Riepilogo Tecnico: Scooter – Un Framework di Valutazione Umana per Esempi Avversativi Illimitati

Enunciato del Problema

Gli attacchi avversativi illimitati mirano a ingannare i modelli di visione artificiale (CV) alterando le immagini in modi non vincolati da limiti di norma $\ell_p$, come la modifica del colore o della texture di un oggetto. A differenza degli attacchi vincolati, queste modifiche possono essere semanticamente coerenti e facilmente trascurate dagli esseri umani, permettendo agli attaccanti di aggirare difese tradizionali basate sulla norma, come l'addestramento avversativo o la robustezza certificata. Tuttavia, l'assenza di vincoli basati sulla norma significa che non esiste alcuna garanzia matematica di impercettibilità. Di conseguenza, verificare se questi esempi avversativi (AE) appaiano autentici agli esseri umani richiede una valutazione umana.

La letteratura esistente si affida spesso a metriche automatizzate o a studi umani su piccola scala privi di rigore statistico. Molti lavori precedenti trascurano completamente la valutazione della qualità dell'immagine o si basano su metriche automatizzate che non si allineano alla percezione umana. Inoltre, i protocolli di valutazione umana esistenti spesso mancano di intuizioni statisticamente significative, di una segnalazione trasparente delle demografie, dell'analisi della potenza e di un filtraggio robusto per i partecipanti disattenti. Ciò crea un divario nella capacità di confrontare e validare in modo affidabile l'impercettibilità degli attacchi illimitati.

Metodologia: Il Framework Scooter

Per colmare queste lacune, gli autori introducono Scooter (Systemizing Confusion Over Observations To Evaluate Realness), un framework open-source e statisticamente potente per la valutazione di esempi avversativi illimitati. Il framework è strutturato attorno a una pipeline a tre fasi progettata per garantire la qualità dei dati e la validità statistica:

1. Controlli Preliminari:

   • Test per il Daltonismo: I partecipanti devono classificare correttamente cinque immagini simili a quelle di Ishihara per garantire che possano percepire le modifiche basate sul colore, un vettore primario per gli attacchi illimitati.
   • Verifica di Comprensione: I partecipanti esaminano esempi di immagini modificate rispetto a quelle non modificate e devono identificare correttamente l'immagine modificata in almeno 5 coppie su 6. Questo garantisce la comprensione del compito e filtra i parlanti non fluenti in inglese.

2. Fase Principale di Annotazione:

   • I partecipanti valutano 106 immagini (50 reali, 50 avversative) su una scala Likert a 5 punti che va da "Definitivamente Modificata" (-2) a "Definitivamente Reale" (+2).
   • Il disegno utilizza un approccio a misure ripetute all'interno del soggetto in cui i partecipanti valutano sia immagini reali che modificate.
   • Controlli di Attenzione: Lo studio include "elementi fasulli" (immagini ovviamente modificate) e "verifiche di manipolazione delle istruzioni" (IMC) per rilevare partecipanti disattenti. I partecipanti che falliscono 2 o più dei 6 controlli di attenzione vengono segnalati.
   • Filtraggio: Metriche aggiuntive come il tempo medio per immagine, le statistiche delle lunghe stringhe e la Variabilità di Risposta Intra-individuale (IRV) sono utilizzate per filtrare i dati di bassa qualità.

3. Analisi Statistica e Segnalazione:

   • Test di Equivalenza: Invece di testare per differenze significative (che implicherebbero la rilevabilità), Scooter impiega la procedura dei Test a Due Direzioni (TOST) per testare l'equivalenza. L'obiettivo è dimostrare che la media delle valutazioni delle immagini avversative ($\mu_{modified}$) è praticamente equivalente alla media delle valutazioni delle immagini reali ($\mu_{real}$) entro una tolleranza predefinita ($\Delta$).
   • Limiti: Basandosi su simulazioni empiriche, gli autori hanno fissato limiti di equivalenza pratici di $\Delta_L = -0.2$ e $\Delta_U = +0.2$. Se la differenza tra $\mu_{real}$ e $\mu_{modified}$ rientra in questo intervallo, l'attacco è considerato impercettibile.
   • Segnalazione: Il framework impone la segnalazione delle demografie dei partecipanti, del compenso, dell'impegno temporale e degli output statistici dettagliati per garantire la riproducibilità.

Configurazione Sperimentale

Gli autori hanno applicato il framework Scooter per valutare sei attacchi illimitati:

• Attacchi basati sul Colore: SemanticAdv (SemAdv), cAdv e Natural Color Fool (NCF).
• Attacchi basati sulla Diffusione: DiffAttack (DA), AdvPP e ACA.

Modello Vittima: Gli attacchi sono stati valutati contro un ResNet-50 addestrato avversativamente (ResNet-50-AT), un modello di riferimento robusto noto per resistere agli attacchi standard vincolati dalla norma.
Dataset: Un sottoinsieme curato delle immagini di validazione di ImageNet-1k, denominato ImageNet S-R50-N, contenente 2.966 immagini classificate correttamente dal modello vittima e prive di artefatti preesistenti.
Partecipanti: È stato reclutato un totale di 346 partecipanti tramite Prolific, risultando in oltre 34.000 valutazioni umane.

Risultati Chiave

Lo studio ha prodotto prove statisticamente significative che contraddicono l'affermazione secondo cui gli attuali attacchi illimitati sono impercettibili:

1. Fallimento dell'Impercettibilità: Per tutti e sei gli attacchi, la procedura TOST non è riuscita a rifiutare l'ipotesi nulla secondo cui le immagini non sono equivalenti. Nello specifico, i valori p per il test del limite superiore ($\Delta > \Delta_U$) sono stati 1,000 per tutti gli attacchi. Ciò indica che le immagini reali sono state valutate significativamente più in alto (più "reali") rispetto agli esempi avversativi, con divari che superano di gran lunga la tolleranza di $\pm 0.2$.
2. Prestazioni degli Attacchi:
   • Gli attacchi basati sulla diffusione hanno generalmente superato quelli basati sul colore in termini di impercettibilità (ad esempio, AdvPP aveva un $\mu_{modified}$ di -0,5188, più vicino alle immagini reali rispetto agli altri), ma hanno comunque fallito nel raggiungere l'equivalenza statistica.
   • SemAdv, nonostante sia l'attacco più semplice, ha performato sorprendentemente bene, superando quattro altri attacchi nei punteggi grezzi di modifica, sebbene abbia comunque fallito il test di equivalenza.
   • NCF ha prodotto le modifiche più evidenti, con il divario più ampio tra le valutazioni reali e quelle modificate.
3. Discrepanza con il Successo del Modello: Non esiste alcuna correlazione tra il tasso di successo di un attacco contro il modello vittima e la sua impercettibilità per gli esseri umani. Ad esempio, NCF aveva un alto tasso di successo dell'attacco (0,922) ma era altamente percettibile, mentre AdvPP aveva un basso tasso di successo (0,081) ma era il meno percettibile.
4. Proxy Automatizzati:
   • GPT-4o: Il modello visione-linguaggio ha mostrato una certa capacità di segnalare attacchi impercettibili, ma non si è allineato perfettamente alle valutazioni umane, in particolare per AdvPP e ACA.
   • Metriche Oggettive: Le metriche standard di qualità dell'immagine (ad esempio, FID, FD, KD) non sono riuscite a correlarsi con la percezione umana. In modo notevole, le metriche hanno spesso classificato NCF (l'attacco più percettibile) come avente la qualità dell'immagine più alta, contraddicendo direttamente i giudizi umani. La metrica per immagine TOPIQ ha mostrato il miglior allineamento, ma ha comunque fallito nel fungere da proxy affidabile del giudizio umano su tutti gli attacchi.

Significato e Affermazioni

Il documento afferma di fornire il primo benchmark statisticamente potente e liberamente disponibile che collega rigorosamente la percezione umana alla qualità degli esempi avversativi illimitati. I suoi contributi principali sono:

• Standard Metodologico: Stabilisce linee guida per le migliori pratiche relative alla potenza degli studi su crowd, al compenso e all'analisi statistica (in particolare TOST) per la valutazione dell'impercettibilità, affrontando la mancanza di intuizioni statisticamente significative nei lavori precedenti.
• Evidenza Empirica: Dimostra che gli attuali attacchi illimitati all'avanguardia, inclusi quelli basati su modelli di diffusione, non sono impercettibili per gli esseri umani. Gli autori concludono che gli esseri umani possono distinguere facilmente le immagini autentiche da quelle modificate da questi attacchi.
• Disaccoppiamento degli Obiettivi: I risultati suggeriscono che ingannare un modello di visione artificiale e ingannare un osservatore umano sono obiettivi largamente ortogonali; un alto successo dell'attacco non implica un'alta impercettibilità.
• Limiti delle Metriche Automatizzate: Lo studio rafforza il concetto che le attuali metriche oggettive di qualità dell'immagine sono proxy insufficienti per la percezione umana nel contesto degli esempi avversativi.

Gli autori posizionano Scooter come uno strumento per abilitare ricerche riproducibili e incentrate sull'uomo, esortando la comunità ad andare oltre le metriche automatizzate e le affermazioni non verificate di impercettibilità. Rilasciano il codice sorgente, il dataset ImageNet S-R50-N e oltre 34.000 valutazioni umane per facilitare la ricerca futura in questo dominio.