तकनीकी सारांश: स्टेल्थी मल्टी-टास्क एडवरसैरियल अटैक्स (SMTA2)

समस्या की परिभाषा

डीप न्यूरल नेटवर्क्स (DNNs) को मल्टी-टास्क लर्निंग (MTL) फ्रेमवर्क में तेजी से तैनात किया जा रहा है, जहाँ साझा प्रतिनिधित्व (shared representations) दक्षता और सामान्यीकरण (generalization) में सुधार करते हैं। हालाँकि, ये साझा प्रतिनिधित्व युग्मित कमजोरियों (coupled vulnerabilities) को भी जन्म देते हैं: एक कार्य के लिए तैयार किए गए एडवरसैरियल परटर्बेशन्स अक्सर अन्य कार्यों तक भी फैल जाते हैं, जिससे अनियंत्रित प्रदर्शन गिरावट होती है। जबकि पूर्ववर्ती एडवरसैरियल हमले सिंगल-टास्क मॉडल पर या MTL में सभी कार्यों को संयुक्त रूप से खराब करने पर केंद्रित होते हैं, वास्तविक दुनिया के सुरक्षा-महत्वपूर्ण परिदृश्य (जैसे, स्वायत्त ड्राइविंग) अक्सर अधिक चयनात्मक रणनीतियों की आवश्यकता रखते हैं।

मुख्य समस्या जिसे संबोधित किया गया है वह एक ऐसे फ्रेमवर्क की कमी है जो एक विशिष्ट लक्षित कार्य को चुनिकी रूप से खराब करने में सक्षम हो, जबकि गैर-लक्षित कार्यों के प्रदर्शन को सख्ती से सुरक्षित रखे। मौजूदा तरीके इस कारण संघर्ष करते हैं क्योंकि MTL मॉडल में एक कार्य के लॉस (loss) को बढ़ाने से स्वाभाविक रूप से ऐसे ग्रेडिएंट्स उत्पन्न होते हैं जो अन्य कार्यों को भी नुकसान पहुँचाते हैं। बिना किसी सहवर्ती क्षति (collateral damage) के चयनात्मक गिरावट प्राप्त करना एक अत्यधिक प्रतिबंधित, गैर-तुच्छ अनुकूलन (optimization) समस्या है, क्योंकि साधारण लॉस रीवेटिंग (loss reweighting) अक्सर मजबूत परटर्बेशन्स के तहत गैर-लक्षित प्रदर्शन को बनाए रखने में विफल रहती है।

कार्यप्रणाली (Methodology)

लेखक स्टेल्थी मल्टी-टास्क एडवरसैरियल अटैक (SMTA2) का प्रस्ताव करते हैं, जो इस चयनात्मक गिरावट की समस्या को हल करने के लिए डिज़ाइन किया गया एक फ्रेमवर्क है।

1. समस्या का सूत्रकरण (Problem Formulation)

SMTA2 इस हमले को एक प्रतिबंधित बहु-उद्देश्यीय अनुकूलन (constrained multi-objective optimization) समस्या के रूप में सूत्रित करता है। $y = (y_1, ..., y_m)$ कार्यों वाले एक मल्टी-टास्क मॉडल और एक लक्षित कार्य $i_t$ को देखते हुए, लक्ष्य लक्षित कार्य $L_{i_t}$ के लॉस को अधिकतम करना है जबकि यह सुनिश्चित करना है कि सभी गैर-लक्षित कार्यों $L_i$ (जहाँ $i \neq i_t$) का लॉस उनके मूल क्लीन प्रदर्शन से अधिक न हो।

अनुकूलन को इस प्रकार परिभाषित किया गया है:
$$\max_{\delta} L_{i_t}(x + \delta, y_{i_t})$$
$$\text{subject to } L_i(x + \delta, y_i) \leq L_i(x, y_i) \quad \forall i \neq i_t$$
$$\|\delta\|_p \leq \epsilon$$

2. अनुकूलन रणनीति (Optimization Strategy)

इंटर-टास्क ग्रेडिएंट इंटरफेरेंस के कारण इस प्रतिबंधित समस्या को सीधे हल करना कठिन है। SMTA2 इसे एक भारित उद्देश्य फलन (weighted objective function) में ढीला (relax) करता है:
$$\max_{\delta} \sum_{i=1}^m w_i L_i(x + \delta, y_i)$$
जहाँ $w_{i_t}$ धनात्मक है (लक्षित कार्य को खराब करने के लिए) और गैर-लक्षित कार्यों के लिए $w_i$ ऋणात्मक है (गिरावट को रोकने और संरक्षण को लागू करने के लिए)।

इष्टतम भार $\{w_i\}$ खोजने के लिए, पेपर दो रणनीतियाँ प्रस्तावित करता है:

• मैनुअल वेट सर्चिंग (Manual Weight Searching): एक पुनरावृत्ति (iterative) ट्रायल-एंड-एरर दृष्टिकोण जहाँ गैर-लक्षित कार्यों के भार को मैन्युअल रूप से तब तक बढ़ाया जाता है जब तक कि उनका प्रदर्शन बेसलाइन से नीचे न गिर जाए। यह गणनात्मक रूप से महंगा है और कार्यों की संख्या के साथ खराब रूप से स्केल करता है।
• स्वचालित भार अनुकूलन (Automated Weight Optimization - Algorithm 1): एक डायनेमिक रणनीति जो प्रत्येक हमले के इटरेशन के दौरान कार्य भारों को अपडेट करती है।
  • प्रत्येक चरण पर, एल्गोरिदम गैर-लक्षित कार्यों के लिए एडवरसैरियल और ओरिजिनल इनपुट के बीच लॉस अंतर की गणना करता है।
  • यदि किसी गैर-लक्षित कार्य का लॉस बढ़ता है, तो उसके संगत ऋणात्मक भार को गिरावट का मुकाबला करने के लिए आनुपातिक रूप से समायोजित किया जाता है।
  • एक कार्य-विशिष्ट स्टेप साइज $\lambda_i$ का उपयोग किया जाता है, जिसे एक गुणांक $\alpha$ द्वारा कम (attenuate) किया जाता है जब कोई कार्य संरक्षण बाधा (preservation constraint) को पूरा कर लेता है। यह अभिसरण (convergence) को तेज करता है और खोज को स्थिर करता है।
  • यह दृष्टिकोण प्रति इटरेशन केवल $O(m)$ ऑपरेशन जोड़ता है, जिससे यह PGD जैसे मानक हमलों की जटिलता के समान हो जाता है।

मुख्य योगदान (Key Contributions)

1. नया हमला प्रतिमान (Novel Attack Paradigm): SMTA2 का परिचय, जो MTL में स्टेल्थी, टास्क-सेलेक्टिव एडवरसैरियल हमलों की समस्या को व्यवस्थित रूप से सूत्रित और हल करने वाला पहला फ्रेमवर्क है, जो अन्य कार्यों को बनाए रखते हुए लक्षित गिरावट को सक्षम बनाता है।
2. प्रतिबंधित अनुकूलन सूत्रकरण (Constrained Optimization Formulation): हमले को स्पष्ट संरक्षण बाधाओं के साथ एक प्रतिबंधित बहु-उद्देश्यीय समस्या के रूप में मॉडल किया गया है, जो अनियंत्रित संयुक्त हमलों से आगे बढ़ता है।
3. स्वचालित भार ट्यूनिंग (Automated Weight Tuning): एक स्वचालित लॉस-वेट ऑप्टिमाइज़ेशन रणनीति का विकास जो गतिशील रूप से इष्टतम कार्य भारों की खोज करता है, जिससे मैनुअल ट्यूनिंग की आवश्यकता समाप्त हो जाती है और दक्षता एवं स्केलेबिलिटी में सुधार होता है।
4. व्यापक मूल्यांकन (Comprehensive Evaluation): $L_p$ नॉर्म्स ($L_1, L_2, L_\infty$) और विभिन्न हमला एल्गोरिदम (PGD, IFGSM, APGD) के तहत NYUv2 और Cityscapes बेंचमार्क पर SMTA2 का विस्तृत मूल्यांकन।

प्रयोगात्मक परिणाम (Experimental Results)

पेपर दो मल्टी-टास्क बेंचमार्क पर SMTA2 का मूल्यांकन करता है: NYUv2 (सिमेंटिक सेगमेंटेशन, डेप्थ एस्टीमेशन, सरफेस नॉर्मल) और Cityscapes (सिमेंटिक सेगमेंटेशन, पार्ट सेगमेंटेशन, डिस्पैरिटी एस्टीमेशन)।

• चयनात्मक गिरावट (Selective Degradation): परिणाम दर्शाते हैं कि SMTA2 लक्षित कार्य को महत्वपूर्ण रूप से खराब करता है (अक्सर गैर-स्टेल्थी हमलों की प्रभावशीलता के बराबर), जबकि गैर-लक्षित कार्यों को बेसलाइन प्रदर्शन के करीब या उसके स्तर पर बनाए रखता है। इसके विपरीत, गैर-स्टेल्थी हमले वैश्विक प्रदर्शन पतन (global performance collapse) का कारण बनते हैं।
• मजबूती (Robustness): फ्रेमवर्क एडवरसैरियली ट्रेंड (AT) मॉडल्स के खिलाफ भी प्रभावी रहता है, जो मजबूत रक्षा सेटिंग्स के तहत भी गैर-लक्षित कार्यों को सफलतापूर्वक सुरक्षित रखता है।
• ऑटोमेशन बनाम मैनुअल (Automation vs. Manual): स्वचालित वेट सर्च रणनीति मैनुअल ट्यूनिंग के तुलनीय प्रदर्शन प्राप्त करती है, लेकिन काफी उच्च दक्षता और स्केलेबिलिटी के साथ।
• दृश्य प्रमाण (Visual Evidence): विज़ुअलाइज़ेशन पुष्टि करते हैं कि परटर्बेशन्स अदृश्य हैं और स्पष्ट दृश्य आर्टिफैक्ट्स पेश नहीं करते हैं, फिर भी वे विशिष्ट कार्य विफलताओं (जैसे, लेन डिटेक्शन को बनाए रखते हुए ट्रैफिक साइन को गलत वर्गीकृत करना) का कारण बनते हैं।

महत्व और दावे (Significance and Claims)

पेपर का दावा है कि यह स्टेल्थी और चयनात्मक मल्टी-टास्क एडवरसैरियल हमलों के लिए पहला व्यवस्थित फ्रेमवर्क स्थापित करता है। इसका महत्व निम्नलिखित में निहित है:

• एक महत्वपूर्ण अंतर को पाटना: उन सुरक्षा-महत्वपूर्ण प्रणालियों में चयनात्मक हमलों की आवश्यकता को संबोधित करना जहाँ अनियंत्रित विफलता आसानी से पता लगाने योग्य होती है, जबकि चयनात्मक विफलता सूक्ष्म और खतरनाक हो सकती है।
• व्यावहारिक व्यवहार्यता: यह प्रदर्शित करना कि सिद्धांत-आधारित अनुकूलन और स्वचालित भार ट्यूनिंग के माध्यम से सख्त संरक्षण बाधाओं को पूरा किया जा सकता है, यहाँ तक कि मजबूत इंटर-टास्क कपलिंग की उपस्थिति में भी।
• एक नई दिशा: मल्टी-टास्क सिस्टम के लिए नियंत्रित एडवरसैरियल मशीन लर्निंग के लिए एक नई दिशा खोलना, यह उजागर करते हुए कि मॉडल आर्किटेक्चर या टास्क संबंधों को बदले बिना साझा प्रतिनिधित्वों का सूक्ष्म हेरफेर के लिए शोषण किया जा सकता है।

लेखक निष्कर्ष निकालते हैं कि SMTA2 सिद्ध करता है कि स्टेल्थी, टास्क-सेलेक्टिव हमले संभव और व्यावहारिक रूप से हल करने योग्य हैं, जो मल्टी-टास्क लर्निंग सिस्टम की मजबूती के लिए एक नई चुनौती पेश करते हैं।