"Записки научных семинаров ПОМИ"

Том 552, стр. 381-397

Использование стохастических уязвимостей рандомизированного сглаживания в регрессионных моделях: анализ адаптивных атак и эмпирические ограничения

Е. А. Шумицкая, Д. С. Ватолин, А. В. Анциферова

Trusted AI Research Center, RAS, Alexander Solzhenitsyn st., 25, 109004 Moscow, Russia

ekaterina.shumitskaya@graphics.cs.msu.ru

MSU Institute for Artificial Intelligence, Lomonosovsky ave, 27b1, 119991 Moscow, Russia

dmitriy@graphics.cs.msu.ru

Lomonosov Moscow State University, Leninskie Gory, 1, 119991 Moscow, Russia

aantsiferova@graphics.cs.msu.ru

Аннотация: Рандомизированное сглаживание недавно было распространено с задач классификации на регрессионные задачи, такие как оценка качества изображений (Image Quality Assessment, IQA), обеспечивая формальные гарантии устойчивости к ограниченным возмущениям входных данных. Среди этих методов медианное сглаживание зарекомендовало себя как устойчивая альтернатива традиционному сглаживанию на основе среднего, обещая большую устойчивость к выбросам. Однако его практическая устойчивость к адаптивным противникам остаётся недостаточно изученной. В данной работе исследуется уязвимость IQA-моделей с медианным сглаживанием к атакам на основе градиента. Мы показываем, что, хотя теоретические гарантии устойчивости выполняются в идеализированных условиях бесконечного сэмплирования, реальные реализации подвержены неопределённости конечной выборки и стохастическому смещению. Чтобы выявить эти слабые места, мы расширяем метод проекционного градиентного спуска (Projected Gradient Descent, PGD) математическим ожиданием по преобразованиям (Expectation over Transformation, EOT), что позволяет осуществлять адаптивные атаки, явно использующие стохастическую природу рандомизированного сглаживания. Эксперименты на трёх современных IQA-моделях -- KonCept, PaQ-2-PiQ и HyperIQA -- показывают, что предложенная атака существенно увеличивает как Adversarial Gain (AdvG), так и Certified Attack Success Rate (cASR), превосходя базовые методы, такие как FGM и PGD. Мы также показываем, что устойчивость медианного сглаживания сильно зависит от бюджета сэмплирования и уровня шума: недостаточное сэмплирование или неоптимальные параметры шума приводят к полному разрушению сертификации. Эти результаты выявляют существенный разрыв между теоретической и эмпирической устойчивостью и подчёркивают необходимость улучшенных методов защиты на основе сглаживания в регрессионных задачах. Библ. --- 17 назв.
Ключевые слова: рандомизированное сглаживание, медианное сглаживание, сертифицированные методы защиты, регрессионные модели, оценка качества изображений, устойчивость IQA, адаптивные атаки [randomized smoothing, median smoothing, certified defenses, regression models, image quality assessment, IQA robustness, adaptive attacks]

Полный текст(.pdf)