💻 computer science

Improving Adversarial Robustness of Zero-Shot CLIP with Confidence-Aware Weighting

Questo articolo propone il Confidence-Aware Weighting (CAW), un metodo innovativo che migliora la robustezza avversaria dei modelli CLIP zero-shot dando priorità ai campioni incerti attraverso una perdita consapevole della confidenza e preservando la coerenza semantica tramite l'allineamento delle caratteristiche, superando così gli approcci allo stato dell'arte sia in termini di robustezza che di efficienza della memoria.

Autori originali: Nikoo Naghavian, Mostafa Tavassolipour

Pubblicato 2026-07-28

📖 5 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Nikoo Naghavian, Mostafa Tavassolipour

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immaginate un mondo in cui i computer possono "vedere" e "leggere" contemporaneamente, imparando da l'intera rete internet per capire che l'immagine di un golden retriever corrisponde alle parole "un cane felice". Questa è la magia dei Modelli Vision-Language, come il famoso CLIP. Sono come studenti super intelligenti che hanno letto ogni libro e visto ogni foto online, permettendo loro di indovinare cosa c'è in un'immagine anche se non hanno mai visto quel tipo specifico di animale prima d'ora. Tuttavia, proprio come un essere umano che potrebbe essere ingannato da un'astuta illusione ottica, questi modelli di IA hanno una debolezza segreta. Se si aggiunge una piccola quantità invisibile di "rumore" a un'immagine — come spargere alcuni granelli di sabbia digitale che l'occhio umano non può vedere — il computer può improvvisamente confondersi completamente, pensando che un gatto sia un tostapane. Questo è chiamato "attacco avversario" (adversarial attack), ed è un problema maggiore perché significa che questi potenti strumenti possono essere facilmente ingannati in situazioni del mondo reale.

La grande domanda che gli scienziati si pongono è: come possiamo rendere questi modelli più robusti senza far loro dimenticare tutto ciò che già sanno? Di solito, per insegnare a un computer a essere robusto, bisogna mostrargli migliaia di queste immagini truccate e rumorose durante l'addestramento. Ma c'è un problema: se tratti ogni singola immagine allo stesso modo, il computer spreca tempo studiando quelle facili (che già comprende) e potrebbe comunque perdere quelle davvero difficili che hanno più bisogno di aiuto. È come un insegnante che passa tutta la lezione a ripassare un problema di matematica che lo studente ha già risolto perfettamente, ignorando il problema che sta effettivamente causando il suo fallimento nel test.

Questo articolo introduce una nuova e intelligente strategia chiamata Confidence-Aware Weighting (CAW) per risolvere questo problema. I ricercatori si sono resi conto che non tutte le immagini difficili sono uguali. Alcune immagini sono così confuse che il modello indovina a malapena, mentre altre sono solo leggermente incerte. Invece di dare a ogni immagine confusa la stessa quantità di attenzione, CAW agisce come un tutor intelligente che presta particolare attenzione agli studenti che faticano di più.

Ecco come funziona il metodo, usando un'analogia semplice: Immaginate che il modello di IA sia uno studente che sostiene un esame.

La parte "Confidence-Aware": Quando lo studente sbaglia una domanda o è incerto, l'insegnante (il sistema CAW) dice: "Ok, questa è difficile! Concentriamoci su questa". Assegna un peso maggiore alle immagini in cui il modello è meno sicuro. Se il modello è già abbastanza sicuro di un'immagine, l'insegnante dice: "Ce la fai, passiamo oltre". Ciò assicura che il modello concentri la sua energia sul correggere le sue maggiori debolezze invece di riapprendere ciò che già sa.
La parte "Feature Alignment": La seconda parte del trucco è assicurarsi che lo studente non dimentichi ciò che ha imparato nelle classi precedenti. Quando il modello guarda un'immagine complicata e rumorosa, CAW controlla se l' "immagine interna" che vede corrisponde all' "immagine pulita" che ha visto in precedenza. È come dire allo studente: "Anche se questa foto è sfocata, ricorda che è ancora un cane, non un tostapane". Questo evita che il modello si confonda e perda la sua conoscenza originale.

I ricercatori hanno testato questa idea su una vasta collezione di dataset di immagini, incluso TinyImageNet e altri 14 che spaziano da animali domestici e fiori fino a scansioni mediche. Hanno messo il loro nuovo metodo contro altre tecniche di alto livello utilizzando alcuni degli "attacchi" più forti disponibili, compreso un potente test automatizzato chiamato AutoAttack. I risultati sono stati promettenti: il metodo CAW non si è limitato a sopravvivere agli attacchi; è stato anzi capace di performare meglio dei precedenti metodi migliori. Ad esempio, in media su 15 diversi dataset, ha migliorato la capacità del modello di rimanere corretto sotto attacco di circa il 2% rispetto al secondo classificato, utilizzando al contempo meno memoria del computer.

Ciò che è davvero interessante è che il modello non è solo diventato migliore nel combattere gli attacchi; è diventato migliore anche nel guardare le immagini normali e pulite. I ricercatori hanno scoperto che, concentrandosi sugli esempi "difficili", il modello ha imparato un modo più stabile di vedere il mondo. Quando hanno osservato come il modello "prestava attenzione" a diverse parti di un'immagine, hanno visto che prima dell'addestramento, il modello veniva facilmente distratto dal rumore, guardando lo sfondo o pixel casuali. Dopo l'uso di CAW, il modello ha imparato a concentrarsi sull'oggetto reale, anche quando l'immagine veniva attaccata.

In breve, questo articolo suggerisce che, essendo un po' più selettivi su quali esempi confusi studiare, possiamo costruire un'IA che sia sia più intelligente che più resistente. È un passo verso il rendere questi potenti modelli vision-language abbastanza affidabili da essere utilizzati nel mondo reale, dove le cose non sono sempre perfette e a volte cercano di ingannarci. Sebbene il metodo sia attualmente focalizzato sulla parte dell'immagine del modello e testato principalmente su attacchi "white-box" (dove l'attaccante conosce i segreti del modello), esso apre una nuova porta per rendere l'IA più resiliente senza sacrificare la sua capacità di apprendere nuove cose.

Sintesi Tecnica: Miglioramento della Robustezza Avversaria di CLIP Zero-Shot tramite Pesatura Consapevole della Confidenza

Problematica
I modelli visione-linguaggio (VLM), in particolare CLIP, dimostrano una straordinaria capacità di generalizzazione zero-shot in compiti diversificati. Tuttavia, rimangono altamente vulnerabili agli attacchi avversari, in cui perturbazioni impercettibili causano significativi spostamenti nelle predizioni. Sebbene l'addestramento avversario sia un approccio standard per migliorare la robustezza, i metodi esistenti applicati ai VLM su larga scala affrontano due limitazioni primarie:

Ottimizzazione inefficiente: Gli approcci attuali trattano tutti gli esempi avversari allo stesso modo durante l'addestramento, indipendentemente dalla loro difficoltà o stabilità. Ciò ignora il fatto che i campioni con bassa confidenza robusta (predizioni instabili) contribuiscono maggiormente alla vulnerabilità rispetto ai campioni altamente confidenti.
Compromessi tra risorse e prestazioni: Metodi allo stato dell'arte come PMG-AFT e TGA-ZSR richiedono spesso un elevato utilizzo di memoria o faticano a mantenere l'accuratezza robusta sotto attacchi forti (ad es., AutoAttack) senza compromettere l'accuratezza sui dati puliti (clean accuracy) o la generalizzazione.

Metodologia: Pesatura Consapevole della Confidenza (CAW)
Gli autori propongono Confidence-Aware Weighting (CAW), un framework di fine-tuning avversario progettato per potenziare la robustezza zero-shot dei modelli CLIP pre-addestrati, preservando al contempo le loro capacità di generalizzazione. Il metodo introduce una funzione di perdita composita ( $L_{total}$ ) composta da tre termini:

Perdita Contrastiva Standard ( $L_{CE}$ ): La baseline di perdita cross-entropy utilizzata per allineare gli embedding immagine e testo.
Perdita Consapevole della Confidenza ( $L_{CA}$ ): Questa componente affronta l'inefficienza del trattamento paritario di tutti i campioni. Scala la divergenza di Kullback-Leibler (KL) tra la distribuzione delle predizioni del modello sottoposto a fine-tuning sugli input avversari ( $P_{adv}$ $P_{a d v}$ ) e quella del modello pre-addestrato congelato sugli input puliti ( $P_{clean}$ $P_{c l e an}$ ).
- Meccanismo: La divergenza KL è pesata da $(1 - P_{adv, i, y_i})$ , dove $P_{adv, i, y_i}$ è la probabilità predetta della classe reale per il campione avversario.
- Effetto: Questa pesatura assegna maggiore importanza agli esempi avversari "difficili" in cui il modello è incerto (bassa confidenza), costringendo il modello a concentrarsi sulla stabilizzazione di questi casi vulnerabili. Gli autori utilizzano specificamente $KL(P_{adv} \parallel P_{clean})$ invece del inverso, sostenendo che ciò penalizzi meglio le predizioni errate ad alta probabilità nella distribuzione avversaria.
Regolarizzazione dell'Allineamento delle Caratteristiche ( $L_{Reg}$ ): Per prevenire l'overfitting e l'oblio della conoscenza pre-addestrata, questo termine minimizza la distanza $\ell_2$ $ℓ_{2}$ tra le caratteristiche dell'immagine dell'input avversario elaborate dall'encoder sottoposto a fine-tuning e lo stesso input elaborato dall'encoder pre-addestrato congelato.
- Distinzione: A differenza di metodi come FARE che allineano le rappresentazioni congelate "clean" con quelle avversarie sottoposte a fine-tuning, CAW allinea le rappresentazioni avversarie di entrambi gli encoder per stabilizzare le rappresentazioni delle caratteristiche durante il processo di fine-tuning.

L'obiettivo totale è formulato come:
$L_{total} = L_{CE} + \alpha \cdot L_{CA} + \beta \cdot L_{Reg}$

Contributi Chiave

Nuovo Meccanismo di Pesatura: Il documento introduce una strategia di pesatura consapevole della confidenza adattata per i VLM zero-shot, spostando l'attenzione sui campioni avversari instabili e a bassa confidenza per migliorare la robustezza senza sacrificare l'accuratezza sui dati puliti.
Architettura a Doppia Perdita: La combinazione di una divergenza KL scalata dalla confidenza e di un termine di regolarizzazione a livello di caratteristiche crea un equilibrio tra l'apprendimento di caratteristiche robuste e la conservazione della conoscenza semantica derivante dal pre-addestramento.
Efficienza: Il metodo proposto raggiunge prestazioni allo stato dell'arte utilizzando meno memoria rispetto ai baseline competitivi (PMG-AFT e TGA-ZSR).

Risultati Sperimentali
Gli autori hanno valutato CAW sul dataset TinyImageNet per il fine-tuning e hanno testato le prestazioni zero-shot su 15 dataset aggiuntivi che spaziano dal riconoscimento di oggetti generali, alla classificazione fine-grained, al riconoscimento di scene, a compiti specifici di dominio e all'imaging medico.

AutoAttack ( $\epsilon = 1/255$ ): CAW ha raggiunto la più alta accuratezza robusta media (33,51%) su 15 dataset, superando PMG-AFT (31,55%) e TGA-ZSR (31,63%). Ha mostrato una forza particolare su dataset come CIFAR-10 e Caltech-101.
Attacchi PGD-100 e CW: Sotto questi attacchi, CAW ha superato PMG-AFT sia in accuratezza robusta che in accuratezza clean. Ad esempio, sotto PGD-100, CAW ha raggiunto un'accuratezza robusta media del 34,91% rispetto al 33,20% di PMG-AFT, migliorando anche l'accuratezza clean (53,75% vs 47,28%).
Efficienza della Memoria: CAW ha richiesto circa 15.986 MB di memoria, un valore inferiore ai 18.449 MB di PMG-AFT e significativamente inferiore ai 21.227 MB di TGA-ZSR.
Analisi:
- Analisi della Confidenza: I grafia a dispersione (scatter plots) hanno rivelato che dopo il fine-tuning, la correlazione tra la confidenza clean e quella robusta è aumentata, con uno spostamento verso la diagonale, indicando una maggiore stabilità. Il metodo ha ridotto efficacemente i campioni "Solo Clean" (corretti su dati puliti, errati su avversari) senza creare misclassificazioni eccessivamente sicure.
- Mappe di Attenzione: Le visualizzazioni hanno mostrato che CAW aiuta il modello a mantenere un'attenzione costante e semanticamente significativa sulle regioni dell'oggetto rilevanti sia per gli esempi puliti che per quelli avversari, mentre i modelli pre-fine-tuning spesso si concentravano su rumore di fondo irrilevante sotto attacco.

Significato e Rivendicazioni
Il documento sostiene che CAW rappresenti un passo avanti significativo nel proteggere i VLM zero-shot dalle minacce avversarie. Esplicitamente mirando all'incertezza del modello, il metodo apprende caratteristiche più trasferibili e robuste. Gli autori sottolineano che il loro approccio migliora la robustezza sotto attacchi forti (AutoAttack, PGD, CW) mantenendo al contempo un'impronta di memoria inferiore, rendendolo una soluzione pratica per modelli su larga scala.

Limitazioni
Gli autori riconoscono alcune limitazioni:

Il metodo è attualmente specifico per l'architettura CLIP e non è stato testato su altri VLM.
Affronta solo le perturbazioni nell'encoder di immagine, lasciando l'encoder di testo non trattato nonostante la sua importanza nei VLM.
La valutazione è limitata agli attacchi standard white-box; non sono stati esplorati attacchi black-box, adattivi o raggi di perturbazione più ampi.

Articoli simili