Résumé Technique : Un Détecteur Mimétique pour les Perturbations Adversariales d'Images

Énoncé du Problème

Les attaques adversariales compromettent les classificateurs d'images profonds en introduisant des motifs de bruit minuscules et presque imperceptibles ($\delta$) sur une image propre ($x$), provoquant une mauvaise classification tout en restant visuellement identiques pour les observateurs humains. Les attaques standard bornées en $\ell_\infty$, telles que la méthode du signe du gradient rapide (FGSM), la descente de gradient projetée (PGD) et la variante $\ell_\infty$ de Carlini–Wagner, génèrent des perturbations caractérisées par des motifs de signe à haute fréquence, quasi aléatoires, au niveau des pixels. Bien que ces perturbations soient de faible norme $\ell_2$, elles portent une énergie de gradient disproportionnée.

Le défi principal abordé est la détection plutôt que la robustesse. Bien que rendre un classificateur robuste à de telles perturbations soit difficile, l'objectif ici est de déterminer, étant donné une entrée $x'$, si elle a été perturbée. Les approches existantes, telles que SpectralDefense, reposent souvent sur l'entraînement de classificateurs sur des caractéristiques du domaine de Fourier. Ce travail propose une alternative sans entraînement qui ne nécessite ni classificateur de substitution ni accès au réseau sous attaque.

Méthodologie

Le détecteur proposé exploite la différence fondamentale dans la distribution de l'énergie de gradient entre les images naturelles et les perturbations adversariales. Les images naturelles concentrent l'énergie de gradient sur les contours avec un contenu lisse ailleurs, tandis que les perturbations adversariales distribuent l'énergie de gradient uniformément sur l'ensemble de l'image aux fréquences spatiales les plus élevées.

Le Ratio d'Énergie de Gradient Mimétique

Le cœur de la méthode est une métrique scalaire unique, $T(x)$, définie comme le rapport de l'énergie de gradient mimétique à la norme des pixels bruts :

$$T(x) = \frac{(G u)^\top P (G u)}{\sum_{i,j} x_{ij}^2}$$

Où :

• $u$ : L'image d'entrée $x$ remplie d'une cellule fantôme de chaque côté (frontière par réplication) et vectorisée.
• $G$ : L'opérateur de gradient mimétique Corbino–Castillo d'ordre $k$.
• $P$ : Une matrice de poids diagonale et définie positive associée à $G$.
• Numérateur : Représente l'énergie de gradient discrète (somme pondérée des valeurs de gradient au carré).
• Dénominateur : Représente la somme euclidienne des valeurs de pixels au carré.

Détails de l'Implémentation

• Opérateurs : La méthode utilise des opérateurs mimétiques Corbino–Castillo d'ordre élevé issus de la bibliothèque open-source MOLE. Ces opérateurs sont choisis pour leur précision d'ordre élevé, l'absence de paramètres libres et leur précision cohérente aux frontières (empêchant les déclenchements artificiels dus au cadrage rectangulaire).
• Calcul : Le calcul est effectué en temps $O(HW)$ par image, dominé par un seul produit matrice-vecteur creux.
• Règle de Décision : Un seuil $\tau$ est calibré sur un ensemble propre retenu (basé sur le taux de faux positifs désiré). Si $T(x) > \tau$, l'image est signalée comme adversariale ; sinon, elle est considérée comme propre.
• Propriétés : La métrique $T$ est sans dimension et invariante d'échelle ($T(\alpha x) = T(x)$ pour $\alpha \neq 0$).

Résultats Expérimentaux

Le détecteur a été validé sur l'image standard en niveaux de gris "poivrons" de 128 $\times$ 128 (issue des boîtes à outils MATLAB/Octave) avec un budget $\ell_\infty$ de $\epsilon = 16/255$.

Cas de Test

Trois entrées ont été construites :

1. Propre : Aucune perturbation.
2. Style adversarial : $\delta_{adv} = \epsilon \text{sign}(\eta)$, où $\eta_{ij} \sim \mathcal{N}(0, 1)$, imitant la signature spatiale de FGSM/PGD.
3. Contrôle lisse : $\delta_{low}$ avec une amplitude $\ell_\infty$ égale mais un contenu basse fréquence (sinusoïdal).

Principales Constatations

• Séparation : La perturbation adversariale a augmenté la métrique $T$ d'un facteur supérieur à 3 par rapport à l'image propre pour tous les ordres testés ($k=2, 4, 6$).
• Spécificité : La perturbation de contrôle lisse a laissé $T$ inchangée (dans une marge de 1 %), démontrant que le détecteur répond au bruit haute fréquence plutôt qu'aux simples changements d'amplitude.
• Dépendance à l'Ordre : La marge de détection (rapport $T_{adv}/T_{clean}$) a augmenté de manière monotone avec l'ordre mimétique $k$ :
  • $k=2$ : séparation de 3,55$\times$.
  • $k=4$ : séparation de 3,94$\times$.
  • $k=6$ : séparation de 4,19$\times$.
• Preuve Visuelle : La visualisation de la magnitude du gradient mimétique $|Gx|$ a révélé une empreinte haute fréquence quasi uniforme dans le cas adversarial, absente de l'image propre.

Signification et Revendications

L'article positionne ce travail comme un détecteur en un seul tir pratique et déployable, offrant trois avantages distincts :

1. Surcoût d'Entraînement Nul : Il ne nécessite ni ensemble d'entraînement d'exemples adversariaux, ni classificateur de substitution, ni accès aux poids internes du réseau cible.
2. Efficacité Computationnelle : Il fonctionne en temps linéaire par rapport à la taille de l'image ($O(HW)$), le rendant adapté aux applications en temps réel.
3. Discrimination Évolutif : La capacité de détection s'améliore de manière monotone avec l'ordre de l'opérateur mimétique, une propriété inhérente à la construction MOLE.

Limites et Portée

Les auteurs déclarent explicitement qu'il s'agit d'un détecteur, et non d'une défense certifiée. Un attaquant adaptatif qui minimise explicitement $T$ tout en maintenant la mauvaise classification pourrait potentiellement rapprocher la statistique de la valeur propre, probablement au prix d'un taux de réussite d'attaque réduit ou d'un budget $\ell_\infty$ plus important.

L'article suggère deux extensions naturelles pour les travaux futurs :

• Application aux images couleur et multispectrales (via $T$ par canal combiné par une combinaison linéaire apprise).
• Adaptation aux géométries de capteurs non uniformes ou curvilignes, où les structures mimétiques sont particulièrement puissantes.