Evaluating Similitude and Robustness of Deep Image Denoising Models via Adversarial Attack

1. Declaração do Problema

Redes Neurais Profundas (DNNs) alcançaram desempenho de última geração na remoção de ruído de imagens, superando métodos tradicionais baseados em modelos. No entanto, as DNNs são conhecidas por serem vulneráveis a ataques adversariais, onde perturbações imperceptíveis causam degradação significativa do desempenho.

• A Lacuna: Embora os ataques adversariais sejam bem estudados em classificação de imagens, eles são pouco explorados na remoção de ruído de imagens (uma tarefa de regressão).
• O Desafio: Ataques existentes frequentemente alteram significativamente a distribuição do ruído, tornando incerto se as quedas de desempenho são devidas ao ataque ou simplesmente a uma mudança nas características do ruído. Além disso, a robustez e as similaridades internas entre diferentes arquiteturas de remoção de ruído (não-cego, cego, plug-and-play, unfolding) permanecem desconhecidas.
• Objetivo: Propor um ataque adversarial que mantenha a distribuição original do ruído enquanto engana com sucesso os modelos de remoção de ruído, e utilizar esse ataque para avaliar a robustez e a similaridade estrutural de vários modelos profundos de remoção de ruído.

2. Metodologia

A. Denoising-PGD (Ataque Proposto)

Os autores propõem o denoising-PGD, um método de ataque adversarial baseado no framework de Descida de Gradiente Projetada (PGD), especificamente adaptado para remoção de ruído de imagens.

• Entrada: Uma imagem ruidosa $x = u + n$ (onde $u$ é limpa, $n$ é ruído gaussiano).
• Objetivo: Gerar uma imagem de ruído adversarial $x'$ tal que a saída desruidada $D(x')$ tenha qualidade significativamente inferior a $D(x)$, mantendo a distribuição do ruído quase idêntica à gaussiana.
• Função de Perda: Diferente de ataques de classificação que maximizam o erro de classificação, este método minimiza a similaridade entre a saída desruidada e a imagem limpa de verdade (ground truth).
  $$\min \gamma(x' - x) \quad \text{s.t.} \quad E(D(x), y) - E(D(x'), y) > M$$
  Onde $E$ é uma métrica como PSNR, SSIM ou MAE, e $M$ é um limiar para um ataque bem-sucedido.
• Restrição Chave: A perturbação é adicionada à imagem ruidosa (não à imagem limpa) para garantir que a distribuição de ruído resultante permaneça próxima à gaussiana, impedindo que o ataque seja atribuído a uma mudança nos níveis de ruído.

B. Semelhança de Robustez (DMRS)

Para investigar por que amostras adversariais transferem tão bem entre diferentes modelos, os autores introduzem uma métrica chamada Semelhança de Robustez de Modelo de Remoção de Ruído (DMRS).

• Conceito: Eles analisam o "espaço adversarial" gerando amostras de ruído em um círculo no espaço de alta dimensão que envolve a imagem de ruído gaussiano.
• Medição: Eles calculam a Interseção sobre União (IoU) dos "diagramas de radar" que representam as regiões adversariais de dois modelos diferentes.
• Hipótese: Se dois modelos compartilham o mesmo conjunto de amostras adversariais (alta DMRS), eles possuem comportamentos locais e fronteiras de decisão similares na vizinhança das amostras de teste.

C. Defesa: Treinamento Adversarial

O artigo avalia o treinamento adversarial como um mecanismo de defesa, onde o modelo é re-treinado usando uma mistura de ruído gaussiano limpo e imagens de ruído adversarial.

D. L2-Denoising-PGD

Para garantir ainda mais que a distribuição do ruído permaneça estritamente gaussiana, os autores propõem o L2-denoising-PGD, que impõe uma restrição L2 à perturbação, forçando o ruído adversarial a aderir mais estritamente à suposição de distribuição gaussiana.

3. Contribuições Principais

1. Ataque Denoising-PGD: Um método de ataque adversarial novel que degrada com sucesso o desempenho de modelos profundos de remoção de ruído enquanto mantém a distribuição do ruído quase inalterada (imperceptível ao olho humano).
2. Descoberta de Alta Semelhança: O estudo revela que todos os modelos profundos de remoção de ruído principais atuais (não-cegos, cegos, plug-and-play e unfolding) compartilham quase o mesmo conjunto de amostras adversariais. Isso implica que, apesar de arquiteturas e paradigmas de treinamento diferentes, esses modelos aprendem funções locais altamente similares.
3. Classificação de Robustez:
   • Mais Robustos: Modelos não-cegos baseados em dados (ex: DnCNN, ECNDNet).
   • Moderadamente Robustos: Modelos híbridos baseados em modelo-dados (ex: DPIR, DeamNet).
   • Menos Robustos: Modelos de remoção de ruído cegos (ex: DnCNN-B, Noise2Noise).
4. Transferibilidade: O ataque exibe transferibilidade inesperadamente alta entre diferentes tipos de modelos, o que é raro em tarefas de classificação (onde o PGD geralmente tem baixa transferibilidade). Isso confirma a alta similaridade estrutural das redes profundas de remoção de ruído.
5. Validação de Defesa: O treinamento adversarial melhora significativamente a robustez (reduzindo a queda de PSNR de ~0,8 dB para ~0,1 dB) sem degradar o desempenho em ruído gaussiano limpo.
6. Resistência Baseada em Modelo: O método clássico baseado em modelo BM3D mostra forte resistência a esses ataques adversariais, ao contrário dos modelos de aprendizado profundo.

4. Resultados Experimentais

• Queda de Desempenho: No conjunto de dados Set12 (nível de ruído $\sigma=25$), o ataque causou:
  • DnCNN (Não-cego): Queda de PSNR de ~0,8 dB.
  • DnCNN-B (Cego): Queda de PSNR de ~4,0 dB (significativamente mais vulnerável).
  • DPIR (Plug-and-Play): Queda de PSNR de ~2,1 dB.
• Transferibilidade: Amostras adversariais geradas para o DnCNN causaram quedas significativas de desempenho no FFDNet, ECNDNet, DnCNN-B, RDDCNN-B, DPIR e DeamNet.
• Pontuações de Semelhança (DMRS):
  • Modelos não-cegos mostraram ~97% de semelhança entre si.
  • Modelos híbridos (DPIR, DeamNet) mostraram ~90-94% de semelhança com modelos não-cegos.
  • Modelos cegos mostraram menor semelhança (~50-60%) com modelos não-cegos, mas alta semelhança entre si.
• Imagens Coloridas: O ataque foi estendido para imagens RGB (FFDNet), mostrando tendências de transferibilidade similares, embora ligeiramente menos eficazes do que em imagens em tons de cinza.
• Treinamento Adversarial: Após o treinamento com amostras adversariais, a vulnerabilidade do modelo caiu drasticamente (resíduo de PSNR reduzido de 0,88 dB para 0,16 dB), e o modelo na verdade produziu melhores resultados em ruído gaussiano limpo do que o modelo original, ao reduzir artefatos.

5. Significado e Implicações

• Vulnerabilidade da Remoção de Ruído Profunda: Apesar de altos escores de PSNR, os modelos de remoção de ruído profundos são frágeis e podem ser facilmente "enganados" pela mesma pequena perturbação, independentemente de sua arquitetura.
• Comportamento Unificado: A descoberta de que modelos diversos compartilham o mesmo espaço adversarial sugere que as tarefas de remoção de ruído profundo podem ter convergido para uma variedade de soluções específica e estreita, tornando-os coletivamente vulneráveis.
• Estratégia de Defesa: O treinamento adversarial provou ser uma defesa eficaz, melhorando tanto a robustez quanto a qualidade geral de remoção de ruído.
• Papel dos Métodos Clássicos: A resistência do BM3D sugere que métodos clássicos baseados em modelo podem servir como um "purificador" robusto ou etapa de pré-processamento em pipelines de defesa adversarial, um papel frequentemente assumido pelo aprendizado profundo, mas que o próprio aprendizado profundo falha em garantir contra esses ataques específicos.
• Nova Direção de Pesquisa: Este trabalho estabelece o "Ataque Adversarial de Remoção de Ruído de Imagens" como uma área de pesquisa distinta e crítica, indo além da classificação para tarefas de visão baseadas em regressão.