🤖 machine learning

Sample-Specific Noise Injection For Diffusion-Based Adversarial Purification

Diese Arbeit stellt das SSNI-Framework vor, das mithilfe eines vortrainierten Score-Netzwerks die optimale Rauschintensität für jedes einzelne Eingabebild in diffusionsbasierten adversarialen Bereinigungsverfahren adaptiv anpasst und so die Genauigkeit sowie Robustheit auf CIFAR-10 und ImageNet-1K signifikant verbessert.

Ursprüngliche Autoren: Yuhao Sun, Jiacheng Zhang, Zesheng Ye, Chaowei Xiao, Feng Liu

Veröffentlicht 2026-02-16

📖 3 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Yuhao Sun, Jiacheng Zhang, Zesheng Ye, Chaowei Xiao, Feng Liu

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Das Problem: Der "Einheits-Gießkannen-Ansatz"

Stell dir vor, du hast einen sehr wertvollen, aber schmutzigen Teppich (das ist dein Bild). Jemand hat absichtlich Schmutz darauf gestreut, damit du das Muster nicht mehr erkennen kannst (das ist der adversariale Angriff oder "Feind").

Um den Teppich zu retten, benutzt du eine spezielle Reinigungsmaschine (ein Diffusionsmodell). Diese Maschine funktioniert wie ein Zeitstrahl:

Sie wirft erst noch mehr Staub und Schmutz auf den Teppich (das ist der Vorwärtsprozess).
Dann versucht sie, den ganzen Schmutz wieder wegzufegen, bis nur noch das ursprüngliche, saubere Muster übrig ist (das ist der Rückwärtsprozess).

Das Problem bei den bisherigen Methoden war: Sie gossen für jeden Teppich genau die gleiche Menge Wasser und Seife.

Szenario A: Ein Teppich war nur ganz leicht verschmutzt. Die Maschine goss aber so viel Wasser drauf, dass das Muster völlig verwässert wurde und die Maschine am Ende nicht mehr wusste, wie das Muster ursprünglich aussah. Das Ergebnis war ein verwischter Teppich.
Szenario B: Ein Teppich war extrem schmutzig. Die Maschine goss aber nur ein wenig Wasser drauf. Der alte Schmutz wurde nicht richtig gelöst, und die Maschine konnte ihn nicht entfernen. Das Ergebnis war immer noch ein dreckiger Teppich.

Die Forscher haben erkannt: Jeder Teppich braucht eine individuelle Menge an Wasser.

Die Lösung: Der "intelligente Wasser-Sensor" (SSNI)

Die Autoren haben eine neue Methode namens SSNI (Sample-specific Score-aware Noise Injection) entwickelt. Stell dir das wie einen intelligenten Wasser-Sensor vor, der vor dem Reinigen den Teppich genau anschaut.

Der Sensor prüft den Zustand: Bevor die Reinigung beginnt, schaut sich der Sensor an, wie "weit weg" der Teppich von einem perfekten, sauberen Muster entfernt ist. In der Fachsprache nennt man das den "Score-Norm".
- Ist der Teppich fast sauber? -> Der Sensor sagt: "Wenig Wasser, bitte!"
- Ist der Teppich extrem dreckig? -> Der Sensor sagt: "Viel Wasser und Seife, bitte!"
Die maßgeschneiderte Reinigung: Basierend auf diesem Sensorwert passt die Maschine die Menge des "Wassers" (des Rauschens) für jedes einzelne Bild individuell an.

Warum ist das so genial?

Bei sauberen Bildern: Sie werden nicht unnötig "verwässert". Das Originalbild bleibt scharf und klar. Das ist wie bei einem leicht staubigen Bild: Du wischst es nur kurz ab, statt es unter Wasser zu setzen.
Bei dreckigen Bildern: Sie bekommen genau so viel "Wasser", um den hartnäckigen Schmutz (die Angriffe) wirklich wegzuspülen, ohne das Bild zu zerstören.

Das Ergebnis

In Tests mit tausenden von Bildern (wie bei CIFAR-10 oder ImageNet) hat sich gezeigt:

Die Bilder sind nach der Reinigung schärfer (bessere Genauigkeit bei normalen Bildern).
Die Bilder sind sicherer gegen Angriffe (bessere Robustheit).

Zusammenfassend:
Statt wie ein starrer Roboter zu agieren, der für alle das Gleiche macht, ist diese neue Methode wie ein erfahrener Restaurator. Er weiß genau, wie viel Arbeit jedes einzelne Kunstwerk braucht, um es perfekt zu reinigen, ohne es zu beschädigen. Das macht die KI-Sicherheit viel effektiver und intelligenter.

1. Problemstellung

Deep Neural Networks (DNNs) sind anfällig für adversarial examples (angreifbare Beispiele), bei denen kleine, für das menschliche Auge unsichtbare Störungen die Vorhersagen des Modells manipulieren. Eine gängige Verteidigungsmethode ist die adversarial purification (AP), bei der generative Modelle verwendet werden, um Rauschen aus den Eingabedaten zu entfernen, bevor sie in einen Klassifikator eingespeist werden.

Ein vielversprechender Ansatz ist die diffusion-based purification (DBP). Dabei wird ein Vorwärtsprozess (Forward Diffusion) genutzt, um Gaußsches Rauschen in das Eingabebild zu injizieren, gefolgt von einem inversen generativen Prozess (Reverse Process), der das Bild wiederherstellt.

Das Kernproblem: In bestehenden DBP-Methoden wird für alle Eingabebilder derselbe, konstante Rauschpegel $t^*$ verwendet, um den Vorwärtsprozess zu steuern.
Die Erkenntnis: Die Autoren zeigen, dass ein optimaler $t^*$ $t^{*}$ nicht für alle Proben gleich sein kann.
- Ist $t^*$ zu klein, wird das adversarial Rauschen nicht vollständig entfernt (unzureichende Denoisierung).
- Ist $t^*$ zu groß, wird die semantische Information des Bildes (auch bei sauberen Beispielen) übermäßig zerstört, was die Genauigkeit auf sauberen Daten (Clean Accuracy) senkt und die Wiederherstellung im inversen Prozess erschwert.
- Ein globaler, fester Wert führt daher zu einem suboptimalen Trade-off zwischen Robustheit und Genauigkeit.

2. Methodik: SSNI (Sample-specific Score-aware Noise Injection)

Die Autoren schlagen ein neues Framework namens SSNI vor, das den Rauschpegel $t^*$ adaptiv und pro Sample (bildspezifisch) anpasst.

Grundprinzip:
Die Methode nutzt die Beobachtung, dass der Abstand eines Datenpunkts von der sauberen Datenverteilung durch die Score-Norm ( $\|\nabla_x \log p_t(x)\|$ ) gemessen werden kann.

Sauberere Proben liegen näher an der Hochdichteregion der Datenverteilung und weisen eine niedrigere Score-Norm auf.
Adversarial Proben (oder stark verrauschte Proben) liegen weiter entfernt und weisen eine höhere Score-Norm auf.

Der SSNI-Prozess:

Score-Schätzung: Ein vortrainiertes Score-Netzwerk schätzt die Score-Norm für jedes Eingabebild. Um die Empfindlichkeit gegenüber einem einzelnen Referenz-Rauschlevel zu minimieren, wird der Expected Perturbation Score (EPS) verwendet, der Scores über ein Spektrum von Rauschlevels aggregiert.
Reweighting-Funktion: Basierend auf der berechneten Score-Norm wird eine Gewichtungsfunktion $f$ $f$ angewendet, um den globalen Basis-Rauschpegel $t^*$ $t^{*}$ in einen sample-spezifischen Pegel $t(x)$ $t (x)$ umzuwandeln.
- Für Bilder mit niedriger Score-Norm (sauber) wird $t(x)$ reduziert (weniger Rauschen injiziert).
- Für Bilder mit hoher Score-Norm (angegriffen) wird $t(x)$ erhöht (aggressivere Rauschinjektion zur Entfernung des adversarial Rauschens).
Implementierung: Es werden zwei Arten von Reweighting-Funktionen vorgeschlagen: eine lineare Funktion und eine nicht-lineare Funktion (basierend auf der Sigmoid-Funktion). Ein Bias-Term wird hinzugefügt, um sicherzustellen, dass der Rauschpegel bei Bedarf auch über das ursprüngliche Maximum hinausgehen kann.

Das Framework ist modular und kann nahtlos in bestehende DBP-Methoden (wie DiffPure, GDMP, GNS) integriert werden, ohne den Klassifikator oder das Diffusionsmodell selbst neu zu trainieren.

3. Wichtige Beiträge

Erkenntnis zur Sample-Variabilität: Der Nachweis, dass ein optimaler Rauschpegel $t^*$ auf Sample-Ebene variieren muss und ein globaler konstanter Wert suboptimal ist.
Neues Framework (SSNI): Einführung eines allgemeinen, reweighting-basierten Ansatzes, der Score-Normen nutzt, um den Rauschpegel adaptiv anzupassen.
Theoretische Fundierung: Herleitung der Beziehung zwischen Score-Normen und dem erforderlichen Rauschpegel, sowie der Beweis, dass SSNI einen größeren Suchraum für gereinigte Ausgaben bietet als sample-shared Methoden.
Effizienz: Der zusätzliche Rechenaufwand für die Score-Berechnung und das Reweighting ist gering (ca. 0,5 Sekunden pro Bild auf CIFAR-10), was die Methode für den praktischen Einsatz geeignet macht.

4. Ergebnisse

Die Methode wurde auf den Datensätzen CIFAR-10 und ImageNet-1K evaluiert und mit etablierten DBP-Baselines (DiffPure, GDMP, GNS) verglichen. Die Tests umfassten starke adaptive White-Box-Angriffe (PGD+EOT, BPDA+EOT, AutoAttack, DiffAttack).

Verbesserung des Trade-offs: SSNI verbessert signifikant den Kompromiss zwischen Standard-Genauigkeit (Clean Accuracy) und Robustheits-Genauigkeit.
- Auf CIFAR-10 konnte die Standard-Genauigkeit von DiffPure um ca. 3,58 % gesteigert werden, ohne die Robustheit zu beeinträchtigen (im Gegenteil, sie wurde leicht verbessert).
- Bei GDMP wurde sowohl die Standard- als auch die Robustheits-Genauigkeit deutlich erhöht.
Generalisierung: Die Verbesserungen waren konsistent über verschiedene Architekturen (WideResNet, ResNet, Swin-Transformer) und verschiedene Angriffstypen hinweg.
Skalierbarkeit: Die Methode funktioniert auch auf großen Datensätzen wie ImageNet-1K effektiv.

5. Bedeutung und Ausblick

Die Arbeit ist bedeutend, da sie ein fundamentales Limit bestehender Diffusions-basierter Verteidigungen adressiert: die Annahme der Uniformität von Rauschbedarf über alle Daten hinweg.

Paradigmenwechsel: SSNI etabliert das Prinzip, dass Verteidigungsmechanismen in der adversarial Purification „sample-spezifisch" sein sollten, ähnlich wie es bei der Detektion von Anomalien der Fall ist.
Praktische Anwendbarkeit: Da SSNI als generisches Framework konzipiert ist, kann es sofort in bestehende Systeme integriert werden, um deren Leistung zu steigern, ohne die zugrunde liegenden Modelle neu zu trainieren.
Zukunft: Die Autoren sehen Potenzial in der Weiterentwicklung der Reweighting-Funktionen (z. B. datengesteuert) und der Optimierung der Parameter für den Expected Perturbation Score.

Zusammenfassend bietet SSNI einen einfachen, aber effektiven Weg, die inhärente Denoisierungsfähigkeit von Diffusionsmodellen für die adversarial Purification zu maximieren, indem es den Rauschprozess intelligent an den Zustand jedes einzelnen Eingabebildes anpasst.