💻 computer science

Improving Adversarial Robustness of Zero-Shot CLIP with Confidence-Aware Weighting

Cet article propose la pondération sensible à la confiance (Confidence-Aware Weighting, CAW), une nouvelle méthode qui améliore la robustesse adversaire des modèles CLIP zero-shot en priorisant les échantillons incertains grâce à une perte sensible à la confiance et en préservant la cohérence sémantique via l'alignement de caractéristiques, surpassant ainsi les approches de pointe tant en termes de robustesse que d'efficacité de la mémoire.

Auteurs originaux : Nikoo Naghavian, Mostafa Tavassolipour

Publié 2026-07-28

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Nikoo Naghavian, Mostafa Tavassolipour

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez un monde où les ordinateurs peuvent « voir » et « lire » en même temps, apprenant de l'ensemble d'Internet pour comprendre qu'une photo de golden retriever correspond aux mots « un chien heureux ». C'est la magie des modèles vision-langage, comme le célèbre CLIP. Ils sont comme des étudiants super intelligents qui ont lu tous les livres et vu toutes les photos en ligne, ce qui leur permet de deviner ce qu'il y a dans une image même s'ils n'ont jamais vu ce type spécifique d'animal auparavant. Cependant, tout comme un humain qui pourrait être trompé par une illusion d'optique ingénieuse, ces modèles d'IA ont une faiblesse secrète. Si vous ajoutez une quantité infime et invisible de « bruit » à une image — comme saupoudrer quelques grains de sable numérique que l'œil humain ne peut pas voir — l'ordinateur peut soudainement être complètement confus, pensant qu'un chat est un grille-pain. C'est ce qu'on appelle une « attaque adversaire », et c'est un problème majeur car cela signifie que ces outils puissants peuvent être facilement dupés dans des situations réelles.

La grande question que se posent les scientifiques est la suivante : comment rendre ces modèles plus robustes sans qu'ils oublient tout ce qu'ils savent déjà ? Habituellement, pour apprendre à un ordinateur à être robuste, il faut lui montrer des milliers de ces images tricheuses et bruyantes pendant l'entraînement. Mais il y a un piège : si vous traitez chaque image de la même manière, l'ordinateur perd du temps à étudier les images faciles (qu'il comprend déjà) et pourrait quand même rater les plus difficiles qui nécessitent vraiment son aide. C'est comme un professeur qui passerait tout le cours à réviser un problème de mathématiques que l'élève a déjà résolu parfaitement, tout en ignorant le problème qui pose réellement problème à l'élève lors de l'examen.

Cet article présente une nouvelle stratégie ingénieuse appelée Pondération Sensible à la Confiance (CAW - Confidence-Aware Weighting) pour résoudre ce problème. Les chercheurs ont réalisé que toutes les images difficiles ne se valent pas. Certaines images sont si déroutantes que le modèle devine à peine correctement, tandis que d'autres ne sont que légèrement incertaines. Au lieu de donner la même importance à chaque image déroutante, le CAW agit comme un tuteur intelligent qui prête une attention particulière aux élèves qui éprouvent le plus de difficultés.

Voici comment la méthode fonctionne, en utilisant une analogie simple : Imaginez que le modèle d'IA est un étudiant passant un examen.

La partie « Sensible à la Confiance » : Lorsqu'un étudiant se trompe ou est incertain, l'enseignant (le système CAW) dit : « D'accord, celui-ci est difficile ! Concentrons-nous sur celui-là. » Il accorde un poids supplémentaire aux images où le modèle est le moins confiant. Si le modèle est déjà assez sûr de lui concernant une image, l'enseignant dit : « Tu gères, passons à la suite. » Cela garantit que le modèle consacre son énergie à corriger ses plus grandes faiblesses plutôt qu'à réapprendre ce qu'il sait déjà.
La partie « Alignement des Caractéristiques » : La seconde partie de l'astuce consiste à s'assurer que l'étudiant n'oublie pas ce qu'il a appris dans les cours précédents. Lorsque le modèle regarde une image difficile et bruitée, le CAW vérifie si l'« image interne » qu'il voit correspond à l'« image propre » qu'il a vue auparavant. C'est comme dire à l'étudiant : « Même si cette photo est floue, rappelle-toi que c'est toujours un chien, pas un grille-pain. » Cela empêche le modèle de s'embrouiller et de perdre ses connaissances originales.

Les chercheurs ont testé cette idée sur une collection massive de jeux de données d'images, incluant TinyImageNet et 14 autres allant des animaux de compagnie et des fleurs aux scanners médicaux. Ils ont opposé leur nouvelle méthode à d'autres techniques de haut niveau en utilisant certaines des « attaques » les plus puissantes disponibles, y compris un test automatisé puissant appelé AutoAttack. Les résultats sont prometteurs : la méthode CAW n'a pas seulement survécu aux attaques ; elle a en fait obtenu de meilleurs résultats que les meilleures méthodes précédentes. Par exemple, en moyenne sur 15 jeux de données différents, elle a amélioré la capacité du modèle à rester correct sous l'attaque d'environ 2 % par rapport au second, tout en utilisant moins de mémoire informatique.

Ce qui est vraiment cool, c'est que le modèle n'est pas seulement devenu meilleur pour combattre les attaques ; il est aussi devenu meilleur pour regarder des images normales et propres. Les chercheurs ont découvert qu'en se concentrant sur les exemples « difficiles », le modèle a appris une façon plus stable de voir le monde. Lorsqu'ils ont examiné comment le modèle « portait attention » à différentes parties d'une image, ils ont constaté qu'avant l'entraînement, le modèle était facilement distrait par le bruit, regardant l'arrière-plan ou des pixels aléatoires. Après l'utilisation du CAW, le modèle a appris à se concentrer sur l'objet réel, même lorsque l'image subissait une attaque.

En résumé, cet article suggère qu'en étant un peu plus sélectifs sur les exemples déroutants que nous étudions, nous pouvons construire une IA qui est à la fois plus intelligente et plus robuste. C'est une étape vers la création de modèles vision-langage suffisamment fiables pour être utilisés dans le monde réel, où les choses ne sont pas toujours parfaites et où l'on essaie parfois de nous tromper. Bien que la méthode soit actuellement concentrée sur la partie image du modèle et testée principalement sur des attaques en « boîte blanche » (où l'attaquant connaît les secrets du modèle), elle ouvre une nouvelle porte pour rendre l'IA plus résiliente sans sacrifier sa capacité à apprendre de nouvelles choses.

Résumé Technique : Amélioration de la Robustesse Adversaire de CLIP Zero-Shot via une Pondération Sensible à la Confiance

Énoncé du Problème
Les modèles vision-langage (VLM), en particulier CLIP, font preuve d'une généralisation zero-shot impressionnante à travers diverses tâches. Cependant, ils restent hautement vulnérables aux attaques adverses, où des perturbations imperceptibles provoquent des changements de prédiction significatifs. Bien que l'entraînement adversarial soit une approche standard pour améliorer la robustesse, les méthodes existantes appliquées aux VLM à grande échelle font face à deux limitations principales :

Optimisation Inefficace : Les approches actuelles traitent tous les exemples adverses de la même manière pendant l'entraînement, indépendamment de leur difficulté ou de leur stabilité. Cela ignore le fait que les échantillons présentant une faible confiance robuste (prédictions instables) contribuent davantage à la vulnérabilité que les échantillons hautement confiants.
Compromis Ressources et Performance : Les méthodes de pointe comme PMG-AFT et TGA-ZSR nécessitent souvent une utilisation élevée de la mémoire ou peinent à maintenir la précision robuste sous des attaques fortes (ex: AutoAttack) sans compromettre la précision sur les données propres (clean accuracy) ou la généralisation.

Méthodologie : Pondération Sensible à la Confiance (CAW)
Les auteurs proposent la Pondération Sensible à la Confiance (CAW), un cadre de fine-tuning adversarial conçu pour renforcer la robustesse zero-shot des modèles CLIP pré-entraînés tout en préservant leurs capacités de généralisation. La méthode introduit une fonction de perte composite ( $L_{total}$ ) comprenant trois termes :

Perte Contrastive Standard ( $L_{CE}$ ) : La perte d'entropie croisée de base utilisée pour aligner les plongements (embeddings) d'image et de texte.
Perte Sensible à la Confiance ( $L_{CA}$ ) : Ce composant traite l'inefficacité du traitement égal de tous les échantillons. Il pondère la divergence de Kullback-Leibler (KL) entre la distribution de prédiction du modèle affiné sur des entrées adverses ( $P_{adv}$ $P_{a d v}$ ) et celle du modèle pré-entraîné gelé sur des entrées propres ( $P_{clean}$ $P_{c l e an}$ ).
- Mécanisme : La divergence KL est pondérée par $(1 - P_{adv, i, y_i})$ , où $P_{adv, i, y_i}$ est la probabilité prédite de la classe réelle pour l'échantillon adverse.
- Effet : Cette pondération attribue une importance accrue aux exemples adverses "difficiles" où le modèle est incertain (faible confiance), forçant le modèle à se concentrer sur la stabilisation de ces cas vulnérables. Les auteurs utilisent spécifiquement $KL(P_{adv} \parallel P_{clean})$ plutôt que l'inverse, arguant que cela pénalise mieux les prédictions incorrectes à haute probabilité dans la distribution adverse.
Régularisation d'Alignement de Caractéristiques ( $L_{Reg}$ ) : Pour éviter le surapprentissage et l'oubli des connaissances pré-entraînées, ce terme minimise la distance $\ell_2$ $ℓ_{2}$ entre les caractures d'image de l'entrée adverse traitée par l'encodeur affiné et la même entrée traitée par l'encodeur pré-entraîné gelé.
- Distinction : Contrairement aux méthodes comme FARE qui alignent les représentations figées propres avec les représentations adverses affinées, CAW aligne les représentations adverses des deux encodeurs pour stabiliser les représentations de caractéristiques durant le processus de fine-tuning.

L'objectif total est formulé comme suit :
$L_{total} = L_{CE} + \alpha \cdot L_{CA} + \beta \cdot L_{Reg}$

Contributions Clés

Mécanisme de Pondération Novateur : Le papier introduit une stratégie de pondération sensible à la confiance adaptée aux VLM zero-shot, déplaçant l'attention vers les échantillons adverses instables et à faible confiance pour améliorer la robustesse sans sacrifier la précision sur les données propres.
Architecture à Double Perte : La combinaison d'une divergence KL pondérée par la confiance et d'un terme de régularisation au niveau des caractéristiques crée un équilibre entre l'apprentissage de caractéristiques robustes et la conservation de la connaissance sémantique issue du pré-entraînement.
Efficacité : La méthode proposée atteint des performances de pointe tout en utilisant moins de mémoire que les baselines concurrentes (PMG-AFT et TGA-ZSR).

Résultats Expérimentaux
Les auteurs ont évalué CAW sur le jeu de données TinyImageNet pour le fine-tuning et ont testé la performance zero-shot sur 15 jeux de données supplémentaires couvrant la reconnaissance d'objets généraux, la classification fine, la reconnaissance de scènes, des tâches spécifiques à un domaine et l'imagerie médicale.

AutoAttack ( $\epsilon = 1/255$ ) : CAW a obtenu la précision robuste moyenne la plus élevée (33,51 %) sur 15 jeux de données, surpassant PMG-AFT (31,55 %) et TGA-ZSR (31,63 %). Il a montré une force particulière sur des jeux de données comme CIFAR-10 et Caltech-101.
Attaques PGD-100 et CW : Sous ces attaques, CAW a surpassé PMG-AFT tant en précision robuste qu'en précision propre. Par exemple, sous PGD-100, CAW a atteint une précision robuste moyenne de 34,91 % contre 33,20 % pour PMG-AFT, tout en améliorant également la précision propre (53,75 % contre 47,28 %).
Efficacité Mémoire : CAW a nécessité environ 15 986 Mo de mémoire, ce qui est inférieur à PMG-AFT (18 449 Mo) et nettement inférieur à TGA-ZSR (21 227 Mo).
Analyse :
- Analyse de Confiance : Les graphiques de dispersion ont révélé qu'après le fine-tuning, la corrélation entre la confiance propre et la confiance robuste a augmenté, avec un déplacement vers la diagonale, indiquant une stabilité accrue. La méthode a efficacement réduit les échantillons "Clean Only" (corrects sur les données propres, faux sur les adverses) sans créer de classifications erronées trop confiantes.
- Cartes d'Attention : Les visualisations ont montré que CAW aide le modèle à maintenir une attention cohérente et sémantiquement significative sur les régions pertinentes de l'objet, tant pour les exemples propres qu'adverses, alors que les modèles pré-fine-tuning portent souvent attention au bruit de fond non pertinent lors d'une attaque.

Signification et Revendications
Le papier affirme que CAW représente une étape importante pour sécuriser les VLM zero-shot contre les menaces adverses. En ciblant explicitement l'incertitude du modèle, la méthode apprend des caractéristiques plus transférables et robustes. Les auteurs soulignent que leur approche améliore la robustesse sous des attaques fortes (AutoAttack, PGD, CW) tout en maintenant des empreintes mémoire plus faibles, ce qui en fait une solution pratique pour les modèles à grande échelle.

Limites
Les auteurs reconnaissent plusieurs limitations :

La méthode est actuellement spécifique à l'architecture CLIP et n'a pas été testée sur d'autres VLM.
Elle ne traite que les perturbations dans l'encodeur d'image, laissant l'encodeur de texte non abordé malgré son importance dans les VLM.
L'évaluation est limitée aux attaques standard en boîte blanche (white-box) ; les attaques en boîte noire (black-box), adaptatives et les rayons de perturbation plus larges n'ont pas été explorés.

Articles similaires