Almost for Free: Crafting Adversarial Examples with Convolutional Image Filters

Resumo Técnico: Quase de Graça: Criando Exemplos Adversariais com Filtros de Imagem Convolucionais

Declaração do Problema
Exemplos adversariais (EAs) em aprendizado profundo são tipicamente gerados usando otimização baseada em gradiente, exigindo acesso direto aos parâmetros do modelo (caixa-branca) ou aproximações extensas baseadas em consultas (caixa-preta). Esses métodos frequentemente envolvem loops de otimização complexos, altos custos computacionais e, no caso de abordagens baseadas em modelos generativos, milhões de parâmetros. Os autores questionam se tal complexidade é necessária, propondo que a vulnerabilidade das redes neurais a perturbações estruturais específicas possa ser explorada através de mecanismos mais simples.

Metodologia
O artigo propõe uma abordagem inovadora para criar exemplos adversariais não direcionados usando filtros de imagem convolucionais. A metodologia divide-se em duas estratégias distintas:

1. Ataque com Filtro de Bordas (Independente do Modelo):

   • Inspiração: Baseando-se em aprendizado de máquina explicável (Adebayo et al., 2018; Ancona et al., 2018), os autores observam uma correlação entre mapas de saliência (que aproximam gradientes $\nabla_x f_\theta(x)$) e a detecção clássica de bordas.
   • Mecanismo: O ataque aplica um filtro padrão de detecção de bordas (especificamente um filtro de Sobel) a uma imagem de entrada $x$ para gerar um mapa de bordas $E(x)$. A perturbação $\delta$ é criada escalando este mapa de bordas: $\delta = \rho(E(x)) = \pm \mu E(x)$.
   • Operação: Isso requer apenas uma única passagem de convolução. Os autores testam empiricamente a subtração de informações de borda ($\mu < 0$), que escurece as bordas, encontrando-a ligeiramente mais eficaz do que adicioná-las.

2. Ataque com Filtro Adversarial (Dependente do Modelo):

   • Mecanismo: Em vez de usar kernels fixos, os autores otimizam os pesos de um pequeno filtro convolucional $k$ para maximizar a perda do modelo alvo.
   • Otimização: O filtro é treinado resolvendo:
     $$\arg\min_k -\sum_{x \in D} \ell(x + x * k, f_\theta(x), \theta) + \lambda \|k\|_2^2$$
     onde $D$ é um pequeno conjunto de dados representativo da distribuição de treinamento, $\ell$ é a função de perda e $\lambda$ regulariza a força da perturbação.
   • Eficiência: Os filtros são pequenos (por exemplo, $3 \times 3$ ou $5 \times 5$), exigindo significativamente menos parâmetros do que modelos generativos. O ataque é "de um único tiro", gerando a perturbação via uma única convolução após a otimização do filtro.

Principais Contribuições

• Simplicidade e Eficiência: Os autores demonstram que exemplos adversariais podem ser criados sem atualizações iterativas de gradiente ou arquiteturas generativas complexas. Os filtros propostos reduzem a contagem de parâmetros em cinco ordens de magnitude em comparação com abordagens generativas relacionadas (por exemplo, Baluja & Fischer, 2018).
• Transferibilidade: Os filtros adversariais aprendidos exibem alta transferibilidade entre diferentes arquiteturas de modelo (VGG-13, ResNet-50, Inception-V3), mesmo quando o filtro é otimizado para um modelo e aplicado a outro.
• Insights Estruturais: Os filtros otimizados, embora únicos, compartilham similaridades estruturais com kernels clássicos de processamento de imagem (por exemplo, Laplaciano de Gaussiano), sugerindo que combinações específicas de suavização e realce de bordas podem enganar efetivamente redes neurais.

Resultados Experimentais
Os autores avaliaram sua abordagem em modelos treinados no ImageNet (VGG-13, ResNet-50, Inception-V3) usando o conjunto de dados ImageNet V2.

• Ataque com Filtro de Bordas: Usando um filtro de Sobel fixo, o ataque alcançou taxas de sucesso entre 30% e 80%, dependendo do modelo e da magnitude da perturbação ($\mu$). Embora menos eficaz do que métodos adaptativos, não exigiu conhecimento do modelo e usou apenas 27 parâmetros.
• Ataque com Filtro Adversarial:
  • Com um filtro $3 \times 3$ e 1.000 exemplos de treinamento, as taxas de sucesso atingiram 56% para VGG, 46% para ResNet e 48% para Inception em uma PSNR de 20.
  • Aumentar o tamanho do filtro para $5 \times 5$ e os dados de treinamento para 3.000 exemplos elevou as taxas de sucesso para 94% (ResNet), 92% (VGG) e 68% (Inception).
  • Transferibilidade: Filtros otimizados para um modelo mantiveram alta eficácia em outros. Por exemplo, um filtro otimizado para ResNet alcançou uma taxa de sucesso relativa de 93% em VGG e 82% em Inception (em PSNR=20).
• Características da Perturbação: Diferentemente do ruído adversarial padrão que cobre toda a imagem, essas perturbações preservam o contorno estrutural da imagem de entrada, mas introduzem ruído localizado e sem cor. A inspeção visual mostra que, enquanto algumas perturbações são imperceptíveis (PSNR > 30), aquelas em PSNR 20 mostram desfoque ou escurecimento visíveis nas bordas.

Significado e Alegações
O artigo afirma que seus resultados fornecem um limite inferior para a complexidade necessária para ataques não direcionados eficazes. Os autores argumentam que:

1. Complexidade nem sempre é necessária: Estratégias de otimização sofisticadas não são estritamente necessárias para alcançar altas taxas de sucesso; filtros convolucionais simples e otimizados podem ser suficientes.
2. Fragilidade das Redes Neurais: A alta transferibilidade e o sucesso desses filtros simples destacam uma fragilidade fundamental das redes neurais a padrões de ruído maliciosos específicos que imitam ou distorcem estruturas de bordas.
3. Eficiência: A drástica redução em parâmetros e custo computacional (passagem única) oferece uma nova perspectiva sobre o trade-off entre complexidade do ataque e eficácia.

Os autores permanecem modestos, reconhecendo que seus filtros simples não podem competir com o desempenho absoluto de pico das estratégias de otimização mais avançadas, mas servem como um marco crítico para entender os requisitos mínimos para ataques adversariais bem-sucedidos. Eles sugerem que trabalhos futuros poderiam explorar sequências de convoluções para preencher a lacuna entre filtros simples e arquiteturas completas de rede.