Dummy-Aware Weighted Attack (DAWA): Breaking the Safe Sink in Dummy Class Defenses

1. Problématique : L'illusion de robustesse des défenses à classes factices

L'évaluation de la robustesse des réseaux de neurones profonds (DNN) face aux exemples adverses fait face à un défi critique : l'émergence de nouvelles paradigmes de défense qui exploitent les limites des méthodes d'évaluation existantes.

L'article se concentre spécifiquement sur les défenses basées sur les "Dummy Classes" (classes factices). Ces défenses introduisent une classe supplémentaire, artificielle, agissant comme un "puits de sécurité" (safe sink).

• Mécanisme de défense : Au lieu de forcer un exemple adversaire à être classé dans sa classe originale (ce qui est difficile), la défense guide explicitement les exemples perturbés vers cette classe factice.
• Le problème d'évaluation : Les attaques standard (comme AutoAttack) évaluent le succès d'une attaque uniquement si la prédiction du modèle n'est pas la classe vraie ($y$). Si l'attaque pousse l'exemple vers la classe factice ($y+K$), l'attaque est considérée comme réussie par les métriques traditionnelles.
• La réalité : Cependant, du point de vue fonctionnel, la défense a réussi : l'exemple n'est pas classé dans une mauvaise classe réelle, mais dans une classe de récupération. Cela crée une sur-estimation sévère de la robustesse. Les défenses semblent robustes car elles "captent" les attaques dans le puits de sécurité, alors qu'elles sont en réalité vulnérables à des attaques qui visent à faire basculer l'exemple vers une autre classe réelle incorrecte.

2. Méthodologie : DAWA (Dummy-Aware Weighted Attack)

Pour combler ce fossé, les auteurs proposent DAWA, une nouvelle méthode d'attaque conçue pour briser l'illusion du "puits de sécurité".

A. Reformulation de l'objectif d'attaque

Contrairement aux attaques classiques qui minimisent simplement la marge entre la classe vraie et la meilleure autre classe ($z_y - \max_{i \neq y} z_i < 0$), DAWA reformule l'objectif pour les défenses à classes factices.
Pour une attaque réussie, il faut que la prédiction tombe sur une classe réelle incorrecte. Cela signifie que le maximum des logits des classes réelles (hors la vraie et la factice) doit dépasser le maximum entre la classe vraie et sa paire factice :
$$\max(z_y, z_{y+K}) - \max_{i \notin \{y, y+K\}} z_i < 0$$

B. Fonction de perte adaptative

DAWA utilise une fonction de perte pondérée qui cible simultanément la classe vraie ($y$) et la classe factice ($y+K$) :

1. Double ciblage : La perte est conçue pour réduire la confiance du modèle à la fois envers la classe vraie et envers la classe factice associée.
2. Pondération adaptative ($\alpha$) : L'algorithme utilise un paramètre de poids $\alpha$ qui détermine dynamiquement l'importance relative de la classe vraie par rapport à la classe factice.
   • $\alpha$ est calculé via une fonction sigmoïde lissée : $\alpha = \frac{1}{1 + e^{-c \cdot (z_y - z_{y+K})}}$.
   • Cela permet une transition douce : si la classe vraie est plus probable, l'attaque se concentre davantage sur elle, et vice-versa. Cela évite les problèmes de non-différentiabilité des seuils binaires.
3. Utilisation de la perte MIFPE : Pour éviter les erreurs numériques liées à l'arithmétique flottante (un problème connu des attaques basées sur le gradient), DAWA intègre la fonction de perte MIFPE (proposée par [34]), qui s'est révélée très efficace et stable.

C. Algorithme

DAWA est implémenté comme une attaque en boîte blanche itérative (similaire à PGD) avec :

• Une initialisation aléatoire.
• Une mise à jour du gradient utilisant le signe du gradient de la perte DAWA.
• Un plan de pas de temps (step-size) en cosinus.
• Une mise à jour avec momentum pour accélérer la convergence.

3. Contributions Clés

1. Révélation du biais d'évaluation : Les auteurs identifient et démontrent mathématiquement pourquoi AutoAttack et autres attaques standards sur-estiment systématiquement la robustesse des défenses à classes factices (alignement parfait entre l'objectif de l'attaque et le mécanisme de défense).
2. Proposition de DAWA : Introduction d'une nouvelle méthodologie d'attaque qui cible explicitement le mécanisme de récupération (la classe factice) en plus de la classe vraie, utilisant un poids adaptatif pour naviguer efficacement hors du "puits de sécurité".
3. Benchmark fiable : Fourniture d'un nouvel étalon pour évaluer ces défenses, montrant que les métriques actuelles sont trompeuses.

4. Résultats Expérimentaux

Les expériences ont été menées sur les ensembles de données CIFAR-10 et CIFAR-100 avec une perturbation $\ell_\infty$ ($\epsilon = 8/255$), sur des modèles défendus par trois variantes de défenses à classes factices (PGD-AT+DUCAT, MART+DUCAT, Consistency-AT+DUCAT).

• Réduction drastique de la robustesse mesurée :
  • Sur CIFAR-10 avec la défense PGD-AT+DUCAT, AutoAttack rapporte une robustesse de 58,61 %.
  • DAWA (en seulement 100 itérations) fait chuter cette robustesse à 32,01 %.
  • DAWAmt (1000 itérations) la réduit encore davantage à 29,52 %.
  • Cela représente une sur-estimation d'environ 30 points de pourcentage par les méthodes traditionnelles.
• Efficacité supérieure : DAWA atteint des taux de réussite supérieurs à AutoAttack avec moins de 2 % du nombre d'itérations (100 itérations contre 4900 pour AutoAttack). La convergence est extrêmement rapide (dépassant AutoAttack dès la 3ème itération).
• Échec des attaques classiques : Les attaques standards (PGD, C&W, MIFPE) échouent complètement à percer ces défenses, confirmant que le problème n'est pas la puissance de calcul, mais l'objectif de l'attaque.

5. Signification et Impact

Ce travail met en lumière un danger majeur dans le domaine de l'apprentissage automatique robuste : l'adaptation des défenses aux métriques d'évaluation.

• Avertissement : Les défenses peuvent sembler invincibles non pas parce qu'elles sont intrinsèquement sûres, mais parce qu'elles exploitent les failles des outils d'évaluation existants.
• Nécessité d'évolution : Il est impératif que les méthodologies d'évaluation évoluent en parallèle des défenses. Une évaluation fiable doit comprendre le mécanisme interne de la défense (ici, la classe factice) et cibler les vulnérabilités réelles (la classification erronée vers une autre classe réelle).
• Futur : DAWA sert de preuve de concept pour le développement de futures attaques "conscientes de la défense" (defense-aware), capables de s'adapter dynamiquement aux nouvelles stratégies de protection.

En résumé, l'article démontre que la "sécurité" affichée par les défenses à classes factices est une illusion créée par des outils d'évaluation inadaptés, et propose DAWA comme la solution nécessaire pour révéler la véritable vulnérabilité de ces systèmes.