🤖 machine learning

Feature-Space Smoothing: Certified Robustness of Deep Representations

Ce papier propose le lissage de l'espace des caractéristiques (FS), un cadre de robustesse certifiée qui convertit les encodeurs de caractéristiques en variantes lissées avec des bornes garanties de similarité cosinus sous perturbations, renforcé par un booster de lissage gaussien (GSB) plug-and-play pour améliorer la robustesse dans des modèles tels que les MLLM sans nécessiter de réentraînement.

Auteurs originaux : Song Xia, Meiwen Ding, Chenqi Kong, Wenhan Yang, Xudong Jiang

Publié 2026-05-20

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Song Xia, Meiwen Ding, Chenqi Kong, Wenhan Yang, Xudong Jiang

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous avez un garde de sécurité très intelligent et high-tech (un Modèle d'Apprentissage Profond) qui excelle à reconnaître les personnes, les objets et les scènes. Cependant, ce garde a une faiblesse secrète : si quelqu'un chuchote un son à peine audible et déformé à son oreille (une « entrée malveillante »), le garde pourrait soudainement confondre un panda avec un chien ou un ami avec un étranger. C'est ce que les chercheurs appellent une attaque par exemple antagoniste.

Ce papier présente une nouvelle méthode pour rendre ce garde de sécurité « blindé » contre ces chuchotements, sans avoir à le licencier et à en embaucher un nouveau. Ils appellent leur solution Lissage de l'Espace des Caractéristiques (FS).

Voici comment cela fonctionne, décomposé en concepts simples :

1. Le Problème : Les « Oreilles Sensibles » du Garde

Les modèles d'apprentissage profond ne se contentent pas de « voir » une image ; ils la traduisent en une liste mathématique de nombres appelée une caractéristique. Imaginez cette caractéristique comme la « note mentale » interne du garde concernant ce qu'il voit.

Le Défaut : Actuellement, si un attaquant ajoute un tout petit peu de « statique » invisible (bruit) à une image, la note mentale du garde se retrouve complètement brouillée. Une note qui disait « Panda » ressemble soudainement, mathématiquement, plus à « Chien ».
Le Risque : Parce que la note est brouillée, le garde prend une mauvaise décision.

2. La Solution : Le Bouclier « Anti-Bruit »

Les auteurs proposent d'envelopper le garde dans un bouclier spécial appelé Lissage de l'Espace des Caractéristiques.

Fonctionnement : Au lieu de regarder l'image exactement telle qu'elle est, le bouclier force le garde à regarder l'image à travers une « lentille brumeuse » qui ajoute un peu de statique aléatoire (bruit gaussien) à chaque vue.
La Magie : Si le garde peut toujours correctement identifier l'objet même en regardant à travers cette lentille brumeuse, cela prouve que l'objet est robuste. Le bouclier garantit que peu importe la quantité de « statique » qu'un attaquant ajoute (dans une certaine limite), la note mentale du garde ne dérivera jamais assez pour devenir un objet différent.
La Garantie : Le papier fournit un « certificat » mathématique (une garantie) qui dit : « Tant que l'attaque n'est pas plus forte que X, le garde ne sera définitivement pas trompé. »

3. Le Booster : Le « Booster de Lissage Gaussien » (GSB)

Il y avait un hic. La lentille brumeuse standard n'était pas assez puissante pour les gardes les plus avancés (comme les Grands Modèles de Langage Multimodaux). Les gardes étaient encore trop sensibles à la statique.

Ainsi, les auteurs ont construit un booster plug-and-play appelé le Booster de Lissage Gaussien (GSB). Imaginez cela comme une paire de bouchons d'oreille high-tech et un module d'entraînement cérébral que vous pouvez clipser sur le garde sans changer sa personnalité.

Partie A (Le Débruiteur) : C'est comme un casque à réduction de bruit qui nettoie la statique avant que le garde ne l'entende.
Partie B (Le Mappeur) : C'est un entraîneur qui aide le cerveau du garde à rester stable après avoir entendu le bruit, assurant que sa note mentale reste cohérente.
Le Résultat : Vous n'avez pas à réentraîner tout le garde depuis zéro (ce qui prendrait des années et coûterait une fortune). Vous clipsez simplement ce booster, et soudain, le garde devient incroyablement résistant aux attaques.

4. Preuve du Monde Réel : Le Test « Panda vs Chien »

Les chercheurs ont testé cela sur plusieurs types de « gardes » différents (modèles comme CLIP, SigLIP, et de grands modèles d'IA comme LLaVA).

L'Attaque : Ils ont essayé de tromper les modèles avec des attaques puissantes et invisibles conçues pour transformer une image de panda en chien, ou un requin en chat.
Le Résultat :
- Sans le bouclier : Les modèles ont été facilement trompés.
- Avec le bouclier (FS + GSB) : Les modèles sont restés obstinément corrects. Même lorsque les attaquants utilisaient les astuces les plus puissantes possibles, les modèles identifiaient toujours correctement le panda comme un panda.
- Le Certificat : Ils n'ont pas seulement deviné ; ils ont prouvé mathématiquement que les modèles étaient sûrs jusqu'à une limite spécifique.

5. Pourquoi Cela Compte

Habituellement, rendre un modèle plus sûr le rend « plus bête » (il pourrait manquer des détails ou se confondre avec des images normales). Ce papier montre que vous pouvez rendre le modèle à la fois plus sûr et intelligent.

Cela fonctionne sur différents types d'IA (reconnaissance d'images, génération de texte, et combinaison des deux).
Cela ne nécessite pas de reconstruire l'IA à partir de zéro.
Cela fournit une garantie mathématique de sécurité, plutôt que de simplement espérer que cela fonctionne.

En bref : Le papier nous offre un moyen de placer un « champ de force » autour des modèles d'IA qui garantit mathématiquement qu'ils ne seront pas trompés par des distorsions malveillantes subtiles, tout en les maintenant assez intelligents pour accomplir parfaitement leurs tâches.

Résumé technique : Lissage dans l'espace des caractéristiques pour la robustesse certifiée des représentations profondes

1. Énoncé du problème

Les modèles d'apprentissage profond modernes, en particulier les grands modèles de langage multimodaux (MLLM) comme GPT-4 et Gemini, sont très efficaces mais vulnérables aux attaques adverses. Ces attaques injectent des perturbations subtiles et imperceptibles dans des entrées propres afin d'induire des prédictions erronées en déformant les représentations de caractéristiques. Bien que des défenses empiriques (par exemple, l'entraînement adversaire) existent, elles manquent de garanties de robustesse formelles et échouent souvent face à des adversaires plus puissants et adaptatifs. De plus, les méthodes de défense certifiée existantes (par exemple, le lissage aléatoire) sont principalement conçues pour des tâches de classification avec des sorties discrètes, ce qui les rend difficiles à appliquer aux représentations de caractéristiques générales, aux tâches de régression ou aux processus de décodage complexes des MLLM. Par ailleurs, le réentraînement de grands modèles pré-entraînés pour améliorer la robustesse est prohibitif en termes de coût computationnel.

Le défi central abordé consiste à développer un cadre de défense qui offre une robustesse certifiée au niveau de la représentation des caractéristiques, reste généralisable à travers divers modèles et tâches (y compris les MLLM), et évite la nécessité d'un réentraînement coûteux ou d'un ajustement fin du modèle.

2. Méthodologie

La solution proposée se compose de deux composants principaux : le Lissage dans l'espace des caractéristiques (FS) et le Booster de régularité gaussienne (GSB).

2.1 Lissage dans l'espace des caractéristiques (FS)

FS est un cadre général qui transforme un encodeur de caractéristiques standard $f_e$ en une variante lissée $\hat{f}_e$ via un lissage gaussien.

Mécanisme : Pour une entrée $x$ , l'encodeur lissé sort l'espérance des représentations de caractéristiques sur une distribution gaussienne : $\hat{f}_e(x) = \mathbb{E}_{\epsilon \sim \mathcal{N}(0, I)}[f_e(x + \epsilon)]$ .
Garantie théorique : Les auteurs établissent une borne de similarité cosinus des caractéristiques (FCSB). Ils prouvent que sous des perturbations bornées en $\ell_2$ , la similarité cosinus entre la caractéristique propre et la caractéristique lissée adversaire est garantie d'être supérieure à une borne inférieure spécifique.
Rayon certifié : Cette borne permet de dériver un rayon certifié $R$ . Si l'amplitude de la perturbation est inférieure à $R$ , la similarité cosinus entre les caractéristiques propres et adverses est garantie de rester au-dessus d'un seuil (par exemple, 0,5).
Extension au niveau de la prédiction : Le cadre étend cette garantie au niveau des caractéristiques vers une certification au niveau de la prédiction. Pour les tâches où les prédictions peuvent être représentées comme des vecteurs normalisés (par exemple, la recherche, la classification basée sur des prototypes), la FCSB se traduit par une borne garantie sur la similarité cosinus entre la prédiction adversaire et la prédiction cible.

2.2 Booster de régularité gaussienne (GSB)

Les bornes théoriques de FS dépendent du score de robustesse gaussienne intrinsèque de l'encodeur sous-jacent. Les encodeurs pré-entraînés ont souvent une robustesse gaussienne limitée, conduisant à des rayons certifiés sous-optimaux. Pour y remédier sans réentraîner le modèle de base, les auteurs proposent le GSB, un module plug-and-play composé de :

Débruiteur gaussien ( $\mathcal{P}$ ) : Un module léger (par exemple, U-Net) placé avant l'encodeur de caractéristiques. Il est entraîné pour reconstruire les entrées propres à partir d'entrées corrompues par du bruit gaussien, atténuant ainsi le bruit avant l'extraction des caractéristiques.
Cartographe de régularité résiduelle ( $\mathcal{M}$ ) : Un module placé après l'extraction des caractéristiques. Il affine les caractéristiques purifiées pour améliorer la robustesse tout en préservant la distribution originale des caractéristiques. Il utilise une approche d'apprentissage résiduel pour assurer la stabilité sur les entrées propres.

Stratégie d'entraînement : Le GSB est entraîné de manière auto-supervisée en utilisant une fonction de perte de compromis utilité-robustesse. L'encodeur de base reste figé. Le débruiteur minimise la perte de reconstruction et la perte de cohérence des caractéristiques, tandis que le cartographe minimise la perte de cohérence des caractéristiques et la régularisation statistique (pour préserver la moyenne et la variance) ainsi qu'une perte d'identité pour les entrées propres.

3. Contributions clés

Lissage dans l'espace des caractéristiques (FS) : Un cadre de défense général qui convertit n'importe quel encodeur de caractéristiques en une variante lissée avec une borne inférieure prouvée (FCSB) sur la similarité cosinus entre les caractéristiques propres et adverses sous des perturbations $\ell_2$ .
Certification au niveau de la prédiction : Extension théorique montrant que les garanties FCSB au niveau des caractéristiques peuvent être propagées vers la robustesse au niveau de la prédiction pour les tâches impliquant des sorties vectorielles normalisées (par exemple, recherche Top-1, classification).
Booster de régularité gaussienne (GSB) : Un module plug-and-play qui améliore le score de robustesse gaussienne des encodeurs existants sans ajustement fin du modèle de base, améliorant ainsi le rayon certifié.
Évaluation systématique : Expériences complètes sur divers encodeurs de vision (CLIP, SigLIP 2, EVA-CLIP) et MLLM (LLaVA, OpenFlamingo) démontrant que FS offre une robustesse certifiée non triviale et améliore significativement les performances empiriques face à de puissantes attaques en boîte blanche.

4. Résultats expérimentaux

4.1 Robustesse certifiée

Au niveau des caractéristiques : Sur ImageNet, l'intégration du GSB avec FS a considérablement augmenté le rayon certifié moyen ( $R$ ) pour FCSB $\geq 0,5$ . Par exemple, avec $\sigma=0,5$ , le rayon moyen pour CLIP est passé de 0,101 à 0,455, et pour SigLIP 2 de 0,134 à 0,514.
Au niveau de la prédiction : Sur la classification ImageNet, FS a atteint une précision certifiée comparable au lissage aléatoire standard (RS) mais sans nécessiter de classifieur lissé séparé. Pour SigLIP 2, FS a atteint 64,0 % de précision certifiée à $\epsilon=1,00$ , comparable au RS (67,6 %).
Recherche : Sur la recherche zero-shot MS COCO, FS a fourni une précision certifiée non triviale, bien que les marges aient été plus étroites que dans la classification en raison de la nature dense des embeddings textuels.

4.2 Robustesse empirique face aux attaques en boîte blanche

Le cadre a été testé contre des attaques en boîte blanche de l'état de l'art (PGD, APGD, M-Attack, FOA, AttackVLM) sur des MLLM (LLaVA-1.5-7B, OpenFlamingo-9B) couvrant des tâches de légendage d'images, de classification et de VQA.

Légendage d'images : Sous la puissante attaque FOA, la précision de LLaVA standard est tombée à 1 %. Avec FS, la précision est montée à 65 %, et le taux de réussite de l'attaque (ASR) est tombé de 94 % à 6 %. FS a également amélioré la robustesse des bases d'entraînement adversaire (FARE, TeCoA) sans ajustement fin supplémentaire.
Classification d'images : FS a augmenté la précision de LLaVA de 3,8 % à 87,2 % sous des attaques FOA, réduisant l'ASR de 81 % à 0,2 %.
VQA : FS a préservé la précision propre (54,0 %) tout en améliorant la précision avec bruit gaussien et en réduisant l'ASR à près de zéro, alors que les bases d'entraînement adversaire (FARE, TeCoA) ont subi une dégradation significative des performances propres.

4.3 Efficacité

Le lissage au niveau des caractéristiques engendre une surcharge d'inférence inférieure au lissage de modèle complet. Avec $n_0=8$ échantillons gaussiens, le temps d'inférence pour LLaVA n'a augmenté que d'environ 0,36 seconde par image, démontrant une viabilité pratique.

5. Signification et revendications

L'article revendique que le Lissage dans l'espace des caractéristiques (FS) offre une avancée significative en déplaçant le focus de la robustesse certifiée des espaces de sortie spécifiques à la tâche vers le niveau de la représentation des caractéristiques. Cela permet :

Généralisabilité : La méthode s'applique à diverses tâches en aval (classification, recherche, génération) sans modifier la tête de prédiction ni réentraîner le modèle de base.
Intégration plug-and-play : Grâce au GSB, les grands modèles pré-entraînés existants (y compris les MLLM) peuvent être rendus robustes sans le coût computationnel d'un réentraînement complet du modèle ou d'un alignement.
Garanties prouvables : Il fournit des bornes inférieures mathématiquement prouvées sur la similarité des caractéristiques, qui se traduisent par une stabilité des prédictions, offrant un niveau de confiance que les défenses empiriques n'ont pas.

Les auteurs reconnaissent les limitations, notant que la certification actuelle est restreinte aux perturbations bornées en $\ell_2$ et repose sur des règles de décision basées sur la similarité cosinus, ce qui pourrait ne pas couvrir tous les comportements de décodage ouverts des MLLM. Les travaux futurs visent à étendre le cadre à d'autres modèles de menaces (par exemple, $\ell_\infty$ , attaques sémantiques) et à des tâches de génération plus larges.