तकनीकी सारांश: सुपरपोजिशन में विशेषताओं के बीच हस्तक्षेप से उत्पन्न प्रतिकूल भेद्यता (Adversarial Vulnerability)

समस्या विवरण (Problem Statement)

व्यापक अध्ययन के बावजूद, एडवरसैरियल उदाहरण (adversarial examples) यांत्रिक स्तर पर अभी भी कम समझे गए हैं। जबकि मौजूदा स्पष्टीकरण उन्हें उच्च-आयामी ज्यामिति (high-dimensional geometry), इनपुट डेटा में गैर-मजबूत पैटर्न, या निर्णय सीमा संरचनाओं (decision boundary structures) के कारण बताते हैं, उनमें से कोई भी एक प्रतिनिधित्व-स्तर का तंत्र प्रदान नहीं करता है जो यह समझा सके कि विशिष्ट गड़बड़ी (perturbations) क्यों सफल होती हैं या हमले मॉडलों के बीच क्यों स्थानांतरित (transfer) होते हैं। रोबस्टनेस हस्तक्षेपों (robustness interventions) और प्रतिनिधित्व संरचना के बीच संबंध स्थापित करने वाले एक भविष्य कहनेवाला खाते की कमी है। यह शोध पत्र इस बात की जांच करके इस अंतर को संबोधित करता है कि क्या एडवरसरियल भेद्यता न्यूरल नेटवर्क में कुशल सूचना एन्कोडिंग, विशेष रूप से सुपरपोजिशन (superposition) की घटना के माध्यम से उत्पन्न होती है।

कार्यप्रणाली (Methodology)

लेखक एक यांत्रिक ढांचे का प्रस्ताव करते हैं जहाँ न्यूरल नेटवर्क अधिक अवधारणाओं (विशेषताओं) को उनके आयामों ($M \gg d$) से अधिक संख्या में प्रस्तुत करते हैं, जो सक्रियण स्थान (activation space) में गैर-लंबवत दिशाओं (non-orthogonal directions) के रूप में उन्हें एनकोड करते हैं। यह पैकिंग हस्तक्षेप (interference) पैदा करती है, जहाँ एक विशेषता को सक्रिय करने से अन्य प्रभावित होती हैं। अध्ययन इस परिकल्पना को तीन प्राथमिक सेटिंग्स के माध्यम से सत्यापित करता है:

1. सिंथेटिक आर्गमैक्स कार्य (Synthetic Argmax Task): एक न्यूनतम बॉटलनेक नेटवर्क जिसमें एक क्लोज्ड-फॉर्म इनपुट-टू-क्लास मैपिंग है। यहाँ, $k$ क्लासेज को $m$ लेटेंट आयामों ($m < k$) में संकुचित किया गया है। लेखक इनपुट सहसंबंधों (uncorrelated, paired, global) को नियंत्रित करते हैं ताकि फीचर ज्योमेट्री को बदला जा सके। यह सेटिंग ग्राउंड-ट्रुथ गड़बड़ी की गणना करने और अनुभवजन्य हमलों (PGD) एवं हस्तक्षेप ज्यामिति से प्राप्त सैद्धांतिक इष्टतमों के बीच सीधा तुलना करने की अनुमति देती है।
2. यथार्थवादी विजन ट्रांसफॉर्मर (Realistic Vision Transformers - ViTs): वर्गीकरण हेड (classification head) से पहले इंजीनियर किए गए आयामी बॉटलनेक्स डाले गए मॉडलों के साथ CIFAR-10/100, STL-10, और TinyImageNet पर प्रशिक्षित मॉडल। यह परीक्षण करता है कि क्या सिद्धांत द्वारा अनुमानित ज्यामितीय संकेत गहरे, गैर-रेखीय नेटवर्क में उभरते हैं।
3. स्पष्ट बॉटलनेक के बिना नियमितीकृत प्रशिक्षण (Regularized Training without Explicit Bottlenecks): लो-रैंक प्रतिनिधित्व (प्रभावी बॉटलनेक) प्रेरित करने के लिए विभिन्न वेट डिके (weight decay) के साथ प्रशिक्षित ViT मॉडल, जो बिना किसी स्पष्ट वास्तुशिल्प बाधा के रैंक न्यूनीकरण का परीक्षण करते हैं।

प्रमुख विश्लेषणात्मक उपकरण:

• लीनियर रिप्रेजेंटेशन हाइपोथीसिस (LRH): क्लास लॉजिट्स को फीचर वेक्टर्स के लीनियर प्रोजेक्शन के रूप में मानना।
• हस्तक्षेप मेट्रिक्स (Interference Metrics): सुपरपोज्ड क्लास फीचर वेक्टर्स की गैर-लंबवतता ($w_i^\top w_j$) को मापना और यह मापना कि गड़बड़ियाँ "हस्तक्षेप ज्यामिति" के साथ कितनी संरेखित हैं, जो टारगेट और सोर्स क्लास वेक्टर्स के अंतर से परिभाषित होती है।
• अटैक एलाइनमेंट (Attack Alignment): हस्तक्षेप ज्यामिति ($\delta \propto W_e^\top (w_k - w_j)$) से प्राप्त सैद्धांतिक रूप से इष्टतम गड़बड़ियों के विरुद्ध PGD-खोजे गए गड़बड़ियों की दिशा की तुलना करना।

प्रमुख योगदान (Key Contributions)

1. भेद्यता का यांत्रिक विवरण: यह शोध पत्र सुपरपोजिशन ज्यामिति और एडवरसैरियल भेद्यता के बीच एक सीधा संबंध स्थापित करता है। यह प्रदर्शित करता है कि डेटा सहसंबंध सुपरपोजिशन में फीचर व्यवस्थाओं को सीमित करते हैं, जो हस्तक्षेप पैटर्न को निर्धारित करते हैं। ये पैटर्न ही तय करते हैं कि कौन सी गड़बड़ियाँ सफल होंगी और हमले क्यों स्थानांतरित होते हैं।
2. सुपरपोजिशन एक पर्याप्त स्थिति के रूप में: लेखक इस बात का सैद्धांतिक और अनुभवजन्य प्रमाण प्रदान करते हैं कि सुपरपोजिशन एडवरसैरियल भेद्यता के लिए एक पर्याप्त (परंतु आवश्यक नहीं) स्थिति है। गैर-लंबवत प्रतिनिधित्व शोषण योग्य हस्तक्षेप पैदा करते हैं, जो डेटा गुणों या वास्तुशिल्प कारकों पर आधारित मौजूदा स्पष्टीकरणों का पूरक हैं।
3. यथार्थवादी सेटिंग्स में सत्यापन: अध्ययन यह पुष्टि करता कि सिद्धांत द्वारा अनुमानित ज्यामितीय संकेत वास्तविक सेटिंग्स (मानक डेटासेट पर ViTs) में दिखाई देते हैं, जिससे यह सिद्ध होता है कि क्लासिफिकेशन हेड का हस्तक्षेप जटिल, गहरे नेटवर्क में भी इनपुट-स्पेस अटैक स्ट्रक्चर को नियंत्रित करता है।

मुख्य परिणाम (Key Results)

1. हस्तक्षेप का शोषण (Exploitation of Interference)

सिंथेटिक सेटिंग्स में, ग्रेडिएंट-आधारित हमले (PGD) व्यवस्थित रूप से सुपरपोज्ड फीचर्स के बीच हस्तक्षेप का शोषण करते हैं।

• एलाइनमेंट: PGD-खोजे गए गड़बड़ियाँ हस्तक्षेप ज्यामिति से प्राप्त सैद्धांतिक रूप से इष्टतम गड़बड़ियों के साथ मजबूती से संरेखित होती हैं (कॉसाइन सिमिलरिटी कॉन्फ़िगरेशन में $> 0.92$ तक पहुँचती है)।
• तंत्र: गड़बड़ियाँ मनमानी नहीं हैं; उनका चिह्न और परिमाण इनपुट फीचर्स का लेटेंट अटैक वेक्टर के साथ संरेखण निर्धारित करता है। जो फीचर्स टारगेट क्लास के साथ रचनात्मक रूप से हस्तक्षेप (constructively interfere) करते हैं उन्हें बढ़ाया जाता है, जबकि जो सोर्स के साथ हस्तक्षेप करते हैं उन्हें दबा दिया जाता है।

2. इनपुट सहसंबंधों की भूमिका (Role of Input Correlations)

इनपुट सहसंबंध फीचर वेक्टर्स की ज्यामितीय व्यवस्था को सीमित करते हैं:

• अनकोरिलेटेड डेटा: रैंडम सीड्स के बीच अत्यधिक परिवर्तनशील ज्यामिति का परिणाम देता है।
• कोरिलेटेड डेटा: फीचर्स को विशिष्ट, स्थिर व्यवस्थाओं (जैसे, ग्लोबल कोरिलेशन साइक्लिक ऑर्डरिंग को फिक्स करता है) में मजबूर करता है।
• प्रभाव: मजबूत सहसंबंध ज्यामितीय स्वतंत्रता की डिग्री को कम करते हैं, जिससे विभिन्न इनिशियलाइजेशन समान व्यवस्थाओं की ओर बढ़ते हैं।

3. अटैक ट्रांसफरैबिलिटी (Attack Transferability)

अटैक ट्रांसफरैबिलिटी साझा हस्तक्षेप पैटर्न द्वारा शासित होती है।

• सहसंबंध: ट्रांसफर दरें ज्यामितीय समानता के साथ मजबूती से सहसंबंधित हैं।
  • अनकोरिलेटेड डेटा: ~5% ट्रांसफर दर।
  • पेयर्ड कोरिलेशन (Paired correlations): ~33% ट्रांसफर दर।
  • ग्लोबल कोरिलेशन: ~98% ट्रांसफर दर।
• स्पष्टीकरण: जब मॉडल समान सुपरपोजिशन ज्यामिति साझा करते हैं, तो सोर्स मॉडल में जो हस्तक्षेप पैटर्न रचनात्मक थे, वे टारगेट मॉडल में भी रचनात्मक बने रहते हैं, जिससे उच्च ट्रांसफरैबिलिटी संभव होती है।

4. वास्तविक दुनिया का ViT सत्यापन

• स्ट्रक्चर प्रेडिक्शन: बॉटलनेक्स वाले ViTs में, इनपुट-स्पेस अटैक प्रोफाइल (कैसे पिक्सेल को बाधित किया जाता है) लेटेंट-स्पेस इंटरफेरेंस प्रोफाइल (कैसे क्लास वेक्टर्स हस्तक्षेप करते हैं) के साथ मजबूती से सहसंबंधित है। कोरिलेशन ($\bar{\rho}$) टाइट बॉटलनेक्स ($m/k=0.2$) के लिए 0.89 तक पहुँच जाता है और बॉटलनेक के ढीला होने पर गिर जाता है।
• निरंतरता: हस्तक्षेप पैटर्न रैंडम सीड्स के बीच सुसंगत हैं, जो डेटा सिमेंटिक्स (जैसे, 'बिल्ली' और 'कुत्ता' जैसी अर्थ संबंधी समान क्लासेज गैर-लंबवत प्रतिनिधित्व विकसित करती हैं) को दर्शाते हैं, न कि ऑप्टिमाइजेशन शोर को।
• नियमितीकरण प्रभाव: बिना किसी स्पष्ट बॉटलनेक के भी, वेट डिके बढ़ाने से नेटवर्क का प्रभावी आयाम कम हो जाता है, जिससे हस्तक्षेप का परिमाण और हमला करने की भेद्यता बढ़ जाती है, जिससे पता चलता है कि मानक नियमितीकरण अनजाने में एडवरसैरियल भेद्यताएँ पैदा कर सकता है।

महत्व और दावे (Significance and Claims)

यह शोध पत्र दावा करता है कि एडवरसैरियल भेद्यता नेटवर्क के प्रतिनिधित्व संपीड़न (representational compression) का एक उपोत्पाद हो सकती है। आयामों से अधिक फीचर्स को पैक करके, नेटवर्क ऐसे हस्तक्षेप पैटर्न पेश करते हैं जिनका हमलावर फायदा उठा सकते हैं।

• भविष्यवाणी शक्ति: यह ढांचा परीक्षण योग्य भविष्यवाणियाँ प्रदान करता है: हमलों को ज्यामिति से प्राप्त इष्टतम गड़बड़ियों के साथ संरेखित होना चाहिए, और ट्रांसफरैबिलिटी तब होनी चाहिए जब मॉडल समान हस्तक्षेप पैटर्न साझा करते हैं।
• पूरक स्पष्टीकरण: यह तंत्र मौजूदा स्पष्टीकरणों (जैसे, गैर-मजबूत फीचर्स या निर्णय सीमा वक्रता) को प्रतिस्थापित नहीं करता है, बल्कि यह समझाने के लिए एक प्रतिनिधित्व-स्तर का खाता प्रदान करके उनका पूरक बनता है कि विशिष्ट दिशाएँ संवेदनशील क्यों हैं।
• सुरक्षा निहितार्थ: निष्कर्षों से पता चलता है कि प्रतिनिधित्व की विमा (dimensionality) और सुपरपोजिशन की डिग्री मॉडल सुरक्षा के महत्वपूर्ण घटक हैं। वे हस्तक्षेप जो फीचर ज्यामिति को बदलते हैं (जैसे, नियमितीकरण या वास्तुशिल्प परिवर्तनों के माध्यम से), रोबस्टनेस को महत्वपूर्ण रूप से प्रभावित कर सकते हैं।

लेखक विनम्र रहते हुए नोट करते हैं कि सुपरपोजिशन भेद्यता के लिए पर्याप्त है लेकिन आवश्यक नहीं है, और सटीक तंत्र हमले और मॉडल के आधार पर भिन्न हो सकते हैं। यह कार्य ज्ञात लेबल वाले फीचर्स पर केंद्रित है, और भविष्य के कार्य के लिए इन निष्कर्षों को फीचर डिस्कवरी विधियों के माध्यम से मध्यवर्ती परतों तक विस्तारित करने की आवश्यकता है।