Dummy-Aware Weighted Attack (DAWA): Breaking the Safe Sink in Dummy Class Defenses

1. Il Problema: La Sovrastima della Robustezza nelle Difese "Dummy Class"

Il lavoro identifica una critica fondamentale nel campo della valutazione della robustezza avversariale (adversarial robustness). Con l'emergere di nuove strategie di difesa, i metodi di valutazione standardizzati (come AutoAttack) stanno producendo risultati fuorvianti.

• Il Meccanismo di Difesa: Le difese basate su "Dummy Classes" (Classi Fittizie) introducono un'architettura in cui, per un problema di classificazione a $K$ classi, il modello viene addestrato per outputare $2K$ logit. Le prime $K$ classi sono quelle reali, mentre le successive $K$ sono "classi dummy".
  • L'obiettivo di addestramento è guidare gli esempi avversari verso la classe dummy corrispondente (es. se la classe reale è $y$, l'esempio avversario viene spinto verso $y+K$).
  • Questo crea un "Safe Sink" (Sicuro Pozzo): un meccanismo che neutralizza gli attacchi tradizionali.
• Il Fallimento delle Valutazioni Tradizionali: Gli attacchi standard (PGD, AutoAttack) hanno come obiettivo unico: far sì che la classe predetta non sia quella vera ($\arg\max f(\hat{x}) \neq y$).
  • Quando un attacco tradizionale riduce la probabilità della classe vera $y$, la difesa spinge l'esempio verso la classe dummy $y+K$.
  • Poiché $y+K \neq y$, l'attacco viene considerato "riuscito" dai benchmark tradizionali, anche se il modello non commette un errore reale (la classe dummy può essere mappata di nuovo alla classe vera durante l'inferenza funzionale).
  • Risultato: La robustezza viene sovrastimata drasticamente. Un modello può apparire robusto al 58% secondo AutoAttack, mentre in realtà è molto più vulnerabile.

2. Metodologia: Dummy-Aware Weighted Attack (DAWA)

Per colmare questo divario, gli autori propongono DAWA, un nuovo metodo di attacco progettato specificamente per aggirare il meccanismo del "Safe Sink".

Formulazione del Problema

Invece di cercare semplicemente di minimizzare il margine tra la classe vera e le altre ($z_y - \max_{i \neq y} z_i < 0$), DAWA riconosce che un attacco di successo contro queste difese deve soddisfare una condizione più rigorosa:
$$\max(z_y, z_{y+K}) - \max_{i \notin \{y, y+K\}} z_i < 0$$
L'attacco deve ridurre la fiducia del modello sia sulla classe vera ($y$) che sulla classe dummy associata ($y+K$), forzando l'esempio verso una terza classe reale errata.

Funzione di Loss Adattiva

Il cuore di DAWA è una funzione di perdita che pesa dinamicamente l'attacco su entrambe le classi target.

1. Ridefinizione dell'Obiettivo: La perdita è una combinazione pesata di due termini:
   • Ridurre la fiducia su $y$ (classe vera).
   • Ridurre la fiducia su $y+K$ (classe dummy).
2. Ponderazione Adattiva ($\alpha$):
   • Invece di scegliere rigidamente tra attaccare $y$ o $y+K$ (come farebbe un indicatore binario), DAWA utilizza una funzione di smoothing (sigmoide) per calcolare un peso $\alpha$ continuo basato sulla differenza tra i logit $z_y$ e $z_{y+K}$.
   • Formula: $\alpha = \frac{1}{1 + e^{-c \cdot (z_y - z_{y+K})}}$.
   • Questo permette all'attacco di adattarsi dinamicamente durante l'ottimizzazione, concentrandosi sulla classe che attualmente rappresenta la "via di fuga" più probabile per la difesa.
3. Loss Finale:
   $$L_{DAWA} = \alpha \cdot L_{ce}(\dots, y) + (1-\alpha) \cdot L_{ce}(\dots, y+K)$$
   Dove $L_{ce}$ è una perdita cross-entropy modificata (ispirata a MIFPE) per mitigare errori numerici.

Implementazione

• DAWA (Non-targeted): 100 iterazioni.
• DAWAmt (Combined): 1000 iterazioni, combinando attacchi non-targeted e targeted per una ricerca più approfondita.
• Include tecniche avanzate come momentum, schedulazione del passo a coseno e inizializzazione casuale.

3. Risultati Sperimentali

Gli esperimenti sono stati condotti su CIFAR-10 e CIFAR-100 con perturbazioni $\ell_\infty$ ($\epsilon = 8/255$), valutando tre varianti di difesa basate su Dummy Classes (PGD-AT+DUCAT, MART+DUCAT, Consistency-AT+DUCAT).

• Collasso della Robustezza Apparente:
  • Su CIFAR-10 con la difesa PGD-AT+DUCAT, AutoAttack (4900 iterazioni) riporta una robustezza del 58.61%.
  • DAWA (solo 100 iterazioni) riduce questa robustezza al 32.01%.
  • DAWAmt (1000 iterazioni) la riduce ulteriormente al 29.52%.
  • Questo rappresenta un errore di valutazione assoluto di circa il 30%.
• Efficienza Computazionale:
  • DAWA raggiunge risultati superiori a AutoAttack utilizzando meno del 2% delle iterazioni (100 vs 4900).
  • La convergenza è estremamente rapida: DAWA supera le prestazioni finali di AutoAttack già alla 3ª iterazione.
• Fallimento degli Attacchi Tradizionali:
  • PGD, C&W e MIFPE (tutti a 100 step) falliscono nel rompere la difesa, riportando robustezze tra il 62% e il 73%, confermando che il problema non è la potenza dell'attacco, ma l'obiettivo sbagliato.

4. Contributi Chiave

1. Identificazione della Radice del Problema: Dimostrazione che la sovrastima della robustezza nelle difese "Dummy Class" deriva da un disallineamento fondamentale negli obiettivi: gli attacchi tradizionali soddisfano i criteri di successo della difesa (spingendo verso il dummy) senza causare errori reali.
2. Progettazione di DAWA: Introduzione di un nuovo framework di attacco che targetizza simultaneamente la classe vera e la classe dummy con pesi adattivi, rompendo efficacemente il meccanismo del "Safe Sink".
3. Nuovo Benchmark: Fornitura di un metodo di valutazione più affidabile che rivela la vera vulnerabilità di queste difese, riducendo la robustezza misurata da valori ingannevoli (es. 58%) a valori realistici (29%).

5. Significato e Implicazioni

Il lavoro di Yu et al. ha un impatto significativo sulla comunità dell'apprendimento avversario:

• Crisi di Valutazione: Svela che le difese all'avanguardia potrebbero non essere sicure, ma stanno semplicemente "giocando" con le regole dei benchmark esistenti.
• Necessità di Evoluzione: Evidenzia che i metodi di valutazione devono evolversi parallelamente alle difese. Non basta avere attacchi più forti; bisogna avere attacchi che comprendano la logica interna delle nuove difese.
• Sicurezza Reale: Mette in guardia contro l'illusione di sicurezza creata da metriche che non tengono conto di meccanismi di recupero (come la mappatura delle classi dummy). DAWA fornisce uno strumento per stress-testare i modelli in modo che la robustezza riportata rifletta una vera garanzia di sicurezza nel mondo reale.

In sintesi, DAWA non è solo un attacco più potente, ma un cambio di paradigma nella valutazione, costringendo le difese a dimostrare una robustezza reale contro errori di classificazione su classi reali, piuttosto che contro un'illusione di sicurezza creata da classi fittizie.