Compression as an Adversarial Amplifier Through Decision Space Reduction

1. Problématique et Contexte

La compression d'images est une composante omniprésente des pipelines de vision par ordinateur modernes (réseaux sociaux, systèmes embarqués, cloud), appliquée systématiquement avant le stockage, la transmission ou l'inférence.

• Hypothèse dominante : La littérature existante considère souvent la compression (ex: JPEG) comme une mesure défensive ou de « purification », capable de supprimer le bruit haute fréquence et d'atténuer les attaques adverses appliquées dans l'espace des pixels.
• Le vide de recherche : Cette vision suppose que les perturbations adverses sont appliquées avant la compression. Cependant, dans les déploiements réels, les attaques peuvent être appliquées directement sur les représentations compressées (ou après compression).
• Question centrale : Comment la compression affecte-t-elle la robustesse des classificateurs d'images lorsque l'adversaire opère dans l'espace compressé ?

2. Méthodologie

Les auteurs proposent un nouveau cadre d'évaluation et une analyse géométrique pour étudier ce phénomène.

A. Modèle de Menace (Threat Model)

Contrairement aux modèles standards où l'adversaire perturbe l'image brute $x$, ce travail considère un adversaire conscient de la compression :

1. L'image d'entrée $x$ est compressée par un opérateur $C$ (non inversible, perte d'information) pour obtenir une représentation $z = C(x)$.
2. L'adversaire applique une perturbation $\eta$ directement sur $z$ : $z' = z + \eta$, avec une contrainte de budget $\|\eta\|_p \le \epsilon$.
3. Le modèle cible $f$ effectue la prédiction sur $z'$, soit $f(z')$.
   Note technique : Les gradients sont calculés par rapport à $z$ via le classificateur $f$, sans rétropropagation à travers l'opérateur de compression $C$ (qui est souvent non différentiable, comme libjpeg).

B. Concept Clé : Réduction de l'Espace de Décision

Les auteurs identifient un mécanisme géométrique fondamental : la réduction de l'espace de décision.

• La compression est une transformation non inversible qui contracte le volume de la région de décision associée à la classe vraie autour d'une entrée.
• Cela rapproche les frontières de décision de l'entrée, réduisant les marges de classification.
• Conséquence : Une perturbation de même magnitude dans l'espace compressé a une probabilité plus élevée de traverser une frontière de décision que dans l'espace des pixels original.

C. Métriques d'Évaluation

Pour quantifier ce phénomène, les auteurs analysent des voisinages locaux 2D autour d'entrées correctes en mesurant :

• La fraction de la région de la classe vraie (contraction du volume).
• La marge moyenne (effondrement des marges).
• La densité de frontière (fréquence des transitions de classe).
• L'intrusion de frontière (points où la marge devient négative).

3. Contributions Principales

1. Formalisation d'un nouveau cadre d'attaque : Définition d'un modèle de menace réaliste où les attaques sont appliquées après compression, reflétant les pipelines de déploiement réels.
2. Identification du mécanisme géométrique : Démonstration que la compression agit comme un amplificateur d'attaques via la réduction de l'espace de décision, indépendamment de l'algorithme d'attaque spécifique.
3. Preuve empirique et visuelle : Fourniture de preuves expérimentales massives montrant un effondrement systématique des marges et une contraction des frontières de décision à travers divers benchmarks (CIFAR-10, CIFAR-100, ImageNet) et architectures (ResNet, ViT).

4. Résultats Expérimentaux

Les expériences couvrent plusieurs jeux de données et architectures, comparant les attaques standards (espace des pixels) aux variantes conscientes de la compression.

• Amplification de la vulnérabilité :

  • Les attaques appliquées après compression (ex: JPEG → PGD) sont substantiellement plus efficaces que leurs équivalents dans l'espace des pixels, même avec des budgets de perturbation identiques et des niveaux de distorsion perceptuelle (PSNR) comparables.
  • Exemple (CIFAR-100, ResNet-18) : Une attaque FGSM standard réduit la précision à 10,03 %, tandis que JPEG → FGSM la fait chuter à 8,46 %. Pour PGD, la précision tombe à 4,73 % contre 0,01 % pour le pixel (mais avec une distorsion PSNR plus faible pour la version compressée, montrant une efficacité accrue par unité de bruit).

• Asymétrie de l'ordre des opérations :

  • Compression avant attaque ($C(x) + \eta$) : Augmente drastiquement la vulnérabilité (la région de la classe vraie est déjà contractée).
  • Attaque avant compression ($C(x + \delta)$) : Peut restaurer partiellement la précision (effet de purification), car la compression atténue les composantes de haute fréquence du bruit qui traversaient la frontière.
  • Cette asymétrie confirme que la compression ne fait pas que perdre de l'information, mais restructure la géométrie de l'espace de décision.

• Robustesse des modèles entraînés :

  • L'effet d'amplification persiste même sur des modèles entraînés spécifiquement pour la robustesse adversaire (via Adversarial Training). Bien que l'écart de performance se réduise par rapport aux modèles standards, les attaques compressées restent plus efficaces, indiquant que l'entraînement adversaire standard ne suffit pas à contrer la réduction de l'espace de décision induite par la compression.

• Analyse géométrique :

  • Les visualisations montrent que lorsque la qualité de compression diminue (compression plus forte), la fraction de la région de la classe vraie diminue, la marge moyenne s'effondre et la densité de points négatifs (fausses classifications locales) augmente.

5. Signification et Implications

• Changement de paradigme : Ce travail remet en question la croyance selon laquelle la compression est intrinsèquement défensive. Dans un contexte de déploiement réel (« compression-in-the-loop »), elle constitue une surface d'attaque critique.
• Vulnérabilité systémique : La réduction de l'espace de décision est un phénomène géométrique fondamental qui rend les systèmes plus sensibles aux perturbations, indépendamment de la complexité du modèle ou de la méthode d'attaque.
• Recommandations futures :
  • Les évaluations de robustesse doivent inclure des scénarios où les attaques sont appliquées sur des données compressées.
  • De nouvelles stratégies de défense ou d'entraînement (ex: compression-aware adversarial training) sont nécessaires pour protéger les systèmes déployés dans des environnements réels où la compression est inévitable.
  • Les défenseurs doivent considérer la compression non seulement comme un outil d'efficacité, mais comme un facteur modifiant la géométrie de la décision du modèle.

En résumé, l'article démontre que la compression, loin de protéger les modèles, les rend paradoxalement plus fragiles en réduisant la marge de sécurité géométrique autour des points de données, facilitant ainsi le franchissement des frontières de décision par des adversaires.