Technische Samenvatting: Een Robuust Framework voor Buiten-Verdeling Detectie via Synergetische Gladding

Probleemstelling

Diepe Neuronale Netwerken (DNN's) worden steeds vaker ingezet in veiligheidskritieke toepassingen, maar blijven kwetsbaar voor adversariële perturbaties en verdelingsverschuivingen. Hoewel methoden voor Buiten-Verdeling (OOD) detectie fungeren als een cruciale beveiliging om nieuwe of kwaadaardige invoer te identificeren, wijzen recente studies erop dat state-of-the-art OOD-detectoren zelf vatbaar zijn voor adversariële aanvallen. Specifiek kan een adversary invoer creëren die OOD is, maar die ten onrechte als binnen-verdeling (ID) wordt geclassificeerd, waardoor de eerste verdedigingslinie van het systeem effectief wordt uitgeschakeld.

Bestaande op perturbatie gebaseerde detectoren, zoals ODIN en PRO, proberen de detectie te verbeteren door directionele optimalisaties toe te passen (bijvoorbeeld het verhogen of verlagen van confidence scores). De auteurs identificeren echter een kritiek gebrek in deze benaderingen: ze vertonen een asymmetrische kwetsbaarheid. Een detector die is geoptimaliseerd om weerstand te bieden tegen score-minimaliserende aanvallen, wordt vaak kwetsbaar voor score-maximaliserende aanvallen, en vice versa. Deze directionele bias ondermijnt de betrouwbaarheid van OOD-detectie in dynamische, adversariële omgevingen.

Methodologie: Het ROSS Framework

De auteurs stellen ROSS (Robust OOD Detector via Synergistic Smoothing) voor, een model-onafhankelijk, post-hoc framework dat is ontworpen om symmetrische robuustheid te bereiken tegen zowel score-minimaliserende als score-maximaliserende aanvallen. ROSS vereist geen hertraining van het onderliggende DNN en kan worden toegepast op elke bestaande OOD-scoretechniek (bijvoorbeeld MSP, Energy, GEN, fDBD).

De kern van ROSS bestaat uit het genereren van $N$ ruisvarianten van een invoer $x$ door willekeurige perturbaties toe te voegen. Vanuit de resulterende "score stack" berekent ROSS twee robuuste statistieken die zijn gebaseerd op de theorie van robuuste statistiek:

1. Mediaan Score ($S_{med}$): De mediaan van de score stack, die een gegladde centrale tendens van de OOD-score vertegenwoordigt.
2. Score Stabiliteit ($\sigma_{med}$): De Mediaan Absolute Afwijking (MAD) van de score stack, die de lokale instabiliteit van het scorelandschap kwantificeert.

Kerninzicht: Instabiliteit als Signaal

De auteurs observeren dat ID-steekproeven doorgaans in gladde gebieden van het scorelandschap verblijven, wat resulteert in scores met lage variantie onder perturbatie (hoge stabiliteit). Omgekeerd bevinden OOD-steekproeven zich in onregelmatige gebieden waar kleine perturbaties leiden tot grote schommelingen in de score (hoge instabiliteit).

De Scorefunctie

ROSS combineert deze metrieken tot een finale score ($S_{ROSS}$) met behulp van een confidence-bewuste gating-mechanisme. De finale score wordt gedefinieerd als:
$$S_{ROSS} = \min(S_{95}, S_{med}) + \Delta_{score} \cdot \left(1 + \frac{\lambda}{\sigma_{med}}\right)$$
Waarbij:

• $S_{95}$ een confidence drempel is (het 5e percentiel van de ID-validatieverdeling).
• $\Delta_{score} = \max(0, S_{med} - S_{95})$ ervoor zorgt dat de stabiliteitsbonus alleen wordt toegepast wanneer de mediaanscore de confidence drempel overschrijdt.
• $\lambda$ een hyperparameter is die de grootte van de stabiliteitsbonus regelt.

Deze formulering zorgt ervoor dat stabiliteit alleen wordt beloond voor hoge-confidence, ID-achtige steekproeven. Het voorkomt dat "ver-OOD" steekproeven, die misschien stabiel zijn maar een lage confidence hebben, een kunstmatige scoreboost krijgen. Door gebruik te maken van de mediaan en MAD is de methode inherent resistent tegen gradiëntgebaseerde manipulatie en uitschieters.

Belangrijkste Bijdragen

1. Identificatie van Asymmetrische Kwetsbaarheid: Het artikel is het eerste dat systematisch analyseert en aantoont dat bestaande op perturbatie gebaseerde OOD-detectoren (zoals PRO en ODIN) lijden aan asymmetrische robuustheid, waarbij ze verdediging bieden tegen één aanvalsdirection terwijl ze kwetsbaar blijven voor de tegenovergestelde richting.
2. Voorstel van ROSS: Een nieuw, post-hoc framework dat lokale score-instabiliteit benut als een confidence-vermenigvuldiger. In tegenstelling tot eerdere werken is ROSS niet-directioneel en gradiëntvrij, en bereikt het symmetrische robuustheid tegen zowel PGD-min als PGD-max aanvallen.
3. Decompositie van Stabiliteit en Confidence: Door middel van uitgebreide ablatiestudies isoleren de auteurs de bijdragen van scorestabiliteit en confidence-drempelstelling, en tonen ze aan dat beide cruciaal zijn voor effectieve ID/OOD-scheiding.
4. Empirische Validatie: Uitgebreide evaluatie op CIFAR-10, CIFAR-100 en ImageNet, waarbij blijkt dat ROSS consequent beter presteert dan baseline-detectoren en eerdere op perturbatie gebaseerde methoden.

Experimentele Resultaten

De auteurs hebben ROSS geëvalueerd op standaard benchmarks met behulp van vooraf getrainde ResNet-18 en ResNet-50 modellen.

• Baseline Prestaties: Op schone data bereikt ROSS state-of-the-art prestaties. Bijvoorbeeld, op CIFAR-10 met de GEN basisscore behaalde ROSS een gemiddelde AUROC van 84,72% en een FPR95 van 45,77%, wat beter is dan de mediaan-only baseline ($S_{med}$) en de naïeve ratio ($S_{med}/\sigma_{med}$).
• Adversariële Robuustheid: Onder PGD-aanvallen ($\epsilon = 8/255$) toont ROSS aanzienlijke veerkracht.
  • Op CIFAR-10, terwijl de AUROC van de MSP baseline instortte tot 3,76% onder PGD-max-aanvallen, handhaafde ROSS-MSP een AUROC van 52,65%.
  • Op CIFAR-100 verbeterde ROSS-fDBD de AUROC van 11,02% (baseline) naar 44,72% onder PGD-max-aanvallen.
• Symmetrische Verdediging: In tegenstelling tot PRO en ODIN, die aanzienlijk verslechteren wanneer ze vanuit de "verkeerde" richting worden aangevallen, handhaaft ROSS consistente prestaties tegen zowel PGD-min als PGD-max-aanvallen. De auteurs rapporteren verbeteringen tot wel 40 AUROC-punten ten opzichte van eerdere op perturbatie gebaseerde methoden onder sterke aanvallen.
• Efficiëntie: Hoewel $N=25$ forward passes vereist zijn, resulteert de paralleliseerbare aard van de inferentie op moderne GPU's in slechts een 1,2x toename van de latentie ten opzichte van een enkele forward pass, waardoor het praktisch inzetbaar is.

Betekenis en Beweringen

Het artikel beweert dat ROSS een praktische, lichtgewicht en eenvoudig inzetbare eerste verdedigingslinie biedt voor OOD-detectie. De primaire betekenis ligt in de verschuiving van het paradigma van directionele optimalisatie (wat asymmetrische zwaktes creëert) naar synergetische gladding (die statistische stabiliteit benut).

De auteurs stellen dat ROSS succesvol een balans vindt tussen schone nauwkeurigheid en adversariële robuustheid zonder de rekenkosten van adversariële hertraining. Door naadloos te integreren met bestaande OOD-scorebenaderingen, verhoogt het de betrouwbaarheid van geautomatiseerde systemen in open-wereldomgevingen waar onbekende of kwaadaardige invoer onvermijdelijk is. Het werk suggereert dat het kwantificeren van lokale instabiliteit een robuustere proxy is voor OOD-detectie dan het simpelweg proberen scores in een specifieke richting te duwen.

Toekomstig werk, zoals opgemerkt door de auteurs, heeft tot doel dit framework uit te breiden voorbij gradiëntgebaseerde aanvallen om verdelingsverschuivingen te omvatten die worden veroorzaakt door generatieve modellen en corrupties uit de echte wereld.