Generating Multi-view Adversarial Examples for Visual Geometry Grounded Transformer

في عالم الذكاء الاصطناعي المتطور بسرعة، ظهر جيل جديد من أنظمة الرؤية الحاسوبية، قادرة على فهم العالم ثلاثي الأبعاد من صور فوتوغرافية مسطحة. تعمل هذه الأنظمة، المعروفة باسم النماذج التأسيسية، كمترجم عالمي للبيانات المرئية. فبدلاً من مجرد تحديد أن الصورة تحتوي على سيارة أو شجرة، يمكنها تجميع صور متعددة ملتقطة من زوايا مختلفة لبناء نموذج ثلاثي الأبعاد كامل وقابل للتنقل للمشهد. وتعد هذه التكنولوجيا بإحداث ثورة في كيفية تنقل الروبوتات، وكيفية إدراك المركبات ذاتية القيادة لمحيطها، وكيفية تفاعلنا مع البيئات الرقمية. ومع ذلك، تماماً كما توجد نقاط ضعف في الهياكل المادية يجب على المهندسين تعزيزها، فإن هذه الأنظمة الرقمية لديها نقاط ضعف خفية. لطالما عرف الباحثون أنه من خلال إضافة كميات ضئيلة وغير مرئية من الضجيج إلى صورة ما، يمكنهم خداع الكمبيوتر ليرى شيئاً ليس موجوداً بالفعل. هذا هو مجال الهجمات العدائية، حيث يكون الهدف هو إيجاد أصغر تغيير ممكن يتسبب في فشل هائل في فهم الآلة.

لقد كان التحدي دائماً يتمثل في السرعة والاتساق. تتطلب الطرق التقليدية لإنشاء هذه الصور الخادعة من الكمبيوتر قضاء وقت كبير في تحليل كل مشهد محدد، وحساب نمط الضجيج المثالي لتلك اللحظة الواحدة. وهذه العملية بطيئة للغاية بالنسبة للتطبيقات في العالم الحقيقي حيث تتغير المشاهد لحظياً. أما الطرق الأخرى فتستخدم نمطاً واحداً ثابتاً من الضجيج يتم تطبيقه على كل صورة، آملة أن ينجح في كل مكان، لكن هذه الطرق غالباً ما تفشل أمام الأنظمة ثلاثية الأبعاد المعقدة لأنها لا تستطيع التكيف مع الهندسة المتغيرة للمشهد. وقد طور فريق من الباحثين في جامعة هونغ كونغ باكتيست الآن نهجاً جديداً يحل كلا المشكلتين في آن واحد. فقد أنشأوا نظاماً يمكنه توليد هجوم متسق وغير مرئي عبر زوايا متعددة للمشهد في لحظة واحدة، دون الحاجة إلى التوقف والحساب لكل موقف جديد.

ركز الباحثون عملهم على نموذج عالي الأداء يسمى "المحول ذو الهندسة البصرية المرتكزة" (Visual Geometry Grounded Transformer). صُمم هذا النموذج ليأخذ تسلسلاً من الصور ويعيد بناء سحابة نقاط ثلاثية الأبعاد فوراً، وهي في الأساس هيكل رقمي مكون من ملايين النقاط التي تمثل شكل وموقع الأشياء في الفضاء. واكتشف الفريق أنه بينما يعد هذا النموذج سريعاً ودقيقاً للغاية في الظروف العادية، فإنه هش بشكل مفاجئ عند مواجهة نوع معين من الخداع المنسق. لقد بنوا أداة، أطلقوا عليها اسم "مولد الاضطراب العدائي متعدد المشاهد"، والتي تعمل مثل مرشح كاميرا سريع الوتيرة. فبدلاً من تحليل المشهد ثم صياغة خدعة ببطء، تتعلم هذه الأداة أنماط نقاط ضعف النموذج وتطبق تشويهاً مخصصاً على كل صورة في التسلسل في الوقت نفسه تماماً.

ولجعل هذا يعمل، كان على النظام تعلم عملية توازن صعبة. فقد كان عليه إنشاء ضجيج قوي بما يكفي لتحطيم إعادة البناء ثلاثي الأبعاد، ولكن دقيق بما يكفي بحيث لا تلاحظه العين البشرية أبداً. صمم الباحثون آلية تجبر الضجيج على البقاء متسقاً عبر جميع زوايا الكاميرا المختلفة. فإذا بدا الضجيج مختلفاً من زاوية إلى أخرى، فمن المرجح أن يرفضه النموذج ثلاثي الأبعاد باعتباره خطأً ويقوم بتصحيحه. ومن خلال ضمان توافق التشوه بدقة عبر جميع المشاهد، استطاع النظام إرباك المنطق الداخلي للنموذج، مما أدى إلى فقدانه السيطرة على هندسة المشهد. وكانت النتيجة انهياراً كاملاً للهيكل ثلاثي الأبعاد، حيث تلاشت إعادة بناء العالم إلى فوضى عارمة أو اختفت تماماً، بينما ظلت الصور المدخلة تبدو طبيعية تماماً للمراقب البشري.

أظهرت التجار nghiệm أن هذه الطريقة الجديدة كانت متفوقة بمراحل على المحاولات السابقة. فعند اختبارها ضد النماذج القياسية المستخدمة لمحاولة كسر هذه الأنظمة، حقق المولد الجديد هدفه في خطوة واحدة، بينما تطلبت الطرق القدية عشرات الحسابات البطيئة والمتكررة لتحقيق نتائج مماثلة. وفي الاختبارات التي شملت مشاهد تضم ما يصل إلى خمس وعشرين زاوية كاميرا مختلفة، أدى النظام الجديد باستمرار إلى تدهور جودة إعادة البناء ثلاثي الأبعاد، مما تسبب في تشتت النقاط الرقمية أو انكماشها حتى التلاشي. ووجد الباحثون أن الهجوم لم يكن فعالاً فقط على الشكل ثلاثي الأبعاد نفسه، بل أيضاً على قدرة النموذج على تقدير العمق وموقع الكاميرا، وهي أمور بالغة الأهمية للملاحة. لقد استطاع النظام تحويل خريطة واضحة ومفصلة لغرفة إلى سحابة من النقاط المجزأة وغير القابلة للاستخدام في أجزاء من الثانية.

إن أحد أكثر جوانب هذا الاكتشاف إثارة للدهشة هو كفاءة الهجوم. فقد أظهر الباحثون أن أداتهم يمكنها معالجة مشهد معقد بلقطات متعددة في أقل من ثانية، باستخدام جزء ضئيل من ذاكرة الكمبيوتر المطلوبة بالطرق التقليدية. تشير هذه السرعة إلى أن مثل هذا الهجوم يمكن نظرياً نشره في سيناريوهات الوقت الفعلي، مثل روبوت يقود في شارع أو طائرة بدون طيار تحلق عبر مدينة. وقد استبعدت الدراسة صراحةً فكرة أن نمطاً واحداً ثابتاً من الضجيج يمكن أن ينجح ضد هذه النماذج ثلاثية الأبعاد المعقدة، مبينةً بدلاً من ذلك أن الضجيج يجب أن يكون ديناميكياً وواعياً بالعلاقة بين زوايا الكاميرا المختلفة ليكون فعالاً. كما أكد الفريق أن الهجوم لم يعتمد على تشوهات كبيرة وواضحة؛ بل كانت التغييرات دقيقة جداً لدرجة أنها ظلت غير مرئية للعين البشرية، مما حافظ على ملمس ومظهر الصور الأصلية مع تدمير قدرة الآلة على فهم الفضاء تماماً.

تمتد تداعيات هذا العمل إلى ما وراء المختبر. ويؤكد الباحثون أن نتائجهم تسلط الضوء على فجوة أمنية حرجة في نشر أنظمة الرؤية ثلاثية الأبعاد. فإذا كان من الممكن خداع نموذج بهذه السهولة والسرعة، فإن سلامة التطبيقات التي تعتمد عليها، مثل السيارات ذاتية القيادة أو ملاحة الروبوتات، قد تتعرض للخطر. لا تدعي الدراسة أن هذه الأنظمة معطلة بشكل لا يمكن إصلاحه، بل تشير إلى أنها معرضة حالياً لنوع محدد وعالي الكفاءة من الخداع لم يتم معالجته بالكامل من قبل. ويخلص المؤلفون إلى أن الخطوة التالية الملحة هي تطوير دفاعات وآليات كشف قوية لحماية هذه الأنظمة. ويقترحون أنه بدون مثل هذه الضمانات، فإن الاعتماد السريع للنماذج التأسيسية ثلاثية الأبعاد قد يعرض البنية التحتية الحيوية لمخاطر جديدة وخطيرة، حيث يمكن لإشارة خفية وغير مرئية أن تسبب فقدان الآلة لطريقها في العالم الحقيقي.