Résumé Technique : Attaques Adversaires Multi-tâches Discrètes (SMTA2)

Définition du Problème

Les réseaux de neurones profonds (DNN) sont de plus en plus déployés dans des cadres d'apprentissage multi-tâches (MTL), où les représentations partagées améliorent l'efficacité et la généralisation. Cependant, ces représentations partagées introduisent des vulnérabilités couplées : les perturbations adversaires conçues pour une tâche se propagent souvent aux autres, provoquant une dégradation indiscriminée des performances. Alors que les attaques antérieures se concentrent sur des modèles à tâche unique ou sur la dégradation conjointe de toutes les tâches dans le cadre du MTL, les scénarios réels à enjeux de sécurité (par exemple, la conduite autonome) nécessitent souvent des stratégies plus sélectives.

Le problème central abordé est l'absence d'un cadre capable de dégrader sélectivement une tâche spécifique ciblée tout en préservant strictement les performances des tâches non ciblées. Les méthodes existantes peinent à y parvenir car l'augmentation de la perte d'une tâche dans un modèle MTL propage naturellement des gradients qui nuisent aux autres. Réaliser une dégradation sélective sans dommages collatéraux est un problème d'optimisation hautement contraint et non trivial, car le repondérage naïf des pertes échoue souvent à maintenir la performance des tâches non ciblées sous des perturbations fortes.

Méthodologie

Les auteurs proposent SMTA2 (Stealthy Multi-task Adversarial Attack), un cadre conçu pour résoudre ce problème de dégradation sélective.

1. Formulation du Problème

SMTA2 formule l'attaque comme un problème d'optimisation multi-objectif contraint. Étant donné un modèle multi-tâche avec des tâches $y = (y_1, ..., y_m)$ et une tâche cible $i_t$, l'objectif est de maximiser la perte de la tâche ciblée $L_{i_t}$ tout en garantissant que la perte de toutes les tâches non ciblées $L_i$ (où $i \neq i_t$) n'excède pas leur performance initiale sur les données saines.

L'optimisation est définie comme :
$$\max_{\delta} L_{i_t}(x + \delta, y_{i_t})$$
$$\text{sous réserve que } L_i(x + \delta, y_i) \leq L_i(x, y_i) \quad \forall i \neq i_t$$
$$\|\delta\|_p \leq \epsilon$$

2. Stratégie d'Optimisation

La résolution directe du problème contraint est intraitable en raison de l'interférence des gradients entre les tâches. SMTA2 relaxe cela en une fonction d'objectif pondérée :
$$\max_{\delta} \sum_{i=1}^m w_i L_i(x + \delta, y_i)$$
où $w_{i_t}$ est positif (pour dégrader la cible) et $w_i$ pour les tâches non ciblées sont négatifs (pour pénaliser la dégradation et imposer la préservation).

Pour trouver les poids optimaux $\{w_i\}$, l'article propose deux stratégies :

• Recherche Manuelle des Poids : Une approche itérative par essais et erreurs où les poids des tâches non ciblées sont augmentés manuellement si leurs performances chutent en dessous de la ligne de base. Cette méthode est coûteuse en calcul et s'adapte mal au nombre croissant de tâches.
• Optimisation Automatisée des Poids (Algorithme 1) : Une stratégie dynamique qui met à jour les poids des tâches lors de chaque itération d'attaque.
  • À chaque étape, l'algorithme calcule la différence de perte entre les entrées adverses et les entrées originales pour les tâches non ciblées.
  • Si la perte d'une tâche non ciblée augmente, son poids négatif correspondant est ajusté proportionnellement pour contrer la dégradation.
  • Un pas de taille spécifique à la tâche $\lambda_i$ est utilisé, lequel est atténué par un coefficient $\alpha$ une fois qu'une tâche satisfait la contrainte de préservation. Cela accélère la convergence et stabilise la recherche.
  • Cette approche n'ajoute que $O(m)$ opérations par itération, ce qui la rend asymptotiquement équivalente en complexité aux attaques standards comme PGD.

Contributions Clés

1. Nouveau Paradigme d'Attaque : Introduction de SMTA2, le premier cadre capable de formuler et de résoudre systématiquement le problème des attaques adversaires multi-tâches discrètes et sélectives, permettant une dégradation ciblée tout en préservant strictement les autres tâches.
2. Formulation d'Optimisation Contrainte : L'attaque est modélisée comme un problème multi-objectif contraint avec des contraintes de préservation explicites, allant au-delà des attaques conjointes indiscriminées.
3. Ajustement Automatisé des Poids : Développement d'une stratégie d'optimisation automatique des poids de perte qui recherche dynamiquement les poids optimaux des tâches, éliminant le besoin de réglage manuel et améliorant l'efficacité et la scalabilité.
4. Évaluation Complète : Expérimentations approfondies sur les benchmarks NYUv2 et Cityscapes à travers diverses normes $L_p$ ($L_1, L_2, L_\infty$) et divers algorithmes d'attaque (PGD, IFGSM, APGD), incluant des évaluations sur des modèles non défendus et entraînés de manière adversaire (AT).

Résultats Expérimentaux

L'article évalue SMTA2 sur deux benchmarks multi-tâches : NYUv2 (Segmentation Sémantique, Estimation de la Profondeur, Normale de Surface) et Cityscapes (Segmentation Sémantique, Segmentation de Parties, Estimation de la Disparité).

• Dégradation Sélective : Les résultats démontrent que SMTA2 dégrade significativement la tâche ciblée (atteignant souvent l'efficacité des attaques non discrètes) tout en maintenant les tâches non ciblées au niveau ou proche de leur performance de base. En revanche, les attaques non discrètes provoquent un effondrement global des performances.
• Robustesse : Le cadre reste efficace contre les modèles entraînés de manière adversaire (AT), préservant avec succès les tâches non ciblées même dans des contextes de défense forts.
• Automatisation vs Manuel : La stratégie de recherche de poids automatisée atteint des performances comparables au réglage manuel, mais avec une efficacité et une scalabilité nettement supérieures.
• Preuves Visuelles : Les visualisations confirment que les perturbations sont imperceptibles et n'introduisent pas d'artefacts visuels évidents, tout en provoquant des échecs de tâches spécifiques (par exemple, classer incorrectement des panneaux de signalisation tout en maintenant une détection précise des voies).

Signification et Revendications

L'article affirme établir le premier cadre systématique pour les attaques adversaires multi-tâches discrètes et sélectives. Sa signification réside dans :

• Combler une Lacune Critique : Répondre au besoin d'attaques sélectives dans les systèmes critiques pour la sécurité, où un échec indiscriminé est facilement détectable, tandis qu'un échec sélectif peut être subtil et dangereux.
• Faisabilité Pratique : Démontrer que les contraintes de préservation strictes peuvent être satisfaites grâce à une optimisation fondée sur des principes et un ajustement automatique des poids, même en présence d'un fort couplage entre les tâches.
• Nouvelle Direction : Ouvrir une nouvelle voie pour l'apprentissage automatique adversaire contrôlé dans les systèmes multi-tâches, soulignant que les représentations partagées peuvent être exploitées pour une manipulation fine et discrète sans modifier les architectures de modèles ou les relations entre les tâches.

Les auteurs concluent que SMTA2 prouve que les attaques discrètes et sélectives par tâche sont à la fois réalisables et pratiquement solubles, posant un nouveau défi pour la robustesse des systèmes d'apprentissage multi-tâches.