Résumé technique : Guided Perturbation Sensitivity (GPS)

Énoncé du problème

Les attaques textuelles adverses constituent une menace persistante pour les modèles NLP basés sur les transformeurs, capables d'inverser les prédictions par des perturbations subtiles et préservant le sens (par exemple, des substitutions de mots uniques ou des modifications de caractères). Bien que ces modèles atteignent des performances élevées sur les benchmarks standards, ils restent fragiles dans les applications à enjeux élevés telles que la santé ou la finance. Les mécanismes de défense existants souffrent de limitations critiques : beaucoup sont spécifiques à l'attaque, nécessitant la connaissance de la stratégie de perturbation, ou reposent sur un réentraînement coûteux du modèle (entraînement adversarial) ou sur des méthodes de robustesse certifiée qui sont informatiquement prohibitives. De plus, les approches de détection actuelles surajustent souvent à des schémas d'attaque spécifiques ou échouent à se généraliser à travers différents jeux de données et modèles. Il existe un écart significatif pour un cadre de détection agnostique vis-à-vis de l'attaque qui ne nécessite pas de modifier le modèle victime ni de procéder à un réentraînement.

Méthodologie : Guided Perturbation Sensitivity (GPS)

Les auteurs proposent Guided Perturbation Sensitivity (GPS), un cadre de détection basé sur l'hypothèse selon laquelle les exemples adverses résident dans des régions de forte courbure près des frontières de décision, présentant une instabilité disproportionnée de leurs représentations d'embeddings par rapport au texte bénin. GPS fonctionne sans modifier le modèle cible et se compose de trois étapes principales :

1. Classement par importance (Importance Ranking) : Le système identifie d'abord les mots influents au sein d'un texte d'entrée $T$ en utilisant des heuristiques d'importance post-hoc. L'article évalue quatre stratégies :

   • Attribution de gradient (Gradient Attribution) : Rétropropagation de la perte de cross-entropie pour calculer la norme $\ell_2$ des gradients par rapport aux embeddings d'entrée.
   • Attention Rollout : Agrégation des motifs d'attention à travers les couches du transformeur pour estimer l'importance des tokens.
   • Grad-SAM : Une approche hybride combinant l'information de gradient avec les poids d'attention.
   • Ligne de base aléatoire (Random Baseline) : Un mécanisme de contrôle pour la comparaison.

2. Profilage de sensibilité séquentiel (Sequential Sensitivity Profiling) : Les $K$ mots les plus importants sont masqués séquentiellement (remplacés par le token [MASK]). Pour chaque opération de masquage, le système calcule le score de sensibilité ($s_k$), défini comme la distance cosinus entre l'embedding de référence original et l'embedding du texte masqué.

   • Observation clé : Les mots perturbés de manière adverse présentent une sensibilité au masquage nettement plus élevée que les mots naturellement importants dans un texte bénin. Cette « dérive d'embedding » constitue le signal central pour la détection.

3. Détection via BiLSTM : Les scores de sensibilité sont appariés aux scores d'importance originaux pour former un tenseur de caractéristiques $Z \in \mathbb{R}^{N \times 2}$, préservant l'ordre original des mots. Ce tenseur est traité par un classifieur BiLSTM léger pour prédire si l'entrée est bénigne ou adverse. Le BiLSTM capture les dépendances séquentielles de la trace de sensibilité-importance.

Contributions clés

• Cadre de détection novateur : Introduction de GPS, qui détecte les exemples adverses en mesurant l'instabilité des embeddings sous un masquage de mots ciblé, ne nécessitant aucune modification du modèle cible.
• Validation empirique de l'instabilité : Démonstration que les exemples adverses présentent une sensibilité d'embedding environ 2 fois plus élevée au masquage stratégique de mots par rapport aux entrées bénignes, liant empiriquement la théorie des frontières de décision à l'instabilité de la représentation.
• Évaluation exhaustive : Tests étendus à travers 18 configurations expérimentales impliquant trois jeux de données (IMDB, AG News, Yelp), trois types d'attaques (TextFooler, BERT-Attack, DeepWordBug) et deux modèles victimes (RoBERTa, DeBERTa).
• Aperçu des mécanismes de classement : Découverte que le classement d'importance basé sur le gradient surpasse significativement les méthodes basées sur l'attention et les méthodes hybrides pour les attaques au niveau du mot, avec une corrélation forte ($\rho > 0,65$) entre la qualité d'identification de la perturbation et la performance de détection.
• Généralisation et efficacité : Démonstration que GPS se généralise à des jeux de données, des attaques et des modèles non vus sans réentraînement. La méthode atteint une grande efficacité, avec $K=5$ mots masqués capturant plus de 98 % de la performance observée pour $K=50$.

Résultats

• Précision de détection : GPS atteint plus de 85 % de précision de détection à travers diverses configurations. Dans certains scénarios de haute performance (ex: DeepWordBug sur IMDB avec RoBERTa), la précision atteint 96,8 %.
• Comparaison avec l'état de l'art (SOTA) : GPS surpasse ou égale systématiquement les lignes de base de pointe comme TextShield (un ensemble de LSTMs) et la détection basée sur la netteté (sharpness). Notamment, alors que les lignes de base se dégradent considérablement sur les attaques de type caractère (DeepWordBug) dans certains jeux de données, GPS maintient une performance robuste.
• Généralisation : Le cadre démontre une forte transférabilité inter-domaine. Il se généralise efficacement à travers les changements de jeux de données (ex: Yelp $\to$ IMDB) et les changements de modèles (ex: RoBERTa $\to$ DeBERTa). Cependant, la performance chute lors du passage d'attaques plus faibles (niveau caractère) à des attaques sémantiques plus fortes, reflétant l'asymétrie modèle-attaque.
• Coût computationnel : GPS offre un compromis favorable entre précision et efficacité. Il nécessite nettement moins de temps de calcul que TextShield (souvent 5 à 10 fois plus rapide) tout en fournissant une précision compétitive ou supérieure. L'échelle linéaire du calcul avec $K$ permet aux praticiens de calibrer le système pour des environnements à ressources limitées.
• Analyse de corrélation : Une forte corrélation positive existe entre la qualité de l'identification de la perturbation (mesurée par l'NDCG) et la précision de la détection pour les attaques au niveau du mot. Cette relation dépend du jeu de données, étant la plus forte dans AG News et Yelp, mais négligeable dans IMDB, suggérant que les mécanismes de détection varient selon les caractéristiques du texte.

Signification et affirmations

L'article affirme que GPS fournit une solution pratique et agnostique vis-à-vis de l'attaque pour la détection de texte adverse. En exploitant l'instabilité fondamentale des embeddings adverses plutôt qu'en s'appuyant sur des artefacts d'attaque spécifiques ou un réentraînement coûteux, GPS comble l'écart de généralisation qui handicape les défenses actuelles.

Les auteurs soulignent que l'instabilité de l'embedding est une propriété intrinsèque des exemples adverses, observable quel que soit l'heuristique d'importance utilisé, bien que les méthodes basées sur le gradient produisent les meilleurs résultats pour les attaques au niveau du mot. La capacité du cadre à se généraliser à travers les architectures et les jeux de données sans réentraînement le positionne comme une alternative évolutive aux méthodes basées sur l'ensemble ou sur la nettetse. Ce travail suggère que les futures architectures robustes pourraient être informées par l'analyse de l'instabilité des embeddings et qu'une sélection adaptative du paramètre de masquage $K$ pourrait optimiser davantage l'équilibre entre la qualité de détection et le coût computationnel.