Résumé Technique : Scooter – Un Cadre d'Évaluation Humaine pour les Exemples Adversariaux Non Restreints

Énoncé du Problème

Les attaques adversaires non restreintes visent à tromper les modèles de vision par ordinateur (CV) en altérant les images de manière non contrainte par des bornes de norme $\ell_p$, telles que le changement de couleur ou de texture d'un objet. Contrairement aux attaques restreintes, ces modifications peuvent être sémantiquement cohérentes et facilement négligées par les humains, permettant aux attaquants de contourner les défenses traditionnelles basées sur les normes, comme l'entraînement adversaire ou la robustesse certifiée. Cependant, l'absence de contraintes basées sur les normes signifie qu'il n'existe aucune garantie mathématique d'imperceptibilité. Par conséquent, vérifier si ces exemples adversaires (AE) apparaissent authentiques aux humains nécessite une évaluation humaine.

La littérature existante repose souvent sur des métriques automatisées ou des études humaines à petite échelle qui manquent de rigueur statistique. De nombreux travaux antérieurs négligent totalement l'évaluation de la qualité de l'image ou s'appuient sur des métriques automatisées qui ne correspondent pas à la perception humaine. De plus, les protocoles d'évaluation humaine existants manquent souvent d'insights statistiquement significatifs, de rapports transparents sur la démographie, d'analyses de puissance et de filtrage robuste pour les participants inattentifs. Cela crée un écart dans la capacité à comparer et valider de manière fiable l'imperceptibilité des attaques non restreintes.

Méthodologie : Le Cadre Scooter

Pour combler ces lacunes, les auteurs présentent Scooter (Systemizing Confusion Over Observations To Evaluate Realness), un cadre open-source et statistiquement puissant pour évaluer les exemples adversaires non restreints. Le cadre est structuré autour d'un pipeline en trois phases conçu pour assurer la qualité des données et la validité statistique :

1. Vérifications Préliminaires :

   • Test de Daltonisme : Les participants doivent correctement classifier cinq images de type Ishihara pour s'assurer qu'ils peuvent percevoir les modifications basées sur la couleur, un vecteur principal des attaques non restreintes.
   • Vérification de Compréhension : Les participants examinent des exemples d'images modifiées par rapport à des images non modifiées et doivent correctement identifier l'image modifiée dans au moins 5 paires sur 6. Cela garantit la compréhension de la tâche et filtre les locuteurs non courants de l'anglais.

2. Phase Principale d'Annotation :

   • Les participants notent 106 images (50 réelles, 50 adversaires) sur une échelle de Likert à 5 points allant de « Certainement Modifié » (-2) à « Certainement Réel » (+2).
   • La conception utilise une approche de mesures répétées intra-sujet où les participants notent à la fois les images réelles et modifiées.
   • Vérifications d'Attention : L'étude inclut des « éléments fictifs » (images manifestement modifiées) et des « vérifications de manipulation des instructions » (IMC) pour détecter les participants inattentifs. Les participants échouant à 2 vérifications d'attention ou plus sur 6 sont signalés.
   • Filtrage : Des métriques supplémentaires telles que le temps moyen par image, les statistiques de Long-String et la Variabilité de Réponse Intra-individuelle (IRV) sont utilisées pour filtrer les données de mauvaise qualité.

3. Analyse Statistique et Rapport :

   • Test d'Équivalence : Au lieu de tester des différences significatives (ce qui impliquerait une détectabilité), Scooter utilise la procédure des Tests à Deux Unilatéraux (TOST) pour tester l'équivalence. L'objectif est de prouver que la note moyenne des images adversaires ($\mu_{modified}$) est pratiquement équivalente à la note moyenne des images réelles ($\mu_{real}$) dans une tolérance prédéfinie ($\Delta$).
   • Bornes : Basé sur des simulations empiriques, les auteurs fixent des bornes d'équivalence pratiques de $\Delta_L = -0.2$ et $\Delta_U = +0.2$. Si la différence entre $\mu_{real}$ et $\mu_{modified}$ tombe dans cette plage, l'attaque est considérée comme imperceptible.
   • Rapport : Le cadre impose le rapport des démographies des participants, de la compensation, de l'engagement temporel et des résultats statistiques détaillés pour assurer la reproductibilité.

Configuration Expérimentale

Les auteurs ont appliqué le cadre Scooter pour évaluer six attaques non restreintes :

• Attaques Basées sur la Couleur : SemanticAdv (SemAdv), cAdv et Natural Color Fool (NCF).
• Attaques Basées sur la Diffusion : DiffAttack (DA), AdvPP et ACA.

Modèle Victime : Les attaques ont été évaluées contre un ResNet-50 entraîné de manière adversaire (ResNet-50-AT), un modèle de référence robuste connu pour résister aux attaques normalement bornées standard.
Jeu de Données : Un sous-ensemble sélectionné d'images de validation ImageNet-1k, nommé ImageNet S-R50-N, contenant 2 966 images correctement classées par le modèle victime et exemptes d'artefacts préexistants.
Participants : Un total de 346 participants a été recruté via Prolific, générant plus de 34 000 notations humaines.

Résultats Clés

L'étude a produit des preuves statistiquement significatives contredisant l'affirmation selon laquelle les attaques non restreintes actuelles sont imperceptibles :

1. Échec de l'Imperceptibilité : Pour les six attaques, la procédure TOST a échoué à rejeter l'hypothèse nulle selon laquelle les images ne sont pas équivalentes. Plus précisément, les valeurs p pour le test de la borne supérieure ($\Delta > \Delta_U$) étaient de 1,000 pour toutes les attaques. Cela indique que les images réelles ont été notées significativement plus haut (plus « réelles ») que les exemples adversaires, avec des écarts dépassant largement la tolérance de $\pm 0.2$.
2. Performance des Attaques :
   • Les attaques basées sur la diffusion ont généralement surpassé les attaques basées sur la couleur en termes d'imperceptibilité (par exemple, AdvPP avait un $\mu_{modified}$ de -0,5188, plus proche des images réelles que les autres), mais ont échoué à atteindre une équivalence statistique.
   • SemAdv, malgré d'être l'attaque la plus simple, a surpris par sa performance, surpassant quatre autres attaques sur les scores bruts modifiés, bien qu'elle ait échoué au test d'équivalence.
   • NCF a produit les modifications les plus évidentes, avec le plus grand écart entre les notations réelles et modifiées.
3. Discrépance avec le Succès du Modèle : Il n'y a aucune corrélation entre le taux de réussite d'une attaque contre le modèle victime et son imperceptibilité pour les humains. Par exemple, NCF avait un taux de réussite d'attaque élevé (0,922) mais était hautement perceptible, tandis que AdvPP avait un taux de réussite faible (0,081) mais était le moins perceptible.
4. Proxies Automatisés :
   • GPT-4o : Le modèle vision-langue a montré une certaine capacité à signaler les attaques imperceptibles, mais ne correspondait pas parfaitement aux notations humaines, en particulier pour AdvPP et ACA.
   • Métriques Objectives : Les métriques standard de qualité d'image (par exemple, FID, FD, KD) ont échoué à corréler avec la perception humaine. Notamment, les métriques ont souvent classé NCF (l'attaque la plus perceptible) comme ayant la meilleure qualité d'image, contredisant directement les jugements humains. La métrique par image TOPIQ a montré la meilleure correspondance mais a tout de même échoué à servir de proxy fiable pour le jugement humain sur toutes les attaques.

Importance et Revendications

L'article prétend fournir le premier benchmark ouvert et statistiquement puissant reliant rigoureusement la perception humaine à la qualité des exemples adversaires non restreints. Ses contributions principales sont :

• Norme Méthodologique : Il établit des lignes directrices de bonnes pratiques pour la puissance des études de foule, la compensation et l'analyse statistique (spécifiquement TOST) pour évaluer l'imperceptibilité, comblant le manque d'insights statistiquement significatifs dans les travaux antérieurs.
• Preuve Empirique : Il démontre que les attaques non restreintes actuelles de l'état de l'art, y compris celles basées sur des modèles de diffusion, ne sont pas imperceptibles pour les humains. Les auteurs concluent que les humains peuvent facilement distinguer les images authentiques de celles modifiées par ces attaques.
• Découplage des Objectifs : Les résultats suggèrent que tromper un modèle de vision par ordinateur et tromper un observateur humain sont des objectifs largement orthogonaux ; un taux de réussite d'attaque élevé n'implique pas une imperceptibilité élevée.
• Limites des Métriques Automatisées : L'étude renforce le fait que les métriques objectives de qualité d'image existantes sont des proxies insuffisants pour la perception humaine dans le contexte des exemples adversaires.

Les auteurs positionnent Scooter comme un outil permettant une recherche reproductible centrée sur l'humain, exhortant la communauté à aller au-delà des métriques automatisées et des affirmations non vérifiées d'imperceptibilité. Ils publient le code source, le jeu de données ImageNet S-R50-N et plus de 34 000 notations humaines pour faciliter les recherches futures dans ce domaine.