17.1.4 Perturbációs költségvetések

Az előző fejezetben láttuk, hogyan mérhetjük egy támadás sikerességét. De egy sikeres támadás önmagában nem mond el mindent. Nem mindegy, hogy a sikert egy alig észrevehető, finom módosítással értük el, vagy az eredeti bemenet felismerhetetlenségig való torzításával. Itt jön képbe a perturbációs költségvetés: a keretrendszer, ami korlátozza a támadó erejét, és értelmes, összehasonlítható kontextusba helyezi a robusztusság mérését.

Miért elengedhetetlen a költségvetés?

Költségvetés nélkül a robusztusság mérése értelmét veszti. 

Bármelyik képosztályozót rá lehet venni, hogy egy macskát ábrázoló képet „autónak” klasszifikáljon, ha elegendő pixelt módosíthatunk – végső soron akár lecserélhetjük a teljes képet egy autót ábrázolóra. Ez azonban nem a modell gyengeségét mutatja, hanem a teszt irrelevanciáját!

A költségvetés bevezetése több célt szolgál:

• Realizmus: Valós fenyegetéseket modellez, ahol a támadónak rejtve kell maradnia. Egy észrevehetetlenül módosított kép vagy egy hangzásában azonos audiofájl sokkal veszélyesebb.
• Összehasonlíthatóság: Lehetővé teszi különböző modellek és védelmi mechanizmusok objektív összevetését. Az a modell a robusztusabb, amelyik egy adott ε költségvetés mellett jobban ellenáll a támadásoknak.
• Formalizálás: Matematikai keretet ad a robusztusság definíciójához. Egy modell (x, ε)-robusztus, ha az x bemenet ε sugarú környezetében minden pontra ugyanazt a kimenetet adja.

A költségvetés mérése: L-p normák

A „távolságot” az eredeti és a módosított bemenet között matematikailag az úgynevezett L-p normákkal definiáljuk. Ezek különböző módokon mérik a perturbációs vektor nagyságát. A Red Teaming gyakorlatában három norma dominál.

L_∞ (Infinity vagy Végtelen-norma)

Ez a leggyakrabban használt norma képek esetén. A perturbációs vektor legnagyobb abszolút értékű elemét méri. Lényegében azt korlátozza, hogy egyetlen pixel értéke mennyivel változhat meg maximálisan.

Analógia: Képzeld el, hogy egy képszerkesztőben minden pixel csúszkáját csak egy picit mozdíthatod el jobbra vagy balra. Az L_∞ költségvetés ennek a „pici elmozdulásnak” a maximális mértékét szabja meg.

Képlete: ||x – x’||_∞ = max_i |x_i – x’_i| ≤ ε

Az L_∞ norma ideális az apró, elosztott zajok létrehozására, amelyek emberi szemmel szinte láthatatlanok, mivel egyetlen pixel sem „lóg ki” drasztikusan.

L₂ (Euklideszi norma)

Az L₂ norma a perturbációs vektor „hosszát” méri, mintha az egy euklideszi térben lévő vektor lenne. Ez a teljes perturbáció energiáját korlátozza. Lehetővé tesz nagyobb változásokat egyes pixeleken, amíg a többi pixel változása kicsi, így a teljes „energia” a költségvetésen belül marad.

Analógia: Ha a perturbáció egy festékszóró, az L₂ költségvetés a flakonban lévő festék teljes mennyiségét korlátozza. Lehet egy helyre többet fújni, de akkor máshova kevesebb jut.

Képlete: ||x – x’||₂ = √(∑_i(x_i – x’_i)²) ≤ ε

Az L₂ támadások gyakran kevésbé észrevehetetlenek, mint az L_∞ alapúak, de bizonyos esetekben hatékonyabbak lehetnek.

L₀ (Nulla-norma)

Az L₀ norma a perturbációs vektor nem-nulla elemeinek számát méri. Vagyis azt korlátozza, hogy hány pixelt (vagy szót, funkciót) módosíthatunk összesen. A módosítás mértéke ezen a néhány elemen belül tetszőleges lehet.

Analógia: Csak 3 pixelt változtathatsz meg a képen, de azokat bármilyen színűre átírhatod.

Képlete: ||x – x’||₀ = ∑_i 1_{(xi ≠ x’i)} ≤ ε

Ez a norma az úgynevezett „sparse” (ritka) támadások alapja, ahol a cél néhány, stratégiailag fontos bemeneti jellemző megváltoztatása.

A normák vizuális értelmezése

A különböző normák által definiált költségvetések egy-egy „teret” jelölnek ki az eredeti bemenet körül, amelyen belül a támadónak maradnia kell. Egy 2D-s példán (két pixel) ez a tér egy négyzet (L_∞), egy kör (L₂) vagy egy rombusz (L₁).

A diagramon látható, hogy az L_∞ norma egyenlő mértékben korlátoz minden irányban (minden pixelváltozást), míg az L₂ a teljes távolságot, az L₁ pedig a „tengelymenti” távolságok összegét. A támadásnak a megfelelő alakzaton belül kell maradnia.

Gyakorlati alkalmazás: Költségvetés a kódban

A támadó algoritmusok, mint például a PGD (Projected Gradient Descent), explicit módon használják a költségvetést. Minden iterációs lépés után „visszavetítik” (project) a perturbációt az ε-sugarú L-p „gömbbe”, biztosítva, hogy a korlátot soha ne lépjék át.

# Pszeudokód egy PGD lépésre L-infinity normával

def pgd_step(kep, perturbacio, epsilon, lepeskoz):
 # 1. Gradiens kiszámítása a veszteségfüggvény alapján
 grad = szamolj_gradienst(kep + perturbacio)

 # 2. A perturbáció frissítése a gradiens irányában
 # (maximalizáljuk a veszteséget)
 perturbacio = perturbacio + lepeskoz * grad.sign()

 # 3. Visszavetítés (clipping) az L-infinity gömbbe
 # Biztosítjuk, hogy egyetlen pixelváltozás sem nagyobb, mint epsilon
 perturbacio = torch.clamp(perturbacio, -epsilon, epsilon)

 # 4. Biztosítjuk, hogy a végső kép érvényes pixelértékekkel rendelkezzen
 # (pl. [0, 1] vagy [0, 255] tartományban maradjon)
 modositott_kep = torch.clamp(kep + perturbacio, 0, 1)

 # Visszaadjuk az új, korlátolt perturbációt
 return modositott_kep - kep
 

A fenti kódban a torch.clamp(perturbacio, -epsilon, epsilon) sor a kulcs: ez garantálja, hogy a perturbáció minden eleme az [-ε, ε] intervallumban marad, ami pontosan az L_∞ norma definíciója.

A megfelelő költségvetés kiválasztása

Nincs egyetlen, univerzálisan „jó” ε érték. A választás több tényezőtől függ:

A perturbációs költségvetés tehát nem csupán egy technikai paraméter, hanem az AI Red Teaming értékelések egyik legfontosabb konceptuális eszköze. Meghatározza a játékszabályokat, és lehetővé teszi, hogy a „siker” szót egy mérhető, releváns és összehasonlítható metrikává alakítsuk.