلول غيرت بكسلات قليمة هنا، والبعض الآخر غير بكسلات أخرى هناك. أثبت هذا أن المشهد "متعدد الأنماط" (Multimodal)، مما يعني أنه يحتوي على العديد من الوديان والقمم، وليس مجرد مسار واحد. إنه ليس منحدراً ناعماً نحو القاع؛ بل هو سلسلة جبال وعرة ومربكة حيث يمكنك أن تعلق في منخفض صغير ليس هو الأعمق. هذا يؤكد أنك بحاجة إلى طرق بحث "عالمية" قوية للعثور على أفضل خدعة.

الباحثون
وضع الفريق عدة خوارمايات بحث تحت الاختبار على مجموعتين شهيرتين من بيانات الصور: CIFAR-10 (صور صغيرة بحجم 32×32 بكسل) و ImageNet (صور ضخمة وعالية الدقة). منحوا كل خوارزمية ميزانية لعدد المرات التي يمكنها فيها "إلقاء نظرة" على الصورة لترى ما إذا كانت قد خُدعت.

• الباحثون "الجشعون": بعض الطرق، مثل مُحسّن INFO، تصرفت مثل البحث المحلي الجشع نوعاً ما. وجدت الحلول بسرعة ولكنها غالباً ما علقت بخدع أضعف (معدلات نجاح أقل).
• الباحثون من نوع "السرب": كانت الطرق مثل DE (التطور التفاضلي)، و GEN (الخوارزمية الجينية)، و SHADE أفضل بكثير. لقد استكشفت المساحة بشكل أكثر شمولاً. على سبيل المثال، في مجموعة بيانات CIFAR-10، عندما تم تحديد مقدار "الضجيج" المسموح به (الاضطراب) عند 0.2، نجحت طريقة GEN في خداع الكمبيوتر بنسبة 97.40% من المرات، بينما نجحت طريقة SHED بنسبة 89.61%.
• "الذئب" عانى: واجهت طريقة GWO (محسن الذئب الرمادي) صعوبة عندما كانت القواعد صارمة. بدون إعداد "تنظيم" (Regularization) خاص (قاعدة لإبقاء الضجيج صغيراً)، نجحت بنسبة تتراوح بين 10-15% فقط. ومع ذلك، عندما أضاف المؤلفان قاعدة محددة لموازنة الضجيج، لحقت طريقة GWO بالركب وأدت أداءً أفضل بكثير.

الحجم يصنع الفارق
أحدث حجم الصورة فرقاً هائلاً. في صور CIFAR-10 الصغيرة، كان استخدام أي قدر ضئيل من الضجيج المسموح به (0.01) شبه مستحيل؛ حيث فشلت الخوارمايات تماماً تقريباً. ولكن في صور ImageNet الضخمة، كان نفس القدر الضئيل من الضجيج أصعب حتى في الاستخدام (نسبة نجاح 0% للجميع). ومع ذلك، بمجرد السماح بقدر أكبر من الضجيج (0.1 أو 0.2)، أصبحت الخوارمايات فعالة للغاية. في ImageNet مع ضجيج 0.2، حققت خوارزمية DE نسبة نجاح 100%، مما يعني أنها استطاعت خداع الكمبيوتر في كل صورة حاولت خداعها.

الخلاصة
تشير الورقة البحثية إلى أن استخدام هذه الهجمات الخصمية من نوع "الصندوق الأسود" (Black-box) هو وسيلة رائعة لاختبار مدى جودة طرق التحسين العالمية حقاً. إنها تحدٍ أصعب وأكثر واقعية من المسائل الرياضية البسيطة القديمة. تُظهر النتائج أنه بينما توجد طرق أفضل من غيرها، إلا أن المجال لا يزال في مرحلة التعلم. لم يدّع المؤلفان أنهما وجدا الخوارزمية "المثالية"؛ بل قدما بدلاً من ذلك ساحة لعب جديدة يمكن للباحثين اختبار أدواتهم فيها. كما أشارا إلى أنهما قد يرغبان في المستقبل ليس فقط في جعل الكمبيوتر مرتبكاً، بل في جعله يختار إجابة خاطئة محددة، وقد يستخدمان طريقة مختلفة لقياس "الضجيج" تبدو أكثر شبهاً بما تلاحظه العين البشرية.

باختصار، نجح المؤلفان في إظهار أن خداع الذكاء الاصطناعي هو تسلق لجبل معقد متعدد القمم، وبينما تعتبر بعض فرق البحث (مثل GEN و SHAH) هي الأفضل حالياً، لا يزال هناك الكثير من الأراضي لاستكشافها.