Sample-Specific Noise Injection For Diffusion-Based Adversarial Purification

Titel: Sample-Specifieke Ruisinjectie voor Diffusie-gebaseerde Adversariale Zuivering

1. Het Probleem

Diepe neurale netwerken (DNN's) zijn kwetsbaar voor adversariale voorbeelden: invoer die is gemanipuleerd met onzichtbare ruis om het model tot foutieve voorspellingen te dwingen. Een veelbelovende verdedigingsstrategie is Adversariale Zuivering (Adversarial Purification - AP), waarbij generatieve modellen worden gebruikt om de ruis te verwijderen voordat het beeld een classifier bereikt.

Recentelijk hebben Diffusie-gebaseerde Zuiveringsmethoden (DBP) veel aandacht getrokken. Deze methoden werken door een voorwaartse diffusieproces toe te passen (waarbij Gaussische ruis wordt toegevoegd aan het invoerbeeld) gevolgd door een omgekeerd generatief proces (waarbij de ruis wordt verwijderd om het schone beeld te herstellen).

De Kernuitdaging:
Bestaande DBP-methoden gebruiken een globaal gedeelde, constante ruisniveau-parameter ($t^*$) voor alle invoermonsters. Het paper identificeert een fundamenteel tekortkoming in deze aanpak:

• Een te kleine $t^*$ verwijdert onvoldoende adversariale ruis, waardoor de robustheid lijdt.
• Een te grote $t^*$ vernietigt te veel semantische informatie van schone voorbeelden, wat leidt tot een daling in de nauwkeurigheid op schone data (clean accuracy).
• De optimale $t^*$ verschilt per monster, afhankelijk van hoe "schoon" of "verontreinigd" het is, maar huidige methoden behandelen alle monsters gelijk.

2. Methodologie: SSNI Framework

De auteurs stellen een nieuw framework voor: Sample-specific Score-aware Noise Injection (SSNI). Dit framework past het ruisinjectieniveau adaptief aan per monster in plaats van een vaste waarde te gebruiken.

Kernconcepten:

1. Score Norm als Metriek:

   • Het paper maakt gebruik van de score norm ($\|\nabla_x \log p_t(x)\|$), die de grootte van de gradiënt van de log-kansdichtheid aangeeft.
   • Inzicht: Monsters die dicht bij de verdeling van schone data liggen (schone voorbeelden) hebben een lage score norm. Monsters die ver weg liggen (sterk verstoord door adversariale ruis) hebben een hoge score norm.
   • De score norm fungeert dus als een proxy voor de mate van afwijking van de schone data-distributie.

2. Adaptieve Ruisinjectie:

   • SSNI gebruikt een vooringestelde score-netwerk om de score norm voor elk invoermonster te schatten.
   • Op basis van deze score norm wordt een herwegingsfunctie (reweighting function) toegepast om de optimale $t^*$ voor dat specifieke monster te berekenen.
   • Logica:
     • Schone monsters (lage score norm) $\rightarrow$ Krijgen minder ruis injectie (om semantische informatie te behouden).
     • Adversariale monsters (hoge score norm) $\rightarrow$ Krijgen meer ruis injectie (om de adversariale patronen volledig te maskeren en te verwijderen).

3. Implementatie Details:

   • Expected Perturbation Score (EPS): Om de gevoeligheid voor een specifieke tijdstap te verminderen, wordt de score niet op één punt berekend, maar als een verwachting over een bereik van ruisniveaus (EPS).
   • Herwegingsfuncties: Er worden twee functies voorgesteld:
     • Een lineaire functie die de $t^*$ schaalt op basis van de score norm.
     • Een niet-lineaire (sigmoid) functie die een soepelere overgang biedt.
   • Bias Term: Een bias-term wordt toegevoegd om te voorkomen dat de berekende $t^*$ te laag is voor sterk verstoorde monsters, waardoor de maximale ruisinjectie kan worden verhoogd indien nodig.

3. Belangrijkste Bijdragen

• Ontdekking van Sample-specifieke Optimaliteit: Het paper bewijst empirisch en theoretisch dat een uniforme $t^*$ suboptimaal is en dat per-monster aanpassing noodzakelijk is voor de beste trade-off tussen nauwkeurigheid en robustheid.
• Het SSNI Framework: Een generiek, lichtgewicht framework dat kan worden geïntegreerd met bestaande DBP-methoden (zoals DiffPure, GDMP, GNS) zonder de onderliggende architectuur te veranderen.
• Theoretische Onderbouwing: Er wordt een relatie gelegd tussen score norms en de vereiste ruisniveaus, waarbij wordt aangetoond dat verschillende score norms corresponderen met verschillende optimale diffusiestappen.
• Efficiëntie: De extra berekening voor het bepalen van de score norm en de herweging is minimaal, waardoor SSNI praktisch toepasbaar blijft.

4. Resultaten

De methode is geëvalueerd op CIFAR-10 en ImageNet-1K tegen verschillende adaptieve witte-doos-aanvallen (zoals PGD+EOT en BPDA+EOT).

• Verbeterde Trade-off: SSNI verbetert zowel de standaard nauwkeurigheid (op schone data) als de robuste nauwkeurigheid (op aangevallen data) significant in vergelijking met state-of-the-art DBP-baselines.
  • Voorbeeld op CIFAR-10: Bij DiffPure steeg de standaard nauwkeurigheid met ongeveer 3,58% zonder dat de robustheid afnam. Bij GDMP werd de robustheid met meer dan 4% verbeterd.
• Generalisatie: De verbeteringen zijn consistent over verschillende baselines (DiffPure, GDMP, GNS) en verschillende classifier-architecturen (WideResNet, ResNet, en zelfs Swin-Transformers).
• Aanval-resistentie: SSNI presteert sterk tegen geavanceerde aanvallen zoals AutoAttack, DiffAttack en Diff-PGD.
• Computatiekosten: De inferentie-tijd neemt slechts marginaal toe (ongeveer 0,5 seconde extra per beeld op CIFAR-10), wat aantoont dat de methode computatief haalbaar is.

5. Significantie en Impact

Dit paper biedt een fundamenteel nieuw perspectief op diffusie-gebaseerde verdediging. Het toont aan dat "one-size-fits-all" benaderingen in adversariale zuivering inefficiënt zijn. Door de inhoudelijke eigenschappen van het specifieke invoermonster te benutten (via score norms), kan het systeem intelligenter beslissen hoeveel "reiniging" er nodig is.

Dit leidt tot:

1. Betere beveiliging: Effectievere verwijdering van adversariale ruis.
2. Hogere bruikbaarheid: Behoud van de kwaliteit van schone data, wat cruciaal is voor praktische toepassingen.
3. Schaalbaarheid: Een generiek framework dat direct kan worden toegepast op bestaande systemen, waardoor de robuustheid van AI-systemen in kritieke toepassingen (zoals autonoom rijden) kan worden verhoogd zonder ingrijpende architecturale wijzigingen.

Samenvattend introduceert SSNI een noodzakelijke nuance in het veld van adversariaal leren: niet alle monsters vereisen dezelfde mate van zuivering, en het dynamisch aanpassen van de zuiveringsintensiteit is de sleutel tot superieure prestaties.