Riepilogo Tecnico: Un Rilevatore Mimetico per Perturbazioni Avversariali di Immagini

Enunciato del Problema

Gli attacchi avversariali compromettono i classificatori di immagini profondi introducendo minuscoli pattern di rumore quasi impercettibili ($\delta$) su un'immagine pulita ($x$), causando una classificazione errata pur rimanendo visivamente identici agli osservatori umani. Gli attacchi standard limitati da $\ell_\infty$, come il Metodo del Segno del Gradiente Rapido (FGSM), la Discesa del Gradiente Proiettata (PGD) e la variante $\ell_\infty$ di Carlini–Wagner, generano perturbazioni caratterizzate da pattern di segno ad alta frequenza e quasi casuali a livello di pixel. Sebbene queste perturbazioni siano piccole nella norma $\ell_2$, trasportano un'energia del gradiente sproporzionata.

La sfida principale affrontata è il rilevamento piuttosto che la robustezza. Sebbene rendere un classificatore robusto a tali perturbazioni sia difficile, l'obiettivo qui è determinare, dato un input $x'$, se è stato perturbato. Gli approcci esistenti, come SpectralDefense, spesso si basano sull'addestramento di classificatori su caratteristiche nel dominio di Fourier. Questo lavoro propone un'alternativa senza addestramento che non richiede un classificatore surrogato né l'accesso alla rete sotto attacco.

Metodologia

Il rilevatore proposto sfrutta la differenza fondamentale nella distribuzione dell'energia del gradiente tra immagini naturali e perturbazioni avversariali. Le immagini naturali concentrano l'energia del gradiente sui bordi con contenuto liscio altrove, mentre le perturbazioni avversariali distribuiscono l'energia del gradiente uniformemente su tutta l'immagine alle più alte frequenze spaziali.

Il Rapporto di Energia del Gradiente Mimetico

Il cuore del metodo è una singola metrica scalare, $T(x)$, definita come il rapporto tra l'energia del gradiente mimetico e la norma dei pixel semplici:

$$T(x) = \frac{(G u)^\top P (G u)}{\sum_{i,j} x_{ij}^2}$$

Dove:

• $u$: L'immagine di input $x$ riempita con una cella fantasma su ogni lato (bordo di replicazione) e vettorizzata.
• $G$: L'operatore del gradiente mimetico Corbino–Castillo di ordine-$k$.
• $P$: Una matrice di pesi diagonale, definita positiva, associata a $G$.
• Numeratore: Rappresenta l'energia del gradiente discreto (somma ponderata dei valori al quadrato del gradiente).
• Denominatore: Rappresenta la somma euclidea dei valori dei pixel al quadrato.

Dettagli di Implementazione

• Operatori: Il metodo utilizza operatori mimetici Corbino–Castillo di alto ordine dalla libreria open-source MOLE. Questi operatori sono scelti per la loro accuratezza di alto ordine, l'assenza di parametri liberi e l'accuratezza coerente ai bordi (prevenendo attivazioni artificiali dovute all'inquadratura rettangolare).
• Calcolo: Il calcolo viene eseguito in tempo $O(HW)$ per immagine, dominato da un singolo prodotto matrice-vettore sparso.
• Regola di Decisione: Una soglia $\tau$ viene calibrata su un insieme di dati puliti tenuto da parte (basata sul tasso di falsi positivi desiderato). Se $T(x) > \tau$, l'immagine viene segnalata come avversaria; altrimenti, è considerata pulita.
• Proprietà: La metrica $T$ è adimensionale e invariante alla scala ($T(\alpha x) = T(x)$ per $\alpha \neq 0$).

Risultati Sperimentali

Il rilevatore è stato validato sull'immagine standard in scala di grigi "peppers" (da toolbox MATLAB/Octave) di dimensioni 128 $\times$ 128 con un budget $\ell_\infty$ di $\epsilon = 16/255$.

Casi di Test

Sono stati costruiti tre input:

1. Pulito: Nessuna perturbazione.
2. Stile Avversariale: $\delta_{adv} = \epsilon \text{sign}(\eta)$, dove $\eta_{ij} \sim \mathcal{N}(0, 1)$, imitando la firma spaziale di FGSM/PGD.
3. Controllo Liscio: $\delta_{low}$ con ampiezza $\ell_\infty$ uguale ma contenuto a bassa frequenza (sinusoidale).

Risultati Chiave

• Separazione: La perturbazione avversariale ha aumentato la metrica $T$ di più di un fattore 3 rispetto all'immagine pulita su tutti gli ordini testati ($k=2, 4, 6$).
• Specificità: La perturbazione di controllo liscia ha lasciato $T$ invariata (entro l'1%), dimostrando che il rilevatore risponde al rumore ad alta frequenza piuttosto che a semplici cambiamenti di ampiezza.
• Dipendenza dall'Ordine: Il margine di rilevamento (rapporto $T_{adv}/T_{clean}$) è cresciuto monotonicamente con l'ordine mimetico $k$:
  • $k=2$: separazione di 3,55$\times$.
  • $k=4$: separazione di 3,94$\times$.
  • $k=6$: separazione di 4,19$\times$.
• Evidenza Visiva: La visualizzazione della magnitudine del gradiente mimetico $|Gx|$ ha rivelato una stampa ad alta frequenza quasi uniforme nel caso avversariale, assente nell'immagine pulita.

Significato e Affermazioni

Il documento posiziona questo lavoro come un rilevatore a scatto singolo pratico e distribuibile con tre vantaggi distinti:

1. Zero Sovraccarico di Addestramento: Non richiede un insieme di addestramento di esempi avversariali, nessun classificatore surrogato e nessun accesso ai pesi interni della rete target.
2. Efficienza Computazionale: Opera in tempo lineare rispetto alla dimensione dell'immagine ($O(HW)$), rendendolo adatto per applicazioni in tempo reale.
3. Discriminazione Scalabile: La capacità di rilevamento migliora monotonicamente con l'ordine dell'operatore mimetico, una proprietà intrinseca alla costruzione MOLE.

Limitazioni e Ambito

Gli autori dichiarano esplicitamente che questo è un rilevatore, non una difesa certificata. Un attaccante adattivo che minimizza esplicitamente $T$ mantenendo la classificazione errata potrebbe potenzialmente portare la statistica più vicina al valore pulito, probabilmente a scapito di un tasso di successo dell'attacco ridotto o di un budget $\ell_\infty$ più ampio.

Il documento suggerisce due estensioni naturali per lavori futuri:

• Applicazione a immagini a colori e multispettrali (tramite $T$ per canale combinata da una combinazione lineare appresa).
• Adattamento a geometrie di sensori non uniformi o curvilinee, dove le strutture mimetiche sono particolarmente potenti.