Resumo Técnico: Scooter – Um Framework de Avaliação Humana para Exemplos Adversariais Ilimitados

Declaração do Problema

Ataques adversariais ilimitados visam enganar modelos de visão computacional (VC) alterando imagens de maneiras que não são restritas por limites de norma $\ell_p$, como mudar a cor ou textura de um objeto. Diferentemente de ataques restritos, essas modificações podem ser semanticamente coerentes e facilmente ignoradas por humanos, permitindo que atacantes contornem defesas tradicionais baseadas em normas, como treinamento adversarial ou robustez certificada. No entanto, a falta de restrições baseadas em normas significa que não há garantia matemática de imperceptibilidade. Consequentemente, verificar se esses exemplos adversariais (EAs) parecem autênticos para humanos requer avaliação humana.

A literatura existente frequentemente depende de métricas automatizadas ou estudos humanos em pequena escala que carecem de rigor estatístico. Muitas obras anteriores negligenciam totalmente a avaliação da qualidade da imagem ou dependem de métricas automatizadas que falham em alinhar-se com a percepção humana. Além disso, os protocolos existentes de avaliação humana frequentemente carecem de insights estatisticamente significativos, relato transparente de demografia, análise de poder e filtragem robusta para participantes desatentos. Isso cria uma lacuna na capacidade de comparar e validar de forma confiável a imperceptibilidade de ataques ilimitados.

Metodologia: O Framework Scooter

Para abordar essas lacunas, os autores introduzem o Scooter (Sistematizando Confusão sobre Observações para Avaliar Realismo), um framework de código aberto e com poder estatístico para avaliar exemplos adversariais ilimitados. O framework é estruturado em torno de um pipeline de três fases projetado para garantir qualidade de dados e validade estatística:

1. Verificações Preliminares:

   • Teste de Daltonismo: Os participantes devem classificar corretamente cinco imagens semelhantes às de Ishihara para garantir que podem perceber modificações baseadas em cor, um vetor primário para ataques ilimitados.
   • Verificação de Compreensão: Os participantes revisam exemplos de imagens modificadas versus não modificadas e devem identificar corretamente a imagem modificada em pelo menos 5 de 6 pares. Isso garante a compreensão da tarefa e filtra falantes não fluentes de inglês.

2. Fase Principal de Anotação:

   • Os participantes avaliam 106 imagens (50 reais, 50 adversariais) em uma escala Likert de 5 pontos variando de "Definitivamente Modificada" (-2) a "Definitivamente Real" (+2).
   • O desenho utiliza uma abordagem de medidas repetidas dentro do sujeito, onde os participantes avaliam tanto imagens reais quanto modificadas.
   • Verificações de Atenção: O estudo inclui "itens falsos" (imagens obviamente modificadas) e "verificações de manipulação de instruções" (VMIs) para detectar participantes desatentos. Participantes que falham em 2 ou mais de 6 verificações de atenção são sinalizados.
   • Filtragem: Métricas adicionais, como tempo médio por imagem, estatísticas de Longa-Cadeia e Variabilidade de Resposta Intra-individual (VRI), são usadas para filtrar dados de baixa qualidade.

3. Análise Estatística e Relato:

   • Teste de Equivalência: Em vez de testar diferenças significativas (o que implicaria detectabilidade), o Scooter emprega o procedimento de Testes Duplos de Um Lado (TOST) para testar equivalência. O objetivo é provar que a média de avaliação das imagens adversariais ($\mu_{modificada}$) é praticamente equivalente à média de avaliação das imagens reais ($\mu_{real}$) dentro de uma tolerância predefinida ($\Delta$).
   • Limites: Com base em simulações empíricas, os autores definem limites de equivalência prática de $\Delta_L = -0.2$ e $\Delta_U = +0.2$. Se a diferença entre $\mu_{real}$ e $\mu_{modificada}$ cair dentro desse intervalo, o ataque é considerado imperceptível.
   • Relato: O framework exige o relato de demografia dos participantes, compensação, comprometimento de tempo e saídas estatísticas detalhadas para garantir a reprodutibilidade.

Configuração Experimental

Os autores aplicaram o framework Scooter para avaliar seis ataques ilimitados:

• Ataques Baseados em Cor: SemanticAdv (SemAdv), cAdv e Natural Color Fool (NCF).
• Ataques Baseados em Difusão: DiffAttack (DA), AdvPP e ACA.

Modelo Vítima: Os ataques foram avaliados contra um ResNet-50 treinado adversarialmente (ResNet-50-AT), um modelo de linha de base robusto conhecido por resistir a ataques normais limitados por normas.
Conjunto de Dados: Um subconjunto curado de imagens de validação do ImageNet-1k, denominado ImageNet S-R50-N, contendo 2.966 imagens que são corretamente classificadas pelo modelo vítima e livres de artefatos pré-existentes.
Participantes: Um total de 346 participantes foi recrutado via Prolific, resultando em mais de 34.000 avaliações humanas.

Resultados Principais

O estudo produziu evidências estatisticamente significativas que contradizem a alegação de que os atuais ataques ilimitados são imperceptíveis:

1. Falha da Imperceptibilidade: Para todos os seis ataques, o procedimento TOST falhou em rejeitar a hipótese nula de que as imagens não são equivalentes. Especificamente, os valores-p para o teste de limite superior ($\Delta > \Delta_U$) foram 1,000 para todos os ataques. Isso indica que as imagens reais foram avaliadas significativamente mais altas (mais "reais") do que os exemplos adversariais, com lacunas muito superiores à tolerância de $\pm 0.2$.
2. Desempenho do Ataque:
   • Ataques baseados em difusão geralmente superaram os ataques baseados em cor em termos de imperceptibilidade (por exemplo, o AdvPP teve um $\mu_{modificada}$ de -0,5188, mais próximo das imagens reais do que os outros), mas ainda falharam em alcançar equivalência estatística.
   • SemAdv, apesar de ser o ataque mais simples, performou surpreendentemente bem, superando quatro outros ataques em pontuações brutas de modificação, embora ainda tenha falhado no teste de equivalência.
   • NCF produziu as modificações mais óbvias, com a maior lacuna entre as avaliações reais e modificadas.
3. Discrepância com Sucesso do Modelo: Não há correlação entre a taxa de sucesso de um ataque contra o modelo vítima e sua imperceptibilidade para humanos. Por exemplo, o NCF teve uma alta taxa de sucesso de ataque (0,922) mas foi altamente perceptível, enquanto o AdvPP teve uma baixa taxa de sucesso (0,081) mas foi o menos perceptível.
4. Proxies Automatizados:
   • GPT-4o: O modelo de linguagem-vision mostrou alguma capacidade de sinalizar ataques imperceptíveis, mas não se alinhou perfeitamente com as avaliações humanas, particularmente para AdvPP e ACA.
   • Métricas Objetivas: Métricas padrão de qualidade de imagem (por exemplo, FID, FD, KD) falharam em correlacionar-se com a percepção humana. Notavelmente, as métricas frequentemente classificaram o NCF (o ataque mais perceptível) como tendo a maior qualidade de imagem, contradizendo diretamente os julgamentos humanos. A métrica por imagem TOPIQ mostrou o melhor alinhamento, mas ainda falhou em substituir confiavelmente o julgamento humano em todos os ataques.

Significado e Alegações

O artigo alega fornecer o primeiro benchmark de código aberto e com poder estatístico que liga rigorosamente a percepção humana à qualidade de exemplos adversariais ilimitados. Suas principais contribuições são:

• Padrão Metodológico: Estabelece diretrizes de melhores práticas para poder de estudo de multidão, compensação e análise estatística (especificamente TOST) para avaliar imperceptibilidade, abordando a falta de insights estatisticamente significativos em trabalhos anteriores.
• Evidência Empírica: Demonstra que os atuais ataques ilimitados de última geração, incluindo aqueles baseados em modelos de difusão, não são imperceptíveis para humanos. Os autores concluem que os humanos podem distinguir facilmente imagens autênticas daquelas modificadas por esses ataques.
• Desacoplamento de Objetivos: As descobertas sugerem que enganar um modelo de visão computacional e enganar um observador humano são objetivos amplamente ortogonais; alto sucesso de ataque não implica alta imperceptibilidade.
• Limitações das Métricas Automatizadas: O estudo reforça que as métricas objetivas de qualidade de imagem existentes são proxies insuficientes para a percepção humana no contexto de exemplos adversariais.

Os autores posicionam o Scooter como uma ferramenta para permitir pesquisa reprodutível e centrada no humano, instando a comunidade a ir além das métricas automatizadas e alegações não verificadas de imperceptibilidade. Eles disponibilizam o código-fonte, o conjunto de dados ImageNet S-R50-N e mais de 34.000 avaliações humanas para facilitar pesquisas futuras neste domínio.