Evaluating Similitude and Robustness of Deep Image Denoising Models via Adversarial Attack

1. Enunciato del Problema

Le Reti Neurali Profonde (DNN) hanno raggiunto prestazioni all'avanguardia nel denoising delle immagini, superando i metodi tradizionali guidati da modelli. Tuttavia, le DNN sono note per essere vulnerabili agli attacchi avversari, dove perturbazioni impercettibili causano un significativo degrado delle prestazioni.

• Il Divario: Sebbene gli attacchi avversari siano ben studiati nella classificazione di immagini, sono poco esplorati nel denoising delle immagini (un compito di regressione).
• La Sfida: Gli attacchi esistenti alterano spesso la distribuzione del rumore o falliscono nel generalizzare attraverso diverse architetture di denoising. Inoltre, la robustezza e le similarità strutturali (similitudine) tra vari modelli di denoising profondi (ciechi, non ciechi, plug-and-play, unfolding) rimangono poco chiare.
• Obiettivo: Gli autori mirano a proporre un metodo di attacco avversario robusto per il denoising, valutare la robustezza di vari modelli e investigare se diversi modelli di denoising condividono uno "spazio avversario" comune, implicando un'alta similitudine strutturale.

2. Metodologia

A. Attacco Proposto: Denoising-PGD

Gli autori propongono denoising-PGD, un attacco avversario basato sul framework della Projected Gradient Descent (PGD), specificamente adattato per il compito di regressione del denoising delle immagini.

• Input: Un'immagine rumorosa $x = u + n$ (dove $u$ è pulita, $n$ è rumore Gaussiano).
• Meccanismo: Invece di perturbare l'immagine pulita, l'attacco aggiunge una piccola perturbazione impercettibile direttamente all'immagine rumorosa ($x$).
• Funzione di Perdita: L'attacco minimizza la similarità tra l'output denoised e l'immagine pulita di ground truth. Specificamente, massimizza la norma negativa $L_2$ (o minimizza PSNR/SSIM) tra $D(x')$ e $y$ (immagine pulita).
• Vincolo: La perturbazione è vincolata per garantire che la distribuzione del rumore risultante rimanga vicina alla Gaussiana, rendendo l'attacco occulto e mantenendo il livello di rumore.
• Ottimizzazione: È formulato come un problema di punto di sella: trovare la perturbazione nel caso peggiore all'interno di una regione limitata che massimizza l'errore di denoising.

B. Similitudine di Robustezza (DMRS)

Per quantificare la similarità tra i modelli, gli autori introducono la Denoising Model Robustness Similitude (DMRS).

• Concetto: Se due modelli falliscono sullo stesso esatto insieme di perturbazioni avversarie, sono considerati "simili" nel loro comportamento locale.
• Misurazione: Gli autori generano campioni di rumore su un cerchio nello spazio multidimensionale che circonda un'immagine con rumore Gaussiano. Calcolano l'Intersection over Union (IoU) delle "regioni avversarie" (angoli in cui il modello fallisce) per due modelli diversi.
• Formula: $DMRS = \frac{1}{M} \sum IoU(Radar(D_1), Radar(D_2))$, dove il diagramma Radar rappresenta le prestazioni del modello attraverso diverse perturbazioni angolari.

C. Difesa: Adversarial Training

Il lavoro valuta l'adversarial training come meccanismo di difesa. Questo comporta la miscelazione di immagini rumorose avversarie con immagini rumorose Gaussiane standard durante la fase di addestramento per costringere il modello ad apprendere caratteristiche robuste.

D. L2-Denoising-PGD

Per affrontare le preoccupazioni secondo cui le perturbazioni PGD casuali potrebbero alterare la distribuzione del rumore, gli autori propongono L2-denoising-PGD. Questa variante impone un vincolo $L_2$ per garantire che il rumore perturbato aderisca strettamente all'assunzione di distribuzione Gaussiana, validando ulteriormente che l'attacco mira alla capacità di regressione del modello piuttosto che a spostamenti nella distribuzione del rumore.

3. Contributi Chiave

1. Attacco Denoising-PGD: Un metodo di attacco innovativo che inganna con successo i modelli di denoising profondi perturbando l'immagine di rumore di input mantenendo la distribuzione del rumore quasi invariata.
2. Scoperta di uno Spazio Avversario Condiviso: Lo studio rivela che diversi modelli di denoising profondi (non ciechi, ciechi, plug-and-play e unfolding) condividono un insieme di campioni avversari altamente sovrapposto. Ciò suggerisce che, nonostante le differenze architetturali, questi modelli regressano funzioni simili nel vicinato locale dei dati di test.
3. Indicatore di Similitudine di Robustezza: Introduzione della DMRS per misurare quantitativamente la similarità locale dei modelli. I risultati mostrano un'alta DMRS (fino al 90%) tra modelli dello stesso tipo e persino tra modelli ibridi e modelli puramente basati sui dati.
4. Classifica di Robustezza:
   • Più Robusti: Modelli non ciechi puramente basati sui dati (es. DnCNN, ECNDNet).
   • Moderatamente Robusti: Modelli guidati da ibridi (Plug-and-Play, Unfolding).
   • Meno Robusti: Modelli di denoising ciechi (es. DnCNN-B, Noise2Noise).
5. Resistenza dei Metodi Classici: Il metodo classico guidato da modelli BM3D dimostra una forte resistenza a questi attacchi avversari, a differenza dei modelli di deep learning.
6. Difesa Efficace: L'adversarial training migliora significativamente la robustezza (riducendo il calo di PSNR da ~0.8dB a ~0.1dB) senza degradare le prestazioni su rumore Gaussiano pulito.

4. Risultati Sperimentali

• Efficacia dell'Attacco: Sul dataset Set12 (livello di rumore $\sigma=25$), denoising-PGD ha causato un calo di PSNR di 0.8 dB su DnCNN e fino a 4.0 dB su modelli ciechi come DnCNN-B. Gli artefatti visivi e la perdita di texture sono stati significativi.
• Trasferibilità: I campioni avversari generati per DnCNN hanno attaccato con successo FFDNet, ECNDNet, DnCNN-B, RDDCNN-B, DPIR e DeamNet.
  • Osservazione: I modelli ciechi sono stati più vulnerabili agli attacchi generati da altri modelli ciechi, ma i modelli non ciechi hanno mostrato un'alta trasferibilità su tutti i tipi.
• Punteggi di Similitudine:
  • Modelli non ciechi (DnCNN vs. ECNDNet): 0.97 di similarità.
  • Modelli ibridi (DPIR) vs. Non ciechi (DnCNN): 0.88 di similarità.
  • Modelli ciechi (DnCNN-B) vs. Non ciechi: 0.51 di similarità (più bassa, ma comunque significativa).
• Immagini a Colori: L'attacco è stato esteso alle immagini RGB (FFDNet), mostrando una trasferibilità simile, sebbene leggermente inferiore rispetto alle scale di grigio.
• Prestazioni BM3D: Quando attaccato con campioni generati da DnCNN, il PSNR di BM3D è sceso di soli 0.06 dB, dimostrando la sua robustezza.
• Adversarial Training: I modelli addestrati con esempi avversari hanno mostrato una perdita di prestazioni trascurabile sui dati puliti ma sono diventati altamente resistenti agli attacchi (riduzione del calo di PSNR a ~0.1 dB).

5. Significato e Implicazioni

• Vulnerabilità del Denoising Profondo: Il lavoro sfida la nozione secondo cui il denoising profondo sia un problema "risolto". Dimostra che i modelli SOTA attuali sono fragili contro piccole perturbazioni mirate, specialmente i modelli ciechi.
• Omogeneità dei Modelli: L'alta trasferibilità e i punteggi DMRS elevati suggeriscono che, nonostante diverse formulazioni matematiche (unfolding, plug-and-play, apprendimento residuo), i modelli di denoising profondo convergono verso soluzioni locali simili. Ciò implica una mancanza di diversità nel modo in cui questi modelli gestiscono il rumore nello spazio multidimensionale.
• Strategia di Difesa: Lo studio valida che l'adversarial training è una difesa efficace per i compiti di denoising, a differenza di molte difese per la classificazione che si basano sull'oscuramento.
• Ruolo dei Metodi Classici: La resilienza di BM3D suggerisce che i prior classici guidati da modelli possono offrire una robustezza intrinseca che manca ai modelli black-box puramente basati sui dati. Ciò supporta l'uso di metodi classici come "purificatori" nelle pipeline di difesa avversaria.
• Direzioni Future: I risultati richiedono lo sviluppo di architetture di denoising più diversificate e paradigmi di addestramento robusti per garantire la sicurezza in applicazioni critiche (es. imaging medico, guida autonoma).