💻 computer science

Certified vs. Empirical Adversarial Robust-ness via Hybrid Convolutions with Attention Stochasticity

L'article présente HyCAS, un cadre de défense adversaire novateur qui unifie la normalisation spectrale déterministe avec des mécanismes stochastiques d'attention et de projection pour réduire simultanément l'écart entre la robustesse certifiée en L2 et la robustesse empirique en L∞, tout en maintenant une forte généralisation sur des benchmarks d'imagerie diversifiés.

Auteurs originaux : Joy Dhar, Song Xia, Manish Kumar Pandey, Maryam Haghighat, Azadeh Alavi, Ferdous Sohel, Wenyu Zhang, Nayyar Zaidi

Publié 2026-05-05

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Joy Dhar, Song Xia, Manish Kumar Pandey, Maryam Haghighat, Azadeh Alavi, Ferdous Sohel, Wenyu Zhang, Nayyar Zaidi

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous avez un gardien de sécurité très intelligent (une IA) qui vérifie les pièces d'identité à l'entrée d'un bâtiment. Ce gardien est excellent pour reconnaître les gens, mais un voleur astucieux (une « attaque par adversaire ») peut porter un masque minuscule, presque invisible, ou modifier sa posture juste assez pour tromper le gardien et se faire entrer.

Depuis longtemps, les chercheurs en sécurité ont essayé deux approches différentes pour résoudre ce problème :

L'approche de « durcissement » : Rendre les yeux du gardien plus perçants et les entraîner sur des milliers de faux masques. Cela fonctionne bien en pratique, mais on ne peut jamais être mathématiquement certain à 100 % que le gardien ne sera pas trompé par une nouvelle astuce.
L'approche du « bandeau » : Mettre un bandeau au gardien et lui demander de deviner la pièce d'identité à partir d'une version floue et bruitée du visage. Cela offre une garantie mathématique (un « certificat ») qu'il ne sera pas trompé au-delà d'une certaine distance, mais cela rend le gardien beaucoup plus lent et moins précis pour reconnaître les vraies personnes.

HyCAS est un nouveau système de sécurité qui tente de tirer le meilleur des deux mondes. C'est comme donner au gardien une paire de lunettes spéciales et intelligentes qui combinent une lentille ultra-perçante avec un générateur de brouillard intégré et mobile.

Voici comment HyCAS fonctionne, décomposé en parties simples :

1. Le « Squelette Rigide » (Le Cœur Déterministe)

D'abord, le système construit un squelette très strict et rigide pour le cerveau du gardien. En termes mathématiques, il s'agit d'un réseau 1-Lipschitz.

L'analogie : Imaginez que le cerveau du gardien est fait de poutres en acier. Peu importe la force avec laquelle vous poussez ou tirez sur l'entrée (la carte d'identité), la structure interne ne peut se plier que d'une quantité minuscule et prévisible. Cela empêche le voleur de trouver un « point faible » pour se faufiler.

2. Le « Brouillard Mobile » (Les Parties Stochastiques)

Un squelette rigide seul reste prévisible. Si un voleur sait exactement comment l'acier se plie, il peut encore le tromper. Ainsi, HyCAS ajoute deux couches de « brouillard » qui changent à chaque fois que le gardien regarde une pièce d'identité :

Projections Aléatoires : Imaginez que le gardien regarde soudainement la pièce d'identité à travers un kaléidoscope qui réarrange les couleurs et les motifs de manière aléatoire à chaque fois.
Bruit d'Attention : Imaginez que la vision du gardien est affectée par un peu de neige ou de « statique » sur l'écran, mais que cette statique se déplace de manière contrôlée.
L'analogie : Comme le brouillard et le kaléidoscope changent à chaque fois, le voleur ne peut pas planifier une seule astuce qui fonctionne deux fois. Il doit deviner, et sa devinette risque d'échouer.

3. La « Fusion Magique » (Convolutions Hybrides)

L'article appelle cela HyCAS. Il prend le squelette en acier rigide et le mélange avec le brouillard mobile.

Le Résultat : Même avec toute cette randomisation, le système reste mathématiquement « rigide » (il devient maintenant un réseau 2-Lipschitz). Cela signifie que les chercheurs peuvent toujours rédiger un certificat mathématique affirmant : « Nous garantissons que ce gardien ne sera pas trompé par un déguisement inférieur à X. »
L'Avantage : Contrairement à l'ancienne méthode du « bandeau », ce système ne perd pas sa capacité à voir clairement les vraies personnes. Il reste perçant tout en étant imprévisible pour les voleurs.

Qu'ont-ils prouvé ?

Les chercheurs ont testé ce nouveau gardien sur une grande variété de « bâtiments » (ensembles de données) :

Bâtiments Standards : Comme CIFAR-10 et ImageNet (photos du quotidien).
Bâtiments Spécialisés : Comme des radiographies médicales (scans thoraciques), des photos de lésions cutanées et la reconnaissance faciale.

Les Résultats :

Garanties Plus Fortes : HyCAS a prouvé qu'il pouvait résister aux attaques mieux que les méthodes « certifiées » précédentes. Par exemple, sur les radiographies médicales, il a amélioré la marge de sécurité garantie d'environ 7,3 %.
Meilleure Défense Réelle : Il a également mieux résisté aux tentatives de piratage réelles et puissantes (attaques empiriques) que les méthodes « empiriques » précédentes, améliorant la sécurité jusqu'à 3,1 % sur les données de lésions cutanées.
Pas de Compromis : Habituellement, rendre un système plus sûr le rend plus bête (moins de précision sur les tâches normales). HyCAS a réussi à devenir plus sûr sans sacrifier sa capacité à identifier correctement les images normales.

Le Bémol (Coût)

L'article est honnête sur l'inconvénient. Pour faire fonctionner ce « brouillard intelligent », le système doit effectuer beaucoup plus de calculs.

L'analogie : C'est comme embaucher trois gardiens au lieu d'un, ou demander à un gardien de regarder à travers trois kaléidoscopes différents en même temps.
Le Coût : Le système utilise environ 15 fois plus de puissance de calcul (FLOPs) et prend plus de temps pour traiter une image qu'un gardien standard. Cependant, les auteurs affirment que cela est acceptable dans des situations à haut risque (comme le diagnostic médical ou la sécurité) où être certain à 100 % vaut le temps et l'argent supplémentaires.

En Résumé

HyCAS est une nouvelle façon de construire une IA qui est mathématiquement prouvable (on peut prouver qu'elle est sûre) et pratiquement robuste (elle arrête réellement les pirates dans le monde réel). Elle y parvient en construisant une structure rigide puis en la secouant avec une randomisation contrôlée, rendant impossible pour les attaquants de prédire comment l'IA réagira, tout en maintenant l'IA suffisamment perçante pour accomplir sa tâche.

Résumé Technique : Robustesse Adversariale Certifiée vs Empirique via des Convolutions Hybrides avec Stochasticité de l'Attention (HyCAS)

1. Énoncé du Problème

Les modèles d'apprentissage profond en vision par ordinateur restent vulnérables aux attaques adverses, posant des risques significatifs pour des applications critiques pour la sécurité telles que la conduite autonome, la détection de fraude et l'aide à la décision clinique. Les stratégies de défense existantes relèvent généralement de deux catégories, qui souffrent toutes deux de limitations importantes :

Défenses Empiriques : Des méthodes comme l'Entraînement Adversaire (AT) maximisent la robustesse face à des attaques spécifiques mais manquent souvent de garanties formelles et sont vulnérables à des attaques plus puissantes et adaptées (par exemple, APGD, AutoAttack).
Défenses Certifiées : Des techniques comme le Lissage Aléatoire (RS) fournissent des garanties de robustesse prouvables (généralement sous des normes $\ell_2$ ) mais souffrent souvent d'un compromis rigide où de grands budgets de bruit érodent la précision sur les données propres, ou elles échouent à se généraliser aux fortes attaques empiriques $\ell_\infty$ .

De plus, de nombreuses défenses existantes sont validées principalement sur des ensembles de données d'images naturelles, laissant leur efficacité sur des distributions spécifiques à un domaine, comme l'imagerie médicale, incertaine. Il existe un besoin critique d'une défense qui réduit simultanément l'écart entre les certificats $\ell_2$ prouvables et la robustesse empirique $\ell_\infty$ , tout en maintenant une forte généralisation à travers divers benchmarks d'imagerie.

2. Méthodologie : HyCAS

Les auteurs proposent Hybrid Convolutions with Attention Stochasticity (HyCAS), une architecture de défense randomisée qui unifie des contraintes déterministes de Lipschitz avec un lissage stochastique. L'innovation centrale est l'injection d'un bruit contrôlé et indépendant des données à l'intérieur de l'architecture du réseau, et non uniquement à l'entrée, pour créer un réseau globalement $\le 2$ -Lipschitz admettant une certification formelle.

Composants Architecturaux

HyCAS remplace les couches de convolution standard par trois flux parallèles, chacun conçu pour être $\le 2$ -Lipschitz. Ces flux sont fusionnés via une porte convexe par canal, indépendante des données.

FDPAN (Projection Déterministe Sensible aux Fréquences avec Bruit d'Attention) :
- Combine un noyau déterministe 1-Lipschitz avec deux résidus randomisés.
- Noyau : Utilise un masque de Transformée en Cosinus Discrète (DCT) passe-bas pour éliminer les bandes de hautes fréquences fragiles, suivi d'une matrice Jacobienne orthogonale (1-Lipschitz) pour le brouillage des canaux, et d'une convolution normalisée spectralement (SNC).
- Stochasticité : Injecte du Bruit d'Attention Randomisé (RANI) immédiatement après le noyau déterministe et à nouveau comme résidu, garantissant que le flux reste $\le 2$ -Lipschitz.
SNCAN (Convolutions Normalisées Spectralement avec Bruit d'Attention) :
- Remplace les convolutions standard par des Convolutions Normalisées Spectralement (SNC) pour imposer une borne 1-Lipschitz sur le noyau.
- Intègre le module RANI pour injecter une stochasticité fine et indépendante des données, transformant le bloc déterministe en une défense randomisée tout en maintenant l'enveloppe $\le 2$ -Lipschitz.
RPFAN (Filtre de Projection Aléatoire avec Bruit d'Attention) :
- Exploite les garanties d'embedding de Johnson-Lindenstrauss via des filtres de projection aléatoire.
- Pré-mélange : Utilise un mélangeur de canaux orthogonal $1\times1$ pour égaliser l'énergie des canaux.
- Normalisation Spectrale : Applique un schéma d'itération de puissance en deux étapes, sensible aux lots, pour redimensionner le filtre de projection aléatoire, garantissant qu'il est 1-Lipschitz.
- Stochasticité : Combine la projection 1-Lipschitz avec le module RANI pour atteindre une borne $\le 2$ -Lipschitz.
RANI (Injection de Bruit d'Attention Randomisé) :
- Un mécanisme qui injecte un masque d'attention borné et indépendant des données $M_\omega \in [0, 1]^d$ dans les cartes de caractéristiques.
- Formellement, pour une application déterministe $h$ , la sortie RANI est $\hat{h} = h \odot M_\omega$ .
- L'article démontre que cette opération est 2-Lipschitz, convertissant efficacement des blocs déterministes 1-Lipschitz en blocs randomisés 2-Lipschitz.

Garanties Théoriques

Constante de Lipschitz : Les auteurs démontrent que chaque flux constitutif (FDPAN, SNCAN, RPFAN) est individuellement $\le 2$ -Lipschitz. La fusion convexe de ces flux préserve cette borne.
Certificat : En moyennant les logits sur le bruit interne $\Omega$ , la carte de logits attendue $Z(x)$ reste $\le 2$ -Lipschitz. Cela permet un certificat $\ell_2$ basé sur la marge : si l'écart entre les deux logits attendus les plus élevés est $\Delta(x)$ , le modèle est prouvé robuste à toute perturbation $\delta$ où $\|\delta\|_2 < \Delta(x)/4$ .

Entraînement et Inférence

Entraînement : Le modèle est entraîné en utilisant une fonction de perte standard sur des entrées perturbées par du bruit gaussien (style Lissage Aléatoire) et la stochasticité interne des flux. Un entraînement adversaire est également employé pour améliorer la robustesse empirique.
Inférence : Deux certificats sont fournis : un certificat standard de Lissage Aléatoire (RS) basé sur les probabilités de classe et un certificat de marge Lipschitz déterministe basé sur les logits attendus.

3. Contributions Clés

Architecture HyCAS : Introduction d'une défense contrainte par Lipschitz randomisée qui intègre un noyau déterministe 1-Lipschitz avec deux modules stochastiques (filtres de projection aléatoire normalisés spectralement et bruit d'attention randomisé).
Garanties Théoriques : Dérivation d'un certificat de robustesse $\ell_2$ serré pour HyCAS, prouvant que le réseau est globalement $\le 2$ -Lipschitz et fournissant un certificat ponctuel valide.
Conception Plug-and-Play : Une conception modulaire qui peut être intégrée dans des backbones CNN standards (par exemple, ResNet) pour former une défense randomisée admettant une certification formelle.
Évaluation Complète : Expériences extensives démontrant que HyCAS surpasse les défenses certifiées et empiriques de pointe précédentes sur huit benchmarks divers, incluant des images naturelles (CIFAR-10/100, ImageNet) et des ensembles de données d'imagerie médicale (NIH Chest X-ray, HAM10000, EyePACS, NCT-CRC-HE-100K).

4. Résultats Expérimentaux

L'article rapporte des résultats sur huit benchmarks, évaluant à la fois la précision certifiée $\ell_2$ et la robustesse empirique face à de fortes attaques $\ell_\infty$ (APGD-20 et AutoAttack).

Précision Certifiée : HyCAS atteint une précision certifiée de l'état de l'art sur tous les niveaux de bruit ( $\sigma$ $σ$ ) et rayons ( $r$ $r$ ).
- Sur CIFAR-10, à $r=0.75$ et $\sigma=0.25$ , HyCAS atteint 44,3 % de précision certifiée, surpassant la meilleure base (ARS) de 5,2 à 18,2 %.
- Sur ImageNet, à $r=1.5$ et $\sigma=0.50$ , HyCAS atteint 32,7 %, dépassant les bases de 2,1 à 32,7 %.
- Sur les ensembles de données médicaux, HyCAS montre des gains significatifs, par exemple jusqu'à 7,3 % d'amélioration sur NIH Chest X-ray et 3,1 % sur HAM10000 par rapport aux bases de pointe.
Robustesse Empirique : HyCAS maintient une haute robustesse face à de fortes attaques $\ell_\infty$ $ℓ_{\infty}$ sans sacrifier la précision sur les données propres.
- Sur NIH-CXR, HyCAS surpasse la base de pointe (CTRW) de 1,8 à 4,2 % sous APGD-20 et AutoAttack.
- Sur HAM10000, il améliore la précision robuste de 1,9 à 3,1 %.
- Dans des configurations d'attaque plus fortes (augmentation de la taille de perturbation $\epsilon$ et des étapes d'itération), HyCAS se dégrade plus gracieusement que les bases, maintenant un avantage de 7 à 12 % à 100 étapes d'attaque sur CIFAR-100.
Compromis : La méthode offre un compromis contrôlable entre certificat et robustesse empirique. L'augmentation du bruit de lissage $\sigma$ améliore la précision certifiée à grand rayon avec un impact minimal sur la précision à petit rayon ou sur les données propres.

5. Importance et Revendications

L'article revendique que HyCAS comble avec succès le fossé de longue date entre la robustesse adversariale certifiée et empirique. En couplant une architecture contrainte par Lipschitz déterministe avec une stochasticité interne, la méthode atteint :

Amélioration Simultanée : Elle améliore à la fois la précision certifiée $\ell_2$ et la robustesse empirique $\ell_\infty$ , une prouesse rarement atteinte par les méthodes précédentes qui optimisent généralement l'une au détriment de l'autre.
Généralisation : L'approche se généralise efficacement à travers divers domaines d'imagerie, incluant des images naturelles et des ensembles de données médicaux spécialisés, suggérant son utilité pour des applications à haut risque.
Sécurité : La capacité à fournir des garanties formelles tout en maintenant une forte résilience empirique soutient le déploiement plus sûr de modèles profonds dans des secteurs critiques.

Les auteurs reconnaissent des limites, notant que la méthode est gourmande en calcul (augmentant les FLOPs et le temps d'inférence d'environ un ordre de grandeur) et que les garanties théoriques sont actuellement restreintes aux perturbations $\ell_2$ , la robustesse $\ell_\infty$ étant évaluée empiriquement. Des travaux futurs sont suggérés pour dériver des certificats plus serrés et concevoir des variantes plus légères.