Double Down on Defense: Strengthening Deep Perceptual Hashes against Evasion Attacks without Retraining

तकनीकी सारांश: DualShield – इवेजन हमलों के विरुद्ध डीप परसेप्चुअल हैश को सुदृढ़ बनाना

समस्या विवरण
समान दिखने वाली छवियों (near-duplicate images) का मिलान करना कंटेंट मॉडरेशन, प्रोवेनेंस वेरिफिकेशन और कॉपीराइट प्रवर्तन के लिए महत्वपूर्ण है। आधुनिक प्रणालियाँ विजुअली समान छवियों को संक्षिप्त, तुलनीय निरूपणों (representations) में मैप करने के लिए डीप परसेप्चुअल हैश पर निर्भर करती हैं। हालाँकि, ये प्रणालियाँ इवेजन हमलों (evasion attacks) के प्रति संवेदनशील होती हैं, जहाँ एक हमलावर ज्ञात छवि पर अदृश्य गड़बड़ी (perturbations) लागू करता है ताकि उसके हैश निरूपण को इतना बदल दिया जाए कि वह मिलान थ्रेशोल्ड को पार कर सके, जिससे एक 'नियर-डुप्लिकेट' को 'नॉन-मैच' के रूप में गलत वर्गीकृत किया जा सके।

मौजूदा बचाव विधियाँ एक ट्रेड-ऑफ का सामना करती हैं:

1. अनुभवजन्य सुदृढ़ता (Empirical Robustness): जबकि कुछ विधियाँ विशिष्ट ज्ञात हमलों का प्रतिरोध करती हैं, वे अधिक शक्तिशाली या अनदेखे रणनीतियों के विरुद्ध कोई गारंटी नहीं देती हैं।
2. प्रमाणित सुदृढ़ता (Certified Robustness): CertPHash जैसे हालिया दृष्टिकोण बाउंडेड गड़बड़ी के विरुद्ध औपचारिक गारंटी प्रदान करते हैं, लेकिन उन्हें समर्पित, सुदृढ़ हैश मॉडल को शुरू से प्रशिक्षित करने की आवश्यकता होती है। यह उन्हें उन मौजूदा, प्री-ट्रेंड हैश सिस्टम पर तैनात करना कठिन बनाता है जिनका उपयोग उत्पादन (production) में किया जाता है।

मुख्य शोध प्रश्न जिसका समाधान किया गया है वह है: क्या हम मौजूदा डीप परसेसेप्टुअल हैश को उनके अंतर्निहित मॉडलों को पुन: प्रशिक्षित या संशोधित किए बिना, उनकी अनुभवजन्य और प्रमाणित सुदृढ़ता में सुधार कर सकते हैं?

कार्यप्रणाली: DualShield
लेखक DualShield का प्रस्ताव करते हैं, जो एक प्लग-इन डिफेंस मैकेनिज्म है जो मूल हैश मॉडल $f$ को बदले बिना इमेज लाइफसाइकिल के दो अलग-अलग चरणों में कार्य करता है। यह दो पूरक तंत्रों को जोड़ता है:

1. पब्लिकेशन-टाइम हार्डनिंग (Publication-Time Hardening):

   • लक्ष्य: मूल संदर्भ छवि (reference image) को प्रकाशित करने और डेटाबेस में संग्रहीत करने से पहले उसे सक्रिय रूप से अनुकूलित करना।
   • तंत्र: मूल संदर्भ $r$ में एक अनुकूलित, अदृश्य गड़बड़ी $\delta_h$ जोड़ी जाती है ताकि एक सुदृढ़ संदर्भ $r^*$ बनाया जा सके।
   • अनुकूलन (Optimization): गड़बड़ी की गणना पॉजिटिव पेयर्स (संदर्भ और उसके बेनिन वेरिएंट्स) के लिए "स्मूद्थेड मैचिंग मार्जिन" को अधिकतम करने के लिए की जाती है, जबकि नेगेटिव पेयर्स (असंबंधित छवियां) से अलगाव बनाए रखा जाता है। यह संदर्भ को हैश स्पेस के स्थानीय रूप से असुरक्षित क्षेत्रों से दूर ले जाता है, जिससे हमलावर के लिए संशोधित क्वेरी को निर्णय सीमा (decision boundary) के पार धकेलना कठिन हो जाता है।
   • प्रतिबंध: संशोधन को अदृश्य (जैसे, बाउंडेड $\ell_\infty$ नॉर्म) होने के लिए प्रतिबंधित किया गया है और इसे प्रत्येक संदर्भ छवि के लिए केवल एक बार किया जाता है।

2. मैचिंग-टाइम रैंडमाइज्ड स्मूथिंग (Matching-Time Randomized Smoothing):

   • लक्ष्य: क्वेरी इमेज पर छोटी एडवर्सरियल गड़बड़ी के विरुद्ध मैच/नॉन-मैच निर्णय को स्थिर करना।
   • तंत्र: जब एक क्वेरी छवि $q$ सबमिट की जाती है, तो सिस्टम एक एकल नियत (deterministic) हैश तुलना पर निर्भर नहीं रहता है। इसके बजाय, यह सुदृढ़ संदर्भ $r^*$ और क्वेरी $q$ दोनों के लिए स्वतंत्र रूप से गॉसियन नॉइज़ $\eta_r, \eta_q$ को सैंपल करता है।
   • एकत्रीकरण (Aggregation): इन विचलित (perturbed) जोड़ों पर अंडरलिंग हैश मैचर $M_f$ का बार-बार मूल्यांकन किया जाता है। अंतिम निर्णय $N$ सैंपल्स में से बहुमत वोट (या सबसे संभावित क्लास) द्वारा निर्धारित किया जाता है।
   • प्रमाणन (Certification): यह प्रक्रिया मिलान निर्णय को सांख्यिकीय रूप से सुदृढ़ बनाती है। यदि बहुमत क्लास की संभावना $p_A$, 0.5 से अधिक है, तो एक औपचारिक $\ell_2$ प्रमाणित त्रिज्या $R_2 = \sigma \Phi^{-1}(p_A)$ की गणना की जा सकती है। यह गारंटी देता है कि इस त्रिज्या के भीतर क्वेरी में कोई भी योगात्मक गड़बड़ी मिलान निर्णय को नहीं बदल सकती है।

प्रमुख योगदान

• प्लग-इन डिफेंस: DualShield मौजूदा डीप परसेप्चुअल हैश को उनके अंतर्निहित हैश आर्किटेक्चर को पुन: प्रशिक्षित या संशोधित किए बिना सुदृढ़ बनाता है।
• दोहरी-तंत्र डिजाइन: यह अनू的に पब्लिकेशन-टाइम हार्डनिंग (संदर्भ को अनुकूलित करना) को मैचिंग-टाइम रैंडमाइज्ड स्मूथिंग (निर्णय को स्थिर करना) के साथ जोड़ता है, जो पूरक कमजोरियों को संबोधित करता है।
• औपचारिक गारंटी: यह विविध मौजूदा हैश मॉडलों के लिए प्रमाणित $\ell_2$ सुदृढ़ता प्रदान करता है, जिनमें वे भी शामिल हैं जो स्वाभाविक रूप से प्रमाणन का समर्थन नहीं करते हैं।
• व्यापक मूल्यांकन: विधि का मूल्यांकन आठ अलग-अलग डीप परसेप्चुअल हैश मॉडलों (NeuralHash, DINOHash, HybridHash, और CertPHash वेरिएंट सहित) और तीन डेटासेट्स (ImageNet, MS-COCO, Stable-Diffusion) पर किया गया है।

प्रायोगिक परिणाम
मूल्यांकन अनुभवजन्य और प्रमाणित सुदृढ़ता दोनों में पर्याप्त सुधार प्रदर्शित करता है:

• एडवर्सरियल सुदृढ़ता (व्हाइट-बॉक्स): मौजूदा हैश के लिए एडेप्टिव व्हाइट-बॉक्स हमलों के तहत औसत अटैक सक्सेस रेट (ASR) 98.6% था। DualShield ने इसे घटाकर 11.8% कर दिया। HybridHash और CertPHash वेरिएंट जैसे विशिष्ट मॉडलों के लिए, ASR गिरकर लगभग शून्य (0–1%) हो गया।
• एडवर्सरियल सुदृढ़ता (ब्लैक-बॉक्स): औसत ब्लैक-बॉक्स ASR 20.6% से घटकर 1.3% हो गया। आठ में से छह हैश ने परीक्षण किए गए बजटों में शून्य देखा गया ब्लैक-बॉक्स ASR प्राप्त किया।
• प्रमाणित सुदृढ़ता: DualShield ने सभी मूल्यांकित हैशों के लिए लगभग 0.3 का प्रमाणित $\ell_2$ रेडियस स्थापित किया। यह स्मूथिंग-ओनली बेसलाइन (लगभग 0.25) की तुलना में एक महत्वपूर्ण सुधार है और वहां औपचारिक गारंटी प्रदान करता है जहां पहले कोई नहीं थी।
• ट्रांसफॉर्मेशन सुदृढ़ता: अधिकांश हैश के लिए, DualShield सामान्य रूपांतरणों (कंप्रेशन, क्रॉपिंग, रोटेशन) के विरुद्ध कम इवेजन दर बनाए रखता है। हालांकि, कुछ मॉडलों (जैसे, SSCD) के लिए एक ट्रेड-ऑफ देखा गया, जहाँ बढ़ी हुई एडवर्सरियल सुदृढ़ता के कारण ज्यामितीय रूपांतरणों (जैसे क्रॉपिंग/रोटेशन इवेजन 0.5% से बढ़कर 23.6% हो गया) के तहत इवेजन दर बढ़ गई।
• उपयोगिता और निष्ठा (Utility and Fidelity):
  • कोलिजन (Collisions): DualShield आमतौर पर मूल कोलिजन दरों को सुरक्षित रखता है, जिसमें अधिकांश हैश असंबंधित छवियों पर 0% या शून्य के करीब कोलिजन दर बनाए रखते हैं।
  • विजुअल क्वालिटी: सुदृढ़ छवियां मूल के समान ही दृश्यमान रहीं। C-PDQ और C-PDNA जैसे मॉडलों ने उच्च स्ट्रक्चरल सिमिलरिटी (SSIM > 0.9) दिखाई, जबकि अन्य (जैसे DINOHash) को समान सुदृढ़ता प्राप्त करने के लिए थोड़े अधिक दृश्यमान टेक्सचर परिवर्तनों की आवश्यकता थी।

महत्व और दावे
पेपर का दावा है कि DualShield यह प्रदर्शित करता है कि मजबूत डीप परसेप्चुअल हैशिंग के लिए आवश्यक रूप से कोर हैश मॉडलों को फिर से डिजाइन करने या पुन: प्रशिक्षित करने की आवश्यकता नहीं है। इसके बजाय, सुदृढ़ता को एक प्लग-इन लेयर के रूप में जोड़ा जा सकता है जो प्रकाशित संदर्भ को संयुक्त रूप से सुरक्षित करके और मिलान निर्णय को मजबूत करके तैनात प्रणालियों को बढ़ाती है।

लेखक इस बात पर जोर देते हैं कि जबकि अनुभवजन्य सुदृढ़ता (विशिष्ट हमलों के प्रति प्रतिरोध) में सुधार हुआ है, मुख्य योगदान मौजूदा प्रणालियों के लिए औपचारिक, प्रमाणित वर्स्ट-केस गारंटी प्रदान करने की क्षमता है। यह वास्तविक दुनिया के प्लेटफार्मों को जटिल डीप लर्निंग मॉडलों को पुन: प्रशिक्षित करने की अत्यधिक लागत के बिना प्रमाणित सुदृढ़ता अपनाने की अनुमति देता है। यह कार्य एक व्यापक डिजाइन सिद्धांत का सुझाव देता है जहाँ सुदृढ़ता को विजुअल मैचिंग सिस्टम के एक योज्य (additive) घटक के रूप में माना जाता है, जिससे प्रमाणित और एडवर्सरियल रूप से सुदृढ़ मिलान अधिक सुलभ हो जाता है।