Technischer Überblick: Ein mimetischer Detektor für adversäre Bildstörungen

Problemstellung

Adversäre Angriffe kompromittieren tiefe Bildklassifikatoren, indem sie winzige, nahezu unmerkliche Rauschmuster ($\delta$) in ein sauberes Bild ($x$) einfügen, was zu Fehlklassifikationen führt, während das Bild für menschliche Beobachter visuell unverändert bleibt. Standard-$\ell_\infty$-begrenzte Angriffe, wie die Fast Gradient Sign Method (FGSM), Projected Gradient Descent (PGD) und die $\ell_\infty$-Variante von Carlini–Wagner, erzeugen Störungen, die sich durch hochfrequente, nahezu zufällige Vorzeichenmuster auf Pixelebene auszeichnen. Obwohl diese Störungen in der $\ell_2$-Norm klein sind, tragen sie unverhältnismäßig viel Gradientenenergie.

Die primäre Herausforderung, die hier adressiert wird, ist die Detektion und nicht die Robustheit. Während es schwierig ist, einen Klassifikator gegen solche Störungen robust zu machen, besteht das Ziel hier darin, gegeben einen Eingabewert $x'$, zu bestimmen, ob er gestört wurde. Bestehende Ansätze, wie SpectralDefense, verlassen sich oft darauf, Klassifikatoren auf Fourier-Domain-Features zu trainieren. Diese Arbeit schlägt eine trainingfreie Alternative vor, die keinen Surrogat-Klassifikator erfordert und keinen Zugriff auf das angegriffene Netzwerk voraussetzt.

Methodik

Der vorgeschlagene Detektor nutzt den fundamentalen Unterschied in der Verteilung der Gradientenenergie zwischen natürlichen Bildern und adversären Störungen aus. Natürliche Bilder konzentrieren die Gradientenenergie auf Kanten mit ansonsten glattem Inhalt, wohingegen adversäre Störungen die Gradientenenergie gleichmäßig über das gesamte Bild bei den höchsten räumlichen Frequenzen verteilen.

Das mimetische Gradienten-Energie-Verhältnis

Der Kern der Methode ist ein einzelner skalärer Wert $T(x)$, definiert als das Verhältnis der mimetischen Gradientenenergie zur reinen Pixelnorm:

$$T(x) = \frac{(G u)^\top P (G u)}{\sum_{i,j} x_{ij}^2}$$

Wobei:

• $u$: Das Eingabebild $x$, das auf jeder Seite mit einer Ghost-Zelle (replizierte Randbedingung) aufgefüllt und vektoriell dargestellt ist.
• $G$: Der mimetische Gradient-Operator von Corbino–Castillo der Ordnung $k$.
• $P$: Eine diagonale, positiv definite Gewichtsmatrix, die mit $G$ assoziiert ist.
• Zähler: Repräsentiert die diskrete Gradientenenergie (gewichtete Summe der quadrierten Gradientenwerte).
• Nenner: Repräsentiert die euklidische Summe der quadrierten Pixelwerte.

Implementierungsdetails

• Operatoren: Die Methode nutzt hochordentliche mimetische Operatoren von Corbino–Castillo aus der Open-Source-MOLE-Bibliothek. Diese Operatoren werden aufgrund ihrer Genauigkeit höherer Ordnung, ihres Fehlens freier Parameter und ihrer konsistenten Genauigkeit an den Rändern gewählt (Vermeidung künstlicher Auslösungen durch rechteckige Rahmung).
• Berechnung: Die Berechnung erfolgt pro Bild in $O(HW)$ Zeit, dominiert durch ein einziges Produkt aus dünnbesetzter Matrix und Vektor.
• Entscheidungsregel: Ein Schwellenwert $\tau$ wird auf einem zurückgehaltenen sauberen Datensatz kalibriert (basierend auf der gewünschten False-Positive-Rate). Wenn $T(x) > \tau$ gilt, wird das Bild als adversär markiert; andernfalls wird es als sauber eingestuft.
• Eigenschaften: Die Metrik $T$ ist dimensionslos und skaleninvariant ($T(\alpha x) = T(x)$ für $\alpha \neq 0$).

Experimentelle Ergebnisse

Der Detektor wurde am standardmäßigen 128 $\times$ 128 Graustufen-Bild „peppers" (aus MATLAB/Octave-Toolboxes) mit einem $\ell_\infty$-Budget von $\epsilon = 16/255$ validiert.

Testfälle

Drei Eingaben wurden konstruiert:

1. Sauber: Keine Störung.
2. Adversär-artig: $\delta_{adv} = \epsilon \text{sign}(\eta)$, wobei $\eta_{ij} \sim \mathcal{N}(0, 1)$, was die räumliche Signatur von FGSM/PGD nachahmt.
3. Glatter Kontrollfall: $\delta_{low}$ mit gleicher $\ell_\infty$-Amplitude, aber niederfrequentem Inhalt (sinusförmig).

Wichtige Erkenntnisse

• Trennschärfe: Die adversäre Störung erhöhte die Metrik $T$ im Vergleich zum sauberen Bild um mehr als den Faktor 3 über alle getesteten Ordnungen hinweg ($k=2, 4, 6$).
• Spezifität: Die glatte Kontroll-Störung ließ $T$ unverändert (innerhalb von 1%), was zeigt, dass der Detektor auf hochfrequentes Rauschen reagiert und nicht nur auf Amplitudenänderungen.
• Ordnungsabhängigkeit: Der Detektionsabstand (Verhältnis $T_{adv}/T_{clean}$) wuchs monoton mit der mimetischen Ordnung $k$:
  • $k=2$: 3,55-fache Trennung.
  • $k=4$: 3,94-fache Trennung.
  • $k=6$: 4,19-fache Trennung.
• Visueller Beleg: Die Visualisierung der mimetischen Gradientenstärke $|Gx|$ offenbarte einen nahezu gleichförmigen hochfrequenten Abdruck im adversären Fall, der im sauberen Bild fehlte.

Bedeutung und Behauptungen

Die Arbeit positioniert dieses Werk als praktischen, einsatzfähigen Ein-Schuss-Detektor mit drei wesentlichen Vorteilen:

1. Kein Trainingsaufwand: Es wird kein Trainingsset adversärer Beispiele, kein Surrogat-Klassifikator und kein Zugriff auf die internen Gewichte des Zielnetzwerks benötigt.
2. Rechenleistungseffizienz: Es arbeitet in linearer Zeit relativ zur Bildgröße ($O(HW)$), was es für Echtzeitanwendungen geeignet macht.
3. Skalierbare Diskriminierung: Die Detektionsfähigkeit verbessert sich monoton mit der Ordnung des mimetischen Operators, eine Eigenschaft, die inhärent zur MOLE-Konstruktion gehört.

Einschränkungen und Geltungsbereich

Die Autoren stellen ausdrücklich fest, dass dies ein Detektor und keine zertifizierte Verteidigung ist. Ein adaptiver Angreifer, der $T$ explizit minimiert, während er die Fehlklassifikation aufrechterhält, könnte die Statistik potenziell näher an den sauberen Wert drängen, wahrscheinlich auf Kosten einer reduzierten Angriffserfolgsrate oder eines größeren $\ell_\infty$-Budgets.

Die Arbeit schlägt zwei natürliche Erweiterungen für zukünftige Arbeiten vor:

• Anwendung auf Farb- und multispektrale Bilder (über pro-Kanal-$T$, kombiniert durch eine gelernte lineare Kombination).
• Anpassung an nicht-uniforme oder gekrümmte Sensorgeometrien, bei denen mimetische Strukturen besonders leistungsfähig sind.