DDSA: Dual-Domain Strategic Attack for Spatial-Temporal Efficiency in Adversarial Robustness Testing

Technische Samenvatting: DDSA – Dual-Domain Strategic Attack voor ruimtelijk-temporele efficiëntie bij het testen van adversariële robuustheid

Probleemstelling
Resource-kritische toepassingen die vertrouwen op real-time beeldtransmissie en -verwerking—zoals zoek- en reddingsoperaties (SAR), landbouwmonitoring en sociale media-classificatie—worden geconfronteerd met aanzienlijke uitdagingen door adversariële perturbaties. Hoewel huidige methoden voor robuustheidstesten (bijv. FGSM, PGD) effectief zijn, vertrouwen zij op uitputtende frame-voor-frame verwerking en volledige beeldperturbaties. Deze aanpak is computationeel prohibitief voor grootschalige implementaties waarbij enorme beeldstromen onmiddellijke verwerking vereisen. Bovendien houden traditionele methoden geen rekening met de heterogeniteit van de inhoud; niet alle afbeeldingen of regio's binnen een afbeelding dragen een gelijke mate van belang bij voor het slagen van een missie. Bijvoorbeeld: het misclassificeren van een mens tijdens een SAR-operatie is levensbedreigend, terwijl het misclassificeren van vegetatie verwaarloosbaar is. Bestaande kaders missen mechanismen om deze kritieke elementen te prioriteren, wat leidt tot aanzienlijke computationele verspilling aan niet-essentiële inhoud.

Methodologie
Het artikel stelt DDSA (Dual-Domain Strategic Attack) voor, een resource-efficiënt framework voor het testen van adversariële robuustheid dat testen optimaliseert door middel van temporele selectiviteit en spatiale precisie. Het framework werkt via drie onderling verbonden stappen:

1. Temporele Triggerfunctie:
   Deze component bepaalt wanneer er wordt aangevallen door de prioriteit en onzekerheid van de voorspelde klasse voor elke invoerafbeelding te evalueren. Een classificatieprioriteitsscore ($Q_i$) wordt berekend met behulp van:

   • Scenario-bewustzijn ($R^{scena}$): Wint hogere gewichten toe aan missiekritieke klassen (bijv. mensen) op basis van domeinexpertise.
   • Data-gestuurde kwaliteit ($R^{data}$): Kwantificeert classificatievertrouwen en voorspellingssterkte met behulp van softmax-probabiliteiten en entropie.
   • Consistentie ($R^{consist}$): Beoordeelt de modelbetrouwbaarheid via Bayesiaanse onzekerheidsschatting met Monte Carlo dropout.
     Een aanval wordt pas geïnitieerd als de prioriteitsscore een vooraf ingestelde drempelwaarde ($\tau$) overschrijdt, waardoor routinematige of laag-risico frames worden gefilterd.

2. Spatiale Feature Locatie:
   Zodra een frame is geselecteerd voor testen, bepaalt deze component waar er wordt aangevallen. Het maakt gebruik van Integrated Gradients (IG), een Explainable AI (XAI)-techniek, om een saliency map te genereren die de pixelregio's accentueert die het meest invloedrijk zijn voor de classificatiebeslissingen. Een binaire mask wordt gecreëerd door deze belangrijkheidsscores te drempelen, waardoor perturbaties worden beperkt tot kritieke regio's in plaats van de gehele afbeelding.

3. Strategische Aanvalgeneratie:
   De uiteindelijke adversariële voorbeelden worden gegenereerd door perturbaties alleen toe te passen op de prioriteitsklassen (temporele efficiëntie) en alleen op de door XAI geïdentificeerde kritieke pixels (spatiale efficiëntie). De perturbatie wordt berekend als:
   $\tilde{x}_i = x_i + \epsilon \cdot B_i \odot \text{sign}(\nabla_{x_i} J(x_i, y_{true}))$
   waarbij $B_i$ het binaire masker is afgeleid van de saliency map.

Belangrijkste Bijdragen

• Dual-Domain Optimalisatie: Het artikel introduceert een nieuw framework dat tegelijkertijd aandacht besteedt aan temporele inhoudsheterogeniteit (beslissen wanneer aan te vallen) en spatiale regionale significantie (beslissen waar aan te vallen).
• Scenario-bewuste Triggering: Een mechanisme dat domeinexpertise integreert met modelonzekerheid om niet-kritieke frames te filteren, waardoor zinloze overhead in sequentiële verwerking wordt verminderd.
• XAI-gestuurde Targeting: De toepassing van Integrated Gradients om invloedrijke pixelregio's te lokaliseren, wat gerichte perturbaties mogelijk maakt die het resourcegebruik minimaliseren terwijl de effectiviteit van de aanval behouden blijft.
• Resource-Efficiënte Metriek: Een veiligheidsgerelateerde evaluatiemetriek ($P_{total}$) die de succesvolle aanval balanceert tegen het resourceverbruik, waarbij mislukte aanvallen en resourceverspilling aan niet-kritieke inhoud worden bestraft.

Experimentele Resultaten
De auteurs voerden uitgebreide simulaties uit met de CIFAR-10, Fashion-MNIST en VOC2012 datasets met ResNet-18 classifiers.

• Spatiale Efficiëntie: Experimenten toonden aan dat XAI-gestuurde targeting een hoge succesrate van aanvallen behoudt, zelfs met significante spatiale reductie. Zo behield PGD-60 een succesrate van meer dan 98% bij het verstoren van slechts 40% van de beeldpixels. Strategische aanvallen vereisten het targeten van slechts 30% van het pixeloppervlak om een succesrate van 95% te bereiken, wat slechts 0,0123% van de totale pixels in de simulatie beïnvloedde.
• Temporele Efficiëntie: Door niet-kritieke frames te filteren, bereikte DDSA een reductie in computationele tijd van 80–97% vergeleken met conventionele, uitputtende testen.
• Grootschalige Simulatie: In scenario's met een hoge doorvoer die 30.000 afbeeldingen verwerkten, leverden conventionele methoden ernstige negatieve scores op door de ongerichte verwerking van niet-kritieke inhoud. In contrast hiermee behaalden alle DDSA-varianten positieve operationele scores, wat de bekwaamheid van het framework valideert om massale beeldstromen efficiënt te verwerken.

Betekenis en Claims
Het artikel claimt dat DDSA de kloof overbrugt tussen adversariële testen op laboratoriumschaal en de implementatie in de echte wereld in omgevingen met beperkte middelen. Door het mogelijk te maken dat praktische, uitgebreide robuustheidstesten zich richten op missiekritieke inhoud, ondersteunt het framework de betrouwbaarheid van veiligheidskritische systemen waarbij computationele efficiëntie direct van invloed is op het slagen van een missie. De auteurs stellen dat hun dual-domain strategie een substantiële temporele-spatiale resourcebesparing bereikt zonder de effectiviteit van de adversariële aanvallen op prioriteitsklassen in gevaar te brengen.