Technische Samenvatting: Scooter – Een Menselijk Evaluatiekader voor Onbeperkte Adversariële Voorbeelden

Probleemstelling

Onbeperkte adversariële aanvallen beogen computer vision (CV)-modellen te misleiden door afbeeldingen op manieren te wijzigen die niet worden beperkt door $\ell_p$-normgrenzen, zoals het veranderen van de kleur of textuur van een object. In tegenstelling tot beperkte aanvallen kunnen deze wijzigingen semantisch coherent zijn en door mensen gemakkelijk worden over het hoofd gezien, waardoor aanvallers traditionele op normen gebaseerde verdedigingen zoals adversariële training of gecertificeerde robuustheid kunnen omzeilen. Het ontbreken van op normen gebaseerde beperkingen betekent echter dat er geen wiskundige garantie is voor onwaarneembaarheid. Bijgevolg vereist het verifiëren of deze adversariële voorbeelden (AE's) voor mensen authentiek lijken, menselijke evaluatie.

Bestaande literatuur vertrouwt vaak op geautomatiseerde metrieken of kleinschalige menselijke studies die ontberen in statistische strengheid. Veel voorgaande werken negeren de evaluatie van beeldkwaliteit volledig of vertrouwen op geautomatiseerde metrieken die niet overeenkomen met menselijke waarneming. Bovendien ontbreken in bestaande protocollen voor menselijke evaluatie vaak statistisch significante inzichten, transparante rapportage van demografie, power-analyse en robuuste filtering voor onoplettende deelnemers. Dit creëert een gat in het vermogen om de onwaarneembaarheid van onbeperkte aanvallen betrouwbaar te vergelijken en te valideren.

Methodologie: Het Scooter-kader

Om deze gaten op te vullen, introduceren de auteurs Scooter (Systemizing Confusion Over Observations To Evaluate Realness), een open-source, statistisch onderbouwd kader voor het evalueren van onbeperkte adversariële voorbeelden. Het kader is gestructureerd rond een pijplijn in drie fasen die is ontworpen om datakwaliteit en statistische validiteit te waarborgen:

1. Voorafgaande Checks:

   • Kleurenblindheidstest: Deelnemers moeten vijf Ishihara-achtige afbeeldingen correct classificeren om te waarborgen dat ze op kleur gebaseerde wijzigingen kunnen waarnemen, een primaire vector voor onbeperkte aanvallen.
   • Begrijpingscheck: Deelnemers bekijken voorbeelden van gewijzigde versus ongewijzigde afbeeldingen en moeten in ten minste 5 van de 6 paren het gewijzigde beeld correct identificeren. Dit waarborgt begrip van de taak en filtert niet-vloeiende Engelssprekenden eruit.

2. Hoofdannotatiefase:

   • Deelnemers beoordelen 106 afbeeldingen (50 echt, 50 adversariaal) op een 5-punts Likert-schaal variërend van "Zeker Gewijzigd" (-2) tot "Zeker Echt" (+2).
   • Het ontwerp maakt gebruik van een binnen-onderwerp herhaalde-metingenbenadering waarbij deelnemers zowel echte als gewijzigde afbeeldingen beoordelen.
   • Aandachtchecks: De studie bevat "nep-items" (duidelijk gewijzigde afbeeldingen) en "instructie-manipulatiechecks" (IMC's) om onoplettende deelnemers op te sporen. Deelnemers die 2 of meer van de 6 aandachtchecks falen, worden gemarkeerd.
   • Filtering: Aanvullende metrieken zoals gemiddelde tijd per afbeelding, Long-String-statistieken en Intra-individuele Respons Variabiliteit (IRV) worden gebruikt om data van lage kwaliteit te filteren.

3. Statistische Analyse en Rapportage:

   • Equivalentietest: In plaats van te testen op significante verschillen (wat detecteerbaarheid zou impliceren), hanteert Scooter de Two-One-Sided Tests (TOST)-procedure om op equivalentie te testen. Het doel is te bewijzen dat de gemiddelde beoordeling van adversariële afbeeldingen ($\mu_{modified}$) praktisch equivalent is aan de gemiddelde beoordeling van echte afbeeldingen ($\mu_{real}$) binnen een vooraf bepaalde tolerantie ($\Delta$).
   • Grenzen: Gebaseerd op empirische simulaties stellen de auteurs praktische equivalentiegrenzen in van $\Delta_L = -0.2$ en $\Delta_U = +0.2$. Als het verschil tussen $\mu_{real}$ en $\mu_{modified}$ binnen dit bereik valt, wordt de aanval als onwaarneembaar beschouwd.
   • Rapportage: Het kader verplicht tot rapportage van deelnemerdemografie, vergoeding, tijdsinvestering en gedetailleerde statistische output om reproduceerbaarheid te waarborgen.

Experimentele Opstelling

De auteurs hebben het Scooter-kader toegepast om zes onbeperkte aanvallen te evalueren:

• Op kleur gebaseerde aanvallen: SemanticAdv (SemAdv), cAdv en Natural Color Fool (NCF).
• Op diffusie gebaseerde aanvallen: DiffAttack (DA), AdvPP en ACA.

Slachtoffermodel: De aanvallen werden geëvalueerd tegen een adversariaal getraind ResNet-50 (ResNet-50-AT), een robuust basismodel dat bekend staat om het weerstaan van standaard op normen gebaseerde aanvallen.
Dataset: Een gecureerde subset van ImageNet-1k validatieafbeeldingen, genaamd ImageNet S-R50-N, met 2.966 afbeeldingen die correct worden geclassificeerd door het slachtoffermodel en vrij zijn van bestaande artefacten.
Deelnemers: In totaal werden 346 deelnemers gerekruteerd via Prolific, wat resulteerde in meer dan 34.000 menselijke beoordelingen.

Belangrijkste Resultaten

De studie leverde statistisch significant bewijs dat het claimen dat huidige onbeperkte aanvallen onwaarneembaar zijn, tegenspreekt:

1. Mislukking van Onwaarneembaarheid: Voor alle zes aanvallen slaagde de TOST-procedure er niet in om de nulhypothese te verwerpen dat de afbeeldingen niet equivalent zijn. Specifiek waren de p-waarden voor de bovengrens-test ($\Delta > \Delta_U$) 1,000 voor alle aanvallen. Dit geeft aan dat echte afbeeldingen significant hoger werden beoordeeld (meer "echt") dan de adversariële voorbeelden, met verschillen die ver buiten de $\pm 0.2$ tolerantie vallen.
2. Aanvalsprestaties:
   • Op diffusie gebaseerde aanvallen presteerden over het algemeen beter dan op kleur gebaseerde aanvallen wat betreft onwaarneembaarheid (bijvoorbeeld had AdvPP een $\mu_{modified}$ van -0,5188, dichter bij echte afbeeldingen dan anderen), maar slaagden er nog steeds niet in om statistische equivalentie te bereiken.
   • SemAdv, ondanks dat het de eenvoudigste aanval is, verraste door goed te presteren en vier andere aanvallen te overtreffen in ruwe gewijzigde scores, hoewel het nog steeds faalde in de equivalentietest.
   • NCF produceerde de meest voor de hand liggende wijzigingen, met het grootste verschil tussen echte en gewijzigde beoordelingen.
3. Discrepantie met Modelsucces: Er is geen correlatie tussen het succespercentage van een aanval tegen het slachtoffermodel en de onwaarneembaarheid voor mensen. Bijvoorbeeld, NCF had een hoog aanvalsuccespercentage (0,922) maar was zeer waarneembaar, terwijl AdvPP een laag succespercentage had (0,081) maar het minst waarneembaar was.
4. Geautomatiseerde Proxies:
   • GPT-4o: Het vision-language model toonde enige mogelijkheid om onwaarneembare aanvallen te flaggen, maar stemde niet perfect overeen met menselijke beoordelingen, met name voor AdvPP en ACA.
   • Objectieve Metrieken: Standaard beeldkwaliteitsmetrieken (zoals FID, FD, KD) faalden in het correleren met menselijke waarneming. Opmerkelijk genoeg rangschikten metrieken vaak NCF (de meest waarneembare aanval) als de hoogste beeldkwaliteit hebbend, wat direct in tegenspraak is met menselijke oordelen. De per-afbeelding-metriek TOPIQ toonde de beste overeenkomst, maar faalde nog steeds om menselijk oordeel betrouwbaar te proxyen voor alle aanvallen.

Betekenis en Claims

Het artikel claimt de eerste openbaar beschikbare, statistisch onderbouwde benchmark te bieden die menselijke waarneming rigoureus koppelt aan de kwaliteit van onbeperkte adversariële voorbeelden. De primaire bijdragen zijn:

• Methodologische Standaard: Het vestigt richtlijnen voor best practices voor power, vergoeding en statistische analyse (specifiek TOST) van crowd-studies voor het evalueren van onwaarneembaarheid, en adresseert het gebrek aan statistisch significante inzichten in voorgaand werk.
• Empirisch Bewijs: Het toont aan dat huidige state-of-the-art onbeperkte aanvallen, inclusief die gebaseerd op diffusiemodellen, niet onwaarneembaar zijn voor mensen. De auteurs concluderen dat mensen authentieke afbeeldingen gemakkelijk kunnen onderscheiden van die welke zijn gewijzigd door deze aanvallen.
• Ontkoppeling van Doelen: De bevindingen suggereren dat het misleiden van een computer vision-model en het misleiden van een menselijke waarnemer grotendeels orthogonale doelen zijn; een hoog aanvalsucces impliceert niet een hoge onwaarneembaarheid.
• Beperkingen van Geautomatiseerde Metrieken: De studie bevestigt dat bestaande objectieve beeldkwaliteitsmetrieken ontoereikende proxies zijn voor menselijke waarneming in de context van adversariële voorbeelden.

De auteurs positioneren Scooter als een hulpmiddel om reproduceerbaar, mensgericht onderzoek mogelijk te maken, en dringen er bij de gemeenschap op aan voorbij te gaan aan geautomatiseerde metrieken en onbevestigde claims van onwaarneembaarheid. Zij maken de broncode, de ImageNet S-R50-N dataset en meer dan 34.000 menselijke beoordelingen vrij om toekomstig onderzoek op dit gebied te faciliteren.