USAD: Uncertainty-aware Statistical Adversarial Detection

Sintesi Tecnica: Rilevamento Avversario Statistico Sensibile all'Incertezza (USAD)

Definizione del Problema
Il rilevamento avversario rimane una sfida critica per la sicurezza dei sistemi di deep learning. Sebbene i metodi esistenti di Rilevamento Avversario Statistico (SAD) inquadrino il rilevamento come un test di ipotesi a due campioni — determinare se un batch di esempi di query ($Y$) segue la stessa distribuzione di un set di riferimento di esempi puliti ($X$) — essi soffrono di limitazioni significative. Gli attuali approcci SAD allo stato dell'arte si affidano prevalentemente al Maximum Mean Discrepancy (MMD) come statistica del test. Tuttavia, l'MMD è sensibile principalmente agli spostamenti nelle medie degli embedding (momenti del primo ordine) all'interno di uno Spazio di Hilbert Riproducibile (RKHS). Gli autori identificano che i detector basati su MMD sono inefficienti dal punto di vista del campionamento; il loro potere di rilevamento degrada rapidamente al diminuire della dimensione del batch di query, rendendoli poco pratici per scenari di attacco in fase iniziale o a basso volume. Inoltre, l'MMD non riesce a catturare i pattern di incertezza caratteristici degli esempi avversari (AE), specificamente la loro anomala dispersione delle feature (incertezza globale) e l'instabilità sotto perturbazioni (incertezza locale), che sono cruciali per distinguere gli AE dagli esempi puliti (CE).

Metodologia
L'articolo propone l'Uncertainty-aware Statistical Adversarial Detection (USAD), un framework progettato per catturare esplicitamente i pattern di incertezza distribuzionale inerenti agli attacchi avversari. USAD introduce due nuove statistiche del test che mirano a specifiche proprietà geometriche degli AE:

1. Discrepanza della Varianza (VD): Questa statistica misura la differenza nella dispersione delle feature tra il set di query e il set di riferimento. Essa affronta l'incertezza globale, catturando il fenomeno per cui gli AE, spostati dal manifold dei dati puliti, esibiscono una dispersione anomala nelle loro distribuzioni di feature semantiche rispetto ai CE. La VD è formulata come la differenza al quadrato tra le varianze empiriche delle feature semantiche nelle due distribuzioni.
2. Discrepanza di Covarianza basata su Perturbazione (PCD): Questa statistica affronta l'incertezza locale. Essa confronta le matrici di covarianza delle feature degli esempi sotto perturbazioni gaussiane. Poiché gli AE spesso risiedono vicino ai confini di decisione e sfruttano feature non robuste, essi esibiscono una maggiore sensibilità alle piccole perturbazioni isotrope rispetto ai CE. La PCD misura la discrepanza tra le distribuzioni di questi embedding di covarianza indotti dalla perturbazione.

Per creare un detector robusto, USAD aggrega adattivamente VD e PCD in una statistica di test unificata. Riconoscendo che diversi attacchi possono attivare i pattern di incertezza globale o locale con gradi variabili, l'aggregazione utilizza uno schema di pesatura consapevole della correlazione (basato sul framework DUAL). Questo metodo stima la struttura di covarianza congiunta di VD e PCD sotto l'ipotesi nulla (utilizzando un set di calibrazione pulito ausiliario) per ridurre il peso delle componenti ridondanti ed enfatizzare i segnali complementari. La decisione finale viene presa tramite un test di permutazione, che stabilisce una soglia per controllare l'errore di Tipo-I (tasso di falsi allarmi) a un livello di significatività $\alpha$ specificato.

Contributi Chiave

• Identificazione delle Limitazioni: Gli autori dimostrano che i metodi SAD basati su MMD sono insensibili ai pattern di incertezza caratteristici (varianza e instabilità locale) degli AE, portando a scarse prestazioni nei regimi a piccoli campioni.
• Nuove Statistiche del Test: La proposta di VD e PCD per misurare rispettivamente l'incertezza distribuzionale globale e locale, fornendo un approccio più mirato al rilevamento degli artefatti avversari.
• Garanzie Teoriche: L'articolo fornisce prove teoriche che dimostrano come USAD, insieme alle sue statistiche costitutive, controlli il tasso di errore di Tipo-I al livello di significatività $\alpha$ prescritto e raggiunga la consistenza asintotica (il potere del test che converge a 1) all'aumentare delle dimensioni del campione.
• Superiorità Empirica: Esperimenti estesi sui dataset CIFAR-10 e ImageNet-1K utilizzando architetture ResNet e ViT mostrano che USAD supera costantemente i forti baseline (inclusi SAMMD e vari metodi di aggregazione MMD) attraverso diversi attacchi (AA, BIM, CW, FGSM, PGD) e norme ($\ell_\infty$, $\ell_2$). Notevolmente, USAD raggiunge un potere di rilevamento quasi perfetto anche con dimensioni di batch di query molto piccole (es. $|Y|=10$) e rimane robusto contro attacchi adattivi ben progettati.

Risultati
I risultati sperimentali indicano che USAD supera significativamente i metodi di baseline.

• Efficienza con Piccoli Campioni: In scenari con piccoli batch di query ($|Y|=10$), USAD raggiunge un potere di test di 1.0 contro attacchi PGD con $\epsilon=4/255$, mentre il baseline SAMMD raggiunge solo 0.292.
• Robustezza agli Attacchi Adattivi: Anche quando gli attaccanti ottimizzano per minimizzare la statistica di rilevamento (attacchi adattivi), USAD mantiene un alto potere di rilevamento (es. 0.818 per $|Y|=10$), superando significativamente i detector a singola statistica.
• Batch Misti: USAD mantiene un alto potere di rilevamento anche quando gli esempi avversari sono scarsamente mescolati con esempi puliti (es. 20% di AE in un batch), mentre i metodi basati su MMD faticano significativamente all'aumentare della frazione di esempi puliti.
• Trasferibilità: Il metodo dimostra una forte robustezza contro gli attacchi di trasferimento, dove gli esempi avversari sono generati su modelli surrogati, raggiungendo un rilevamento perfetto attraverso varie architetture (ResNet, WideResNet, Swin Transformer).

Significatività e Rivendicazioni
L'articolo sostiene che USAD rappresenti un passo fondamentale per superare i limiti di dimensione del campione che hanno vincolato il rilevamento avversario basato sul test di ipotesi. Spostando il focus dagli spostamenti degli embedding medi all'incertezza distribuzionale (varianza e stabilità locale), gli autori sostengono che il SAD possa essere reso efficace in scenari di implementazione pratica e in tempo reale, dove attendere ampie finestre di query è irrealistico. Il lavoro sottolinea che USAD opera come uno strato di monitoraggio leggero e agnostico rispetto al modello che non richiede addestramento avversario o assunzioni specifiche sull'attacco, offrendo un framework statistico rigoroso per controllare i falsi allarmi pur rilevando minacce sconosciute e adattive. Gli autori posizionano USAD non come un sostituto dei detector per singolo esempio, ma come un rigoroso monitor statistico per il traffico a livello di batch, adatto a innescare difese a valle o ispezioni umane.