💻 computer science

A Mimetic Detector for Adversarial Image Perturbations

यह शोधपत्र एक प्रशिक्षण-मुक्त (training-free), सिंगल-शॉट मिमेटिक डिटेक्टर प्रस्तावित करता है जो लक्ष्य क्लासिफायर तक पहुँच की आवश्यकता के बिना, $\ell^\infty$ -बाउंडेड हमलों को स्वच्छ छवियों से प्रभावी ढंग से अलग करने के लिए Corbino–Castillo ऑपरेटर्स का उपयोग करके एडवरसेरियल परमटर्बेशन्स की उच्च-आवृत्ति ग्रेडिएंट ऊर्जा का लाभ उठाता है।

मूल लेखक: Johnny Corbino

प्रकाशित 2026-05-13

📖 5 मिनट में पढ़ें🧠 गहराई से पढ़ें

CC BY 4.0

मूल लेखक: Johnny Corbino

मूल पेपर CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) के तहत लाइसेंस किया गया है। ✨ नीचे दिए गए पेपर की यह व्याख्या AI से तैयार की गई है। इसे लेखकों ने न तो लिखा है, न इसका समर्थन किया है। तकनीकी सटीकता के लिए मूल पेपर देखें। पूरा डिस्क्लेमर पढ़ें

कल्पना कीजिए कि आपके पास एक बहुत ही बुद्धिमान रोबोट है जो तस्वीरों को देखता है और बताता है कि वे क्या हैं—जैसे कि एक बिल्ली, एक कुत्ता, या एक शिमला मिर्च। लेकिन इसमें एक चालाकी भरा पैंतरा है: हैकर्स तस्वीर में एक बहुत ही सूक्ष्म, लगभग अदृश्य "स्टैटिक" (static) की परत जोड़ सकते हैं। आपकी मानवीय आँखों के लिए, तस्वीर बिल्कुल वैसी ही दिखती है जैसी वह थी। लेकिन उस रोबोट के लिए, यह स्टैटिक तस्वीर का अर्थ पूरी तरह बदल देता है, जिससे उसे लगता है कि एक शिमला मिर्च एक टोस्टर है। इसे एडवर्सरियल अटैक (adversarial attack) कहा जाता है।

यह शोध पत्र छवियों के लिए एक नया "झूठ पकड़ने वाले यंत्र" (lie detector) को पेश करता है। यह रोबोट को ठीक करने या उसे अधिक स्मार्ट बनाने की कोशिश नहीं करता है। इसके बजाय, यह केवल रोबोट के देखने से पहले तस्वीर की जांच करता है और पूछता है: "क्या यह छवि संदिग्ध लग रही है?"

यह कैसे काम करता है, सरल उपमाओं का उपयोग करते हुए यहाँ दिया गया है:

1. समस्या: "स्टैटिक" शोर (The "Static" Noise)

एक सामान्य फोटो को एक शांत झील की तरह समझें। लहरें (छवि में परिवर्तन) वस्तुओं के किनारों के आसपास स्वाभाविक रूप से होती हैं, जैसे पानी की सतह को तोड़ता हुआ कोई पत्थर।

एडवर्सरियल अटैक उस झील में मुट्ठी भर रेत फेंकने की तरह हैं। रेत इतनी बारीक और समान रूप से फैली हुई है कि आप इसे अपनी नग्न आंखों से नहीं देख सकते। लेकिन यदि आप पानी की हलचल (छवि का "ग्रेडिएंट" या ऊर्जा) को देखते हैं, तो वह रेत केवल किनारों पर ही नहीं, बल्कि हर जगह एक अराजक, उच्च-आवृत्ति (high-frequency) वाले कंपन (vibration) को जन्म देती है।

2. समाधान: "मिमेटिक" जासूस (The "Mimetic" Detective)

लेखकों ने एक उपकरण बनाया है जिसे मिमेटिक डिटेक्टर (Mimetic Detector) कहा जाता है। यहाँ "मिमेटिक" का अर्थ केवल यह है कि यह इस तरह की नकल करता है जैसे प्रकृति परिवर्तनों की गणना करती है (जैसे कि कैसे एक नदी चट्टानों के ऊपर से बहती है) लेकिन यह डिजिटल ग्रिड पर इसे पूरी तरह से करता है।

अन्य डिटेक्टरों के विपरीत, जिन्हें यह सीखने के लिए कि क्या देखना है, नकली छवियों के विशाल डेटाबेस की आवश्यकता होती है, यह उपकरण ट्रेनिंग-फ्री (training-free) है। इसे हमलों के उदाहरणों का अध्ययन करने की आवश्यकता नहीं है। यह केवल छवि के "कंपन" (vibration) को मापने के लिए एक विशिष्ट गणितीय सूत्र का उपयोग करता है।

उपमा: कल्पना कीजिए कि आप एक चिकनी, हाथ से पेंट की गई दीवार और अदृश्य, उच्च-आवृत्ति वाली स्टेटिक बिजली से ढकी दीवार के बीच अंतर करने की कोशिश कर रहे हैं।
- एक सामान्य दीवार (एक साफ छवि) में चिकना पेंट होता है।
- हमला की गई दीवार में पूरी दीवार पर एक छिपा हुआ, गुनगुनाता हुआ स्टेटिक चार्ज होता है।
- यह डिटेक्टर एक विशेष सेंसर की तरह है जो उस "गुनगुनाहट" (buzz) को मापता है। यदि गुनगुनाहट बहुत अधिक है, तो यह चिल्ला उठता है, "यह नकली है!"

3. यह कैसे काम करता है (द "वन-शॉट" टेस्ट)

डिटेक्टर छवि पर एक त्वरित गणितीय जांच करता है:

यह चित्र में होने वाले परिवर्तनों की "ऊर्जा" (energy/gradient) की गणना करता है।
यह उस ऊर्जा की तुलना चित्र की कुल चमक (brightness) से करता है।
यह एक एकल संख्या (स्कोर) देता है।

साफ छवि (Clean Image): स्कोर कम होता है। ऊर्जा वहीं होती है जहाँ उसे होना चाहिए (वस्तुओं के किनारों पर)।
हमला की गई छवि (Attacked Image): स्कोर अधिक होता है। ऊर्जा अदृश्य रेत की तरह हर जगह फैली होती है।

लेखकों ने इस डिटेक्टर का परीक्षण शिमला मिर्च की एक मानक तस्वीर पर किया। जब उन्होंने "नकली" शोर (एडवर्सरियल अटैक) जोड़ा, तो डिटेक्टर का स्कोर साफ तस्वीर की तुलना में 3.5 से 4 गुना बढ़ गया। जब उन्होंने "चिकना" शोर (जैसे एक हल्की लहर) जोड़ा, तो स्कोर वही रहा, जिससे यह सिद्ध हुआ कि डिटेक्टर केवल किसी भी बदलाव से भ्रमित नहीं होता, बल्कि केवल उस विशिष्ट "अराजक" प्रकार के बदलाव से जो हमलों में उपयोग किया जाता है।

4. यह क्यों विशेष है

कोई ट्रेनिंग आवश्यक नहीं: आपको इसे नकली छवियों के हजारों उदाहरण खिलाने की आवश्यकता नहीं है ताकि इसे सिखाया जा सके। यह बिना किसी तैयारी के काम करता है।
अत्यधिक तेज़: यह एक सेकंड के बहुत छोटे हिस्से में छवि की जांच करता है (पिक्सेल को एक बार स्कैन करने में लगने वाला समय)।
कोई रहस्य जानने की आवश्यकता नहीं: इसे यह जानने की आवश्यकता नहीं है कि रोबोट (AI) कैसे सोचता है। यह केवल तस्वीर को देखता है।

निष्कर्ष (The Bottom Line)

यह शोध पत्र छवियों को पहचानने का एक सरल, तेज़ और चतुर तरीका प्रस्तुत करता है कि क्या किसी छवि के साथ AI हमलावर द्वारा छेड़छाड़ की गई है। यह एक सुरक्षा गार्ड की तरह है जिसे चोर का चेहरा जानने की आवश्यकता नहीं है; वे बस इतना जानते हैं कि यदि फर्श अजीब, एक समान तरीके से कंपन कर रहा है, तो कुछ गलत है।

महत्वपूर्ण नोट: लेखक स्पष्ट हैं कि यह एक डिटेक्टर है, न कि एक कवच (shield)। यह बता सकता है कि एक छवि संदिग्ध है, लेकिन यह छवि को "ठीक" नहीं करता है या यह गारंटी नहीं देता कि यदि हमलावर बहुत चतुर हो जाता है तो AI मूर्ख नहीं बनेगा। यह एक चेतावनी प्रणाली है, कोई सुरक्षा घेरा (force field) नहीं।

तकनीकी सारांश: प्रतिकूल छवि विचलनों (Adversarial Image Perturbations) के लिए एक मिमेटिक डिटेक्टर

समस्या विवरण (Problem Statement)

एडवर्सरियल हमले (Adversarial attacks) सूक्ष्म, लगभग अदृश्य शोर पैटर्न ( $\delta$ ) को एक स्वच्छ छवि ( $x$ ) में पेश करके डीप इमेज क्लासिफायर से समझौता करते हैं, जिससे मानव पर्यवेक्षकों के लिए दृश्य रूप से समान रहने के बावजूद गलत वर्गीकरण होता है। मानक $\ell_\infty$ -बाउंडेड हमले, जैसे कि फास्ट ग्रेडिएंट साइन मेथड (FGSM), प्रोजेक्टेड ग्रेडिएंट डिसेंट (PGD), और कार्लिनी-वॉर्नर का $\ell_\infty$ वेरिएंट, ऐसे विचलनों को उत्पन्न करते हैं जो पिक्सेल स्तर पर उच्च-आवृत्ति (high-frequency), लगभग यादृच्छिक साइन पैटर्न द्वारा पहचाने जाते हैं। हालांकि ये विचलन $\ell_2$ नॉर्म में छोटे होते हैं, लेकिन वे अत्यधिक ग्रेडिएंट ऊर्जा (gradient energy) वहन करते हैं।

मुख्य चुनौती डिटेक्शन (पहचान) है, न कि मजबूती (robustness)। जबकि एक क्लासिफायर को ऐसे विचलनों के प्रति मजबूत बनाना कठिन है, यहाँ लक्ष्य यह निर्धारित करना है कि, दिए गए इनपुट $x'$ के लिए, क्या इसे विचलित किया गया है। मौजूदा दृष्टिकोण, जैसे कि स्पेक्ट्रलडिफेंस (SpectralDefense), अक्सर फूरियर-डोमेन फीचर्स पर आधारित क्लासिफायर को प्रशिक्षित करने पर निर्भर करते हैं। यह कार्य एक ट्रेनिंग-फ्री (प्रशिक्षण-मुक्त) विकल्प प्रस्तावित करता है जिसमें किसी सरोगेट क्लासिफायर या हमले के अधीन नेटवर्क तक पहुंच की आवश्यकता नहीं होती है।

कार्यप्रणाली (Methodology)

प्रस्तावित डिटेक्टर प्राकृतिक छवियों और एडवर्सरियल विचलनों के बीच ग्रेडिएंट ऊर्जा वितरण के मौलिक अंतर का लाभ उठाता है। प्राकृतिक छवियां किनारों (edges) पर ग्रेडिएंट ऊर्जा केंद्रित करती हैं, जबकि अन्य स्थानों पर सामग्री सुचारू (smooth) होती है, जबकि एडवर्सरियल विचलन उच्चतम स्थानिक आवृत्तियों (spatial frequencies) पर पूरी छवि में ग्रेडिएंट ऊर्जा को समान रूप से वितरित करते हैं।

मिमेटिक ग्रेडिएंट-एनर्जी रेश्यो (The Mimetic Gradient-Energy Ratio)

इस पद्धति का मूल एक एकल स्केलर मीट्रिक, $T(x)$ है, जिसे मिमेटिक ग्रेडिएंट ऊर्जा और प्लेन पिक्सेल नॉर्म के अनुपात के रूप में परिभाषित किया गया है:

$T(x) = \frac{(G u)^\top P (G u)}{\sum_{i,j} x_{ij}^2}$

जहाँ:

$u$ : इनपुट छवि $x$ जिसे प्रत्येक तरफ एक घोस्ट सेल (रेप्लिकेट बाउंड्री) के साथ पैड किया गया है और वेक्टरकृत किया गया है।
$G$ : ऑर्डर- $k$ कॉर्बिनो-कास्टिलो (Corbino–Castillo) मिमेटिक ग्रेडिएंट ऑपरेटर।
$P$ : $G$ से जुड़ा एक डायगोनल, पॉजिटिव-डेफिनिट वेट मैट्रिक्स।
अंश (Numerator): डिस्क्रीट ग्रेडिएंट ऊर्जा (भारित वर्ग ग्रेडिएंट मानों का योग) का प्रतिनिधित्व करता है।
हर (Denominator): यूक्लिडियन वर्ग पिक्सेल मानों के योग का प्रतिनिधित्व करता है।

कार्यान्वयन विवरण (Implementation Details)

ऑपरेटर्स: यह विधि MOLE लाइब्रेरी के ओपन-सोर्स हाई-ऑर्डर कॉर्बिनो-कास्टिलो मिमेटिक ऑपरेटर्स का उपयोग करती है। इन ऑपरेटर्स को उनकी उच्च-क्रम सटीकता, बिना किसी फ्री पैरामीटर के, और सीमाओं पर सुसंगत सटीकता (आयताकार फ्रेमिंग से कृत्रिम ट्रिगर्स को रोकने के लिए) के कारण चुना गया है।
गणना: गणना प्रति छवि $O(HW)$ समय में की जाती है, जो एक सिंगल स्पार्स मैट्रिक्स-वेक्टर प्रोडक्ट द्वारा संचालित होती है।
निर्णय नियम (Decision Rule): एक थ्रेशोल्ड $\tau$ को एक होल्ड-आउट क्लीन सेट पर कैलिब्रेट किया जाता है (वांछित फॉल्स-पॉजिटिव रेट के आधार पर)। यदि $T(x) > \tau$ है, तो छवि को एडवर्सरियल के रूप में चिह्नित किया जाता है; अन्यथा, इसे स्वच्छ माना जाता है।
गुणधर्म: मीट्रिक $T$ आयामहीन (dimensionless) और स्केल-इनवेरिएंट ( $T(\alpha x) = T(x)$ ) है।

प्रयोगात्मक परिणाम (Experimental Results)

डिटेक्टर को मानक 128 $\times$ 128 ग्रेस्केल "पेपर्स" (peppers) छवि (MATLAB/Octave टूलबॉक्स से) पर $\epsilon = 16/255$ के $\ell_\infty$ बजट के साथ मान्य किया गया था।

परीक्षण मामले (Test Cases)

तीन इनपुट बनाए गए थे:

क्लीन (Clean): कोई विचलन नहीं।
एडवर्सरियल-स्टाइल (Adversarial-style): $\delta_{adv} = \epsilon \text{sign}(\eta)$ , जहाँ $\eta_{ij} \sim \mathcal{N}(0, 1)$ , जो FGSM/PGD के स्थानिक हस्ताक्षर (spatial signature) की नकल करता है।
स्मूथ कंट्रोल (Smooth control): $\delta_{low}$ जो समान $\ell_\infty$ आयाम के साथ कम-आवृत्ति सामग्री (साइनुसोइडल) रखता है।

मुख्य निष्कर्ष (Key Findings)

सेपरेशन (Separation): एडवर्सरियल विचलन ने सभी परीक्षण किए गए ऑर्डर्स ( $k=2, 4, 6$ ) में क्लीन इमेज के सापेक्ष मीट्रिक $T$ को 3 गुना से अधिक बढ़ा दिया।
विशिष्टता (Specificity): स्मूथ कंट्रोल विचलन ने $T$ को अपरिवर्तित छोड़ दिया (1% के भीतर), जो यह दर्शाता है कि डिटेक्टर केवल आयाम परिवर्तनों के प्रति नहीं, बल्कि उच्च-आवृत्ति शोर के प्रति प्रतिक्रिया करता है।
ऑर्डर डिपेंडेंस (Order Dependence): डिटेक्शन मार्जिन (अनुपात $T_{adv}/T_{clean}$ $T_{a d v} / T_{c l e an}$ ) मिमेटिक ऑर्डर $k$ $k$ के साथ निरंतर (monotonically) बढ़ा:
- $k=2$ : 3.55 $\times$ सेपरेशन।
- $k=4$ : 3.94 $\times$ सेपरेशन।
- $k=6$ : 4.19 $\times$ सेपरेशन।
दृश्य साक्ष्य (Visual Evidence): मिमेटिक ग्रेडिएंट मैग्नीट्यूड $|Gx|$ के विज़ुअलाइज़ेशन ने एडवर्सरियल केस में एक लगभग समान उच्च-आवृत्ति प्रिंट प्रकट किया जो क्लीन इमेज में अनुपस्थित था।

महत्व और दावे (Significance and Claims)

यह पेपर इस कार्य को एक व्यावहारिक, तैनात करने योग्य सिंगल-शॉट डिटेक्टर के रूप में प्रस्तुत करता है जिसके तीन विशिष्ट लाभ हैं:

शून्य प्रशिक्षण ओवरहेड (Zero Training Overhead): इसके लिए एडवर्सरियल उदाहरणों के किसी प्रशिक्षण सेट, किसी सरोगेट क्लासिफायर, या लक्षित नेटवर्क के आंतरिक वेट्स तक पहुंच की आवश्यकता नहीं है।
कंप्यूटेशनल दक्षता (Computational Efficiency): यह छवि के आकार के सापेक्ष रैखिक समय ($O(HW)$) में संचालित होता है, जो इसे रीयल-टाइम अनुप्रयोगों के लिए उपयुक्त बनाता है।
स्केलेबल भेदभाव (Scalable Discrimination): डिटेक्शन क्षमता मिमेटिक ऑपरेटर के ऑर्डर के साथ निरंतर रूप से बढ़ती है, जो MOLE निर्माण की एक अंतर्निहित विशेषता है।

सीमाएं और दायरा (Limitations and Scope)

लेखक स्पष्ट रूप से कहते हैं कि यह एक डिटेक्टर है, प्रमाणित डिफेंस (certified defense) नहीं। एक एडेप्टिव हमलावर जो स्पष्ट रूप से $T$ को कम करता है जबकि मिसक्लासिफिकेशन को बनाए रखता है, संभावित रूप से सांख्यिकी को क्लीन वैल्यू के करीब ले जा सकता है, जो संभवतः हमले की सफलता दर को कम करने या $\ell_\infty$ बजट को बढ़ाने की कीमत पर होगा।

पेपर भविष्य के कार्य के लिए दो स्वाभाविक विस्तार सुझाता है:

रंगीन और मल्टीस्पेक्ट्रल इमेजरी के लिए अनुप्रयोग (प्रति-चैनल $T$ को सीखे गए लीनियर कॉम्बिनेशन द्वारा संयोजित करना)।
गैर-समान या वक्ररेखीय सेंसर ज्योमेट्री (curvilinear sensor geometries) के लिए अनुकूलन, जहाँ मिमेटिक संरचनाएं विशेष रूप से शक्तिशाली होती हैं।