Sample-Specific Noise Injection For Diffusion-Based Adversarial Purification

1. Il Problema

Le reti neurali profonde (DNN) sono vulnerabili agli esempi avversari (AE), ovvero input manipolati con perturbazioni impercettibili che inducono errori di classificazione. Una strategia difensiva promettente è la Purificazione Adversaria (AP), che utilizza modelli generativi per rimuovere il rumore avversario prima della classificazione.

In particolare, i metodi basati su Diffusione (DBP) funzionano in due fasi:

1. Processo Forward: Iniettano rumore gaussiano nell'input per distruggere le perturbazioni avversarie.
2. Processo Reverse: Ricostruiscono l'immagine pulita partendo dal rumore.

La Limitazione Attuale:
Nei metodi DBP esistenti, il livello di rumore da iniettare è controllato da un parametro costante $t^*$, condiviso da tutti i campioni (sample-shared).

• Se $t^*$ è troppo basso, il rumore avversario non viene sufficientemente distrutto.
• Se $t^*$ è troppo alto, le informazioni semantiche dell'immagine originale vengono distrutte, rendendo difficile la ricostruzione corretta.
  Il paper dimostra empiricamente che un livello di rumore ottimale $t^*$ varia da campione a campione: un'immagine già pulita richiede meno rumore, mentre un'immagine fortemente perturbata ne richiede di più. L'uso di un valore fisso porta a un compromesso subottimale tra accuratezza su dati puliti (clean accuracy) e robustezza.

2. Metodologia: SSNI

Gli autori propongono un nuovo framework chiamato Sample-specific Score-aware Noise Injection (SSNI). L'obiettivo è adattare dinamicamente il livello di rumore $t^*$ per ogni singolo campione in base alla sua distanza dalla distribuzione dei dati puliti.

Componenti Chiave:

1. Score Norm come Metrica di Deviazione:

   • Il paper utilizza la "norma dello score" ($\|\nabla_x \log p_t(x)\|$), che misura la grandezza del gradiente della densità di probabilità logaritmica.
   • Idea: I punti dati vicini alla distribuzione dei dati puliti (campioni puliti o poco perturbati) hanno una norma dello score bassa. I punti lontani (campioni avversari con forte perturbazione) hanno una norma dello score alta.
   • È stato osservato che la norma dello score scala direttamente con l'intensità della perturbazione avversaria ($\epsilon$).

2. Expected Perturbation Score (EPS):

   • Per evitare la sensibilità al livello di rumore di riferimento ($t_S$) usato per calcolare lo score, SSNI utilizza l'EPS. Questo aggrega gli score su un intervallo di livelli di rumore, fornendo una stima più robusta della deviazione del campione.

3. Funzioni di Ripesatura (Reweighting):

   • Una volta calcolata la norma dello score (o EPS) per un campione, SSNI applica una funzione di ripesatura $f(\cdot)$ per determinare il nuovo livello di rumore $t(x)$ specifico per quel campione.
   • Sono state proposte due varianti:
     • SSNI-L: Funzione di ripesatura lineare.
     • SSNI-N: Funzione di ripesatura non lineare basata sulla sigmoide, che permette un adattamento più fluido.
   • Viene aggiunto un termine di bias ($b$) per permettere a $t(x)$ di superare il $t^*$ originale se necessario, garantendo la rimozione di perturbazioni forti.

4. Integrazione nel Flusso DBP:

   • Il processo di diffusione forward non usa più un $t^*$ fisso, ma un $t(x)$ calcolato dinamicamente: $x_{t(x)} = \sqrt{\bar{\alpha}_{t(x)}}x + \sqrt{1-\bar{\alpha}_{t(x)}}\epsilon$.
   • Il processo reverse procede poi da questo livello di rumore specifico per ricostruire l'immagine.

3. Contributi Chiave

1. Scoperta Teorica ed Empirica: Dimostrazione che il livello di rumore ottimale per la purificazione è intrinsecamente specifico per campione e non può essere globalmente condiviso senza perdita di prestazioni.
2. Framework SSNI: Introduzione di un metodo generale che utilizza le norme degli score per adattare il rumore di diffusione. A differenza di metodi precedenti, SSNI inietta meno rumore sui campioni puliti (migliorando l'accuratezza) e più rumore su quelli avversari (migliorando la robustezza).
3. Generalità: SSNI non è un metodo di purificazione isolato, ma un framework che può essere integrato "senza soluzione di continuità" con qualsiasi metodo DBP esistente (es. DiffPure, GDMP, GNS).
4. Efficienza Computazionale: L'aggiunta del modulo di calcolo dello score e della ripesatura è leggera, con un overhead computazionale minimo (circa 0.5s in più su CIFAR-10 e 5s su ImageNet-1K per immagine).

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su CIFAR-10 e ImageNet-1K contro attacchi adattivi white-box avanzati (PGD+EOT, BPDA+EOT, AutoAttack, DiffAttack).

• Miglioramento Accuratezza-Robustezza: SSNI (in particolare la versione SSNI-N) ha migliorato significativamente sia l'accuratezza standard (su dati puliti) che quella robusta rispetto ai baseline DBP.
  • Su CIFAR-10 con DiffPure, l'accuratezza standard è aumentata del 3.58% senza compromettere la robustezza.
  • Su GDMP, l'accuratezza robusta è aumentata fino al 4.23% su WideResNet-28-10.
• Scalabilità: I risultati su ImageNet-1K confermano l'efficacia del metodo su dataset su larga scala.
• Robustezza ad Attacchi Diversi: SSNI ha mostrato miglioramenti consistenti contro una varietà di attacchi, inclusi quelli specifici per la diffusione (Diff-PGD, DiffAttack).
• Ablation Study:
  • L'uso della norma dello score singola (senza EPS) migliora l'accuratezza ma riduce la robustezza, confermando la necessità di EPS.
  • La scelta del coefficiente di temperatura $\tau$ nella funzione non lineare è critica per bilanciare le prestazioni.
  • Il metodo funziona bene anche su architetture Transformer (Swin-Transformer).

5. Significato e Impatto

Questo lavoro rappresenta un passo avanti fondamentale nella difesa contro gli esempi avversari basata sulla diffusione.

• Cambio di Paradigma: Sposta l'attenzione da un approccio "one-size-fits-all" (un parametro per tutti) a un approccio adattivo e specifico per campione, riconoscendo che la natura delle perturbazioni varia.
• Efficienza: Risolve il dilemma classico della purificazione, dove spesso si sacrifica l'accuratezza sui dati puliti per ottenere robustezza. SSNI riesce a migliorare entrambi gli aspetti simultaneamente.
• Futuro: Apre la strada a futuri metodi di purificazione che considerano le caratteristiche individuali dei dati, suggerendo che l'ottimizzazione dei parametri di diffusione dovrebbe essere dinamica e guidata dalla distribuzione dei dati.

In sintesi, SSNI dimostra che l'intelligenza nella fase di iniezione del rumore (decidere quanto rumore iniettare per quale immagine) è la chiave per sbloccare il pieno potenziale dei modelli di diffusione nella difesa avversaria.