Beyond False Stability: High-Noise Drift Gating for Test-Time Adversarial Defenses in Vision-Language Models

Cet article introduit un mécanisme de « filtrage par dérive » (drift-gating) prêt à l'emploi et sans entraînement qui exploite l'instabilité accrue des exemples adverses sous des perturbations à bruit élevé pour déclencher sélectivement des défenses au moment du test, améliorant ainsi considérablement le compromis entre robustesse et précision sur les données propres des modèles vision-langage sans dégrader la précision sur ces dernières.

L'essentiel

Imaginez que vous avez un assistant IA super intelligent (comme CLIP) capable de regarder une image et de dire exactement ce que c'est, même s'il n'a jamais vu ce type d'image spécifique auparavant. Il est excellent pour cela, mais il a une faiblesse secrète : si quelqu'un ajoute une minuscule particule de « poussière numérique » presque invisible à l'image (une attaque adversaire), l'IA est complètement déroutée et fait une erreur ridicule.

Pendant longtemps, des experts ont essayé de réparer cela en « entraînant » l'IA sur ces images piégeuses, mais c'est coûteux et lent. Les chercheurs ont donc commencé à chercher un moyen de réparer l'IA pendant qu'elle fonctionne (au moment du « test ») sans la réentraîner.

Voici l'histoire de ce que ce papier a découvert et comment ils l'ont résolu, en utilisant des analogies simples :

Le Problème : Le piège du « Calme Trompeur »

Les méthodes précédentes tentaient de détecter ces images « piégées » en les secouant légèrement avec un bruit aléatoire (comme une brise légère) et en observant à quel point la réponse de l'IA oscillait.

• L'ancienne idée : Ils pensaient : « Si l'IA reste calme et ne vacille pas beaucoup sous une brise légère, c'est qu'il s'agit d'une image piégée ! » Ils appelaient cela la « fausse stabilité ».
• La faille : C'était un piège. Parfois, des images propres (de vraies photos) vacillaient un peu, et l'IA les prenait pour des images piégées. Lorsque l'IA essayait de « réparer » ces vraies photos, elle les dégradait en réalité. Cela créait un compromis : réparer les mauvaises images cassait souvent les bonnes.

La Découverte : L'« Orage » révèle la vérité

Les auteurs de ce papier ont décidé de ne plus utiliser une brise légère, mais un ouragan (un bruit de forte intensité).

Ils ont découvert un basculement surprenant dans le comportement de l'IA :

1. Sous une brise légère (Bruit Faible) : Les images piégées paraissent étonnamment stables, tout comme les anciennes méthodes le pensaient.
2. Sous un ouragan (Bruit Fort) : La situation s'inverse ! Les images piégées deviennent extrêmement instables. Elles vacillent et tournoient sauvagement. Pendant ce temps, les images réelles et propres sont robustes ; elles peuvent se balancer un peu, mais elles restent ancrées.

L'analogie :
Pensez à un vrai arbre (une image propre) et à une découpe en carton représentant un arbre (une image piégée).

• Si vous soufflez doucement dessus avec un ventilateur, la découpe en carton ne bougera peut-être pas beaucoup car elle est légère et rigide. Le vrai arbre, lui, oscille un peu.
• Mais si vous allume-z une soufflerie massive, la découpe en carton partira en éclats ou tournera de manière chaotique, tandis que le vrai arbre, avec ses racines profondes, se contentera de plier et de reprendre sa place.

Le papier appelle cela la transition de la « Fausse Stabilité » vers l'« Instabilité à Haute Intensité de Bruit ».

La Solution : Le Videur « À Seuil de Dérive » (Drift-Gated)

Au lieu d'essayer de réparer chaque image (ce qui abîme les vraies), les auteurs ont construit un videur intelligent à la porte de l'IA.

1. Le Test : Avant que l'IA ne regarde une image, le videur lui donne une rapide et forte « secousse » (bruit élevé).
2. La Décision :
   • Si l'image vacille sauvagement (dérive élevée), le videur dit : « Cela ressemble à un piège ! Utilisons la défense spéciale pour le réparer. »
   • Si l'image reste stable (dérive faible), le videur dit : « C'est une vraie photo. Laissez-la passer normalement sans la toucher. »

C'est ce qu'on appelle une Défense à Seuil de Dérive (Drift-Gated Defense). C'est comme un filtre qui ne s'active que lorsqu'il est absolument nécessaire d'utiliser les machines lourdes.

Les Résultats

En utilisant cette approche de « videur intelligent », les auteurs ont montré que :

• Ils pouvaient réparer efficacement les images piégées.
• Ils ont arrêté de casser accidentellement les vraies images (car ils ont cessé de vouloir les « réparer » inutilement).
• Cela fonctionnait sur de nombreux types d'images différents (des fleurs aux voitures) et différents types d'attaques.
• Cela ne nécessitait aucun nouvel entraînement ; cela se branche simplement sur des systèmes existants.

Une Limite Clé

Le papier a également noté un point intéressant : si vous prenez une IA qui a déjà été entraînée pour être résistante aux attaques (entraînement adversaire), ce test de « vacillement » ne fonctionne plus. Pourquoi ? Parce que ces IA robustes n'ont plus de « découpes en carton fragiles » ; leurs images piégées et leurs images réelles se comportent de manière similaire, même dans un ouragan. Ainsi, ce tour spécifique ne fonctionne que sur les versions standards, non robustes, de ces modèles d'IA.

En bref : Le papier a découvert que, si les images piégées semblent calmes lors d'une brise légère, elles tombent en morceaux lors d'un orage. En attendant que l'orage révèle les faux, l'IA peut se protéger sans nuire à sa capacité à reconnaître les choses réelles.

Résumé technique

Résumé Technique : Au-delà de la fausse stabilité : Gating par dérive à haut bruit pour les défenses adverses au moment du test dans les modèles vision-langage

1. Énoncé du problème

Les modèles vision-langage (VLM), en particulier CLIP, présentent une forte généralisation zero-shot mais restent hautement vulnérables aux perturbations adverses. Bien que l'entraînement adverse puisse renforcer la robustesse, il est souvent coûteux en calcul, nécessite des jeux de données auxiliaires et souffre fréquemment d'un compromis sévère où les gains en robustesse adverse se font au détriment d'une dégradation de la précision sur les données saines (clean accuracy).

Par conséquent, la recherche récente s'est concentrée sur les défenses au moment du test (test-time defenses) qui opèrent sans modifier les poids préentraînés. Les approches existantes (par exemple, Test-Time Counter Attack [50], Anchor-guided One-step linear Movement [43]) exploitent l'observation selon laquelle les entrées saines et adverses réagissent différemment aux perturbations stochastiques. Cependant, ces méthodes opèrent généralement dans un régime de bruit faible. Elles reposent sur la « fausse stabilité » — le phénomène où les exemples adverses présentent une dérive de caractéristiques plus faible que les entrées saines sous un bruit faible — pour déclencher les défenses. L'article soutient que cette dépendance conduit à un compromis défavorable entre précision saine et robustesse :

• Faux Positifs : Les signaux de dérive en régime de bruit faible sont peu fiables, ce qui provoque l'identification erronée d'entrées saines comme étant adverses et les soumet à des interventions défensives inutiles, dégradant ainsi la précision saine.
• Robustesse Limitée : Les interventions basées sur un bruit faible échouent souvent à déstabiliser suffisamment les représentations adverses.

2. Méthodologie

2.1 Intuition centrale : La transition de régime de bruit

Les auteurs identifient une transition jusque non négligeée dans l'espace de représentation visuelle de CLIP concernant les perturbations stochastiques :

• Régime de Bruit Faible : Les exemples adverses présentent une « fausse stabilité », montrant une dérive latente plus faible que les entrées saines.
• Régime de Bruit Élevé : À mesure que l'intensité de la perturbation augmente, cet ordre s'inverse. Les représentations adverses deviennent nettement plus instables que les représentations saines, produisant un signal de séparation beaucoup plus clair.

Cette transition est cohérente à travers :

• Les types de bruit (Uniforme, Gaussien).
• Les transformations (Photométriques, Géométriques).
• Les budgets d'attaque ($\epsilon \in \{1/255, 4/255, 8/255\}$).
• Divers jeux de données.

Interprétation Géométrique :
Les auteurs interprètent cela via la géométrie de l'espace de caractéristiques. Les images saines résident sur une large variété sémantique ; un bruit modéré provoque un mouvement local au sein de cette variété. Les exemples adverses, cependant, sont optimisés pour résider dans des bassins locaux fragiles et hors-variété (off-manifold).

• Sous l'effet d'un bruit faible, les caractéristiques adverses restent piégées dans ces bassins locaux, entraînant une faible dérive.
• Sous l'effet d'un bruit fort, les perturbations sont suffisantes pour pousser les caractéristiques adverses hors de ces bassins fragiles, provoquant de grands déplacements vers la variété saine. Les caractéristiques saines, inversement, continuent de se déplacer localement. Cette divergence crée un signal de dérive à haut bruit qui distingue efficacement les entrées adverses.

2.2 Solution proposée : Défense sélective par gating de dérive

Motivés par le signal d'instabilité à haut bruit, les auteurs proposent un mécanisme plug-in sans entraînement appelé Défense par Gating de Dérive (Drift-Gated Defense).

Algorithme :

1. Sonder (Probe) : Pour une entrée $x$, appliquer une forte perturbation stochastique $T_{\epsilon_d}$ (par exemple, un bruit uniforme avec $\epsilon = 24/255$).
2. Mesurer la dérive : Calculer la dérive latente $\tau(x) = \|F_v(x) - F_v(T_{\epsilon_d}(x))\|_2$.
3. Gater (Gate) : Comparer $\tau(x)$ à un seuil $\gamma$ (optimisé à $\approx 0,85$).
   • Si $\tau(x) > \gamma$ : L'entrée est signalée comme de type adverse. Une intervention défensive (par exemple, contre-attaque, interpolation d'ancrage) est déclenchée.
   • Si $\tau(x) \le \gamma$ : L'entrée est traitée comme saine. L'inférence standard de CLIP se poursuit sans intervention.

Ce mécanisme déclenche sélectivement les défenses existantes (TTC, AOM, R-TPT) uniquement lorsque cela est nécessaire, préservant la précision saine tout en maintenant la robustesse.

3. Principales contributions

1. Caractérisation de la transition de régime de bruit : L'article identifie et caractérise la transition de la « fausse stabilité » en régime de bruit faible vers l'« instabilité à haut bruit » en régime de bruit élevé. Cela remet en question l'hypothèse prédominante selon laquelle le bruit faible est le régime optimal pour la détection de l'adversaire dans les modèles CLIP non robustes.
2. Au-delà de la suppression spécifique au bruit Gaussien : Les auteurs démontrent que les gains de robustesse des défenses basées sur le bruit ne sont pas spécifiques au bruit gaussien. Un bruit uniforme, des transformations photométriques et géométriques suffisamment forts produisent des signaux de séparation similaires, indiquant que l'intensité de la perturbation est le facteur critique plutôt que la distribution spécifique de la corruption.
3. Défense sélective par gating de dérive : Un nouveau mécanisme de gating sans entraînement, léger, qui utilise la dérive latente à haut bruit comme détecteur. Il évite la « pénalité de précision saine » des défenses inconditionnelles au moment du test en n'intervenant que sur les entrées présentant une instabilité de type adverse.

4. Résultats expérimentaux

L'approche a été évaluée sur 13 jeux de données en aval (8 de précision fine, ImageNet et 4 variantes OOD) contre les attaques PGD, EOT-PGD, CW et MI-FGSM.

Améliorations de performance (Moyenne de la précision Saine + Adverse) :

• Jeux de données de précision fine (8 jeux de données) :
  • TTC [50] : Amélioré de 65,7 % à 71,4 %.
  • AOM [43] : Amélioré de 68,4 % à 73,2 %.
  • R-TPT [37] + TTC : Amélioré de 68,8 % à 73,2 %.
• ImageNet & Variantes OOD :
  • TTC : Amélioré de 56,1 % à 66,2 %.
  • AOM : Amélioré de 62,1 % à 67,6 %.

Observations clés :

• Préservation de la précision saine : Le mécanisme de gating empêche les interventions défensives sur environ 90,34 % des échantillons sains, réduisant considérablement la dégradation de la précision saine observée dans les méthodes de base.
• Robustesse aux types d'attaques : La méthode se généralise à travers différents objectifs d'attaque (PGD, CW, MI-FGSM) et des budgets d'attaque plus élevés ($\epsilon = 8/255$).
• Modèles entraînés de manière adverse : Le signal de séparation de dérive disparaît largement dans les variantes de CLIP entraînées de manière adverse (FARE, DeltaCLIP-L). Cela soutient l'hypothèse géométrique selon laquelle l'entraînement adverse élimine les bassins locaux fragiles hors-variété, alignant les représentations saines et adverses. Par conséquent, le mécanisme de gating n'est pas applicable à ces modèles robustes, où les défenses peuvent être appliquées directement.

5. Signification et affirmations

L'article affirme offrir une direction fondée et efficace pour améliorer la robustesse des VLM sans coûts d'entraînement supplémentaires. En déplaçant l'attention de la "fausse stabilité" du bruit faible vers l'instabilité du bruit élevé, les auteurs résolvent le compromis récurrent entre précision saine et robustesse dans les défenses au moment du test.

La signification réside dans :

1. Réévaluation des défenses stochastiques : Correction de la méprise selon laquelle le bruit faible est le régime optimal pour détecter les entrées adverses dans les modèles non robustes.
2. Efficacité : Fournir une solution légère et "plug-in" qui réduit la charge de calcul en évitant le traitement inutile des entrées saines.
3. Généralisabilité : Démontrer que le phénomène est robuste à travers les types de bruit, les jeux de données et les budgets d'attaque, suggérant une propriété fondamentale de la géométrie des représentations des VLM non robustes.

Les auteurs concluent que leurs découvertes fournissent un signal clair pour activer sélectivement les défenses, maximisant ainsi l'utilité des stratégies existantes au moment du test tout en minimisant leurs effets secondaires sur les performances des données saines.