Các Phương Pháp Đảm Bảo Tính Chắc Chắn Cho Một Số Mô Hình Học Sâu

Luận án tiến sĩ về các phương pháp đảm bảo tính chắc chắn cho mô hình học sâu. Nghiên cứu tấn công đối kháng, phòng thủ và cải thiện độ tin cậy của mô hình.

• Tác giả: Nguyễn Đức Anh
• Người hướng dẫn: Pgs. Phạm Ngọc Hùng
• Trường học: Trường Đại học Công Nghệ
• Chuyên ngành: Kỹ Thuật Phần Mềm
• Đề tài: Các Phương Pháp Đảm Bảo Tính Chắc Chắn Cho Một Số Mô Hình Học Sâu
• Loại tài liệu: Luận Án Tiến Sĩ
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• TÓM TẮT
• 1. CHƯƠNG 1: GIỚI THIỆU
• 1.1. Mục tiêu và phạm vi nghiên cứu
• 1.2. Các đóng góp chính của luận án và mối quan hệ
• 1.3. Cây nghiên cứu
• 1.4. Bố cục các chương trong luận án
• 1.5. Kiến thức nền tảng
• 1.5.1. Mạng học sâu cho bài toán phân loại ảnh
• 1.5.2. Mạng học sâu
• 1.5.3. Mạng nơ-ron truyền thẳng
• 1.5.4. Mạng tích chập
• 1.5.5. Xây dựng mô hình học sâu cho bài toán phân loại ảnh
• 1.5.6. Mạng mã hóa tự động
• 1.5.6.1. Mạng mã hóa tự động thưa
• 1.5.6.2. Mạng mã hóa tự động xếp chồng
• 1.5.6.3. Mạng mã hóa tự động tích chập xếp chồng
• 1.5.7. Tấn công đối kháng
• 1.5.7.1. Hai loại tấn công đối kháng phổ biến
• 1.5.8. Tính chắc chắn
• 1.5.9. Phân loại ảnh. Tính chất nhiễu
• 1.5.10. Đánh giá tính chắc chắn của mô hình học sâu
• 1.5.11. Các phương pháp tấn công đối kháng không định hướng
• 1.5.12. Các phương pháp tấn công đối kháng có định hướng
• 1.5.13. Các phương pháp phòng thủ sử dụng mô hình mã hóa tự động
• 1.5.13.1. Phương pháp PuVAE
• 1.5.13.2. Phương pháp MagNet
• 1.5.13.3. Phương pháp Defense-VAE
• 1.5.14. Tỉ lệ phát hiện để đánh giá chất lượng mô hình mã hóa tự động phòng thủ
• 1.5.15. Các bộ dữ liệu sử dụng trong thực nghiệm
• 1.5.16. Bộ giải SMT
• 1.6. Tóm tắt chương

Tóm tắt

I. Tổng Quan Các Phương Pháp Đảm Bảo Tính Chắc Chắn 55 ký tự

Mạng học sâu đã tạo ra một cuộc cách mạng trong thế kỷ 21, đặc biệt trong bài toán phân loại ảnh. Các mô hình học sâu, được xây dựng từ mạng học sâu và dữ liệu, ngày càng được ứng dụng rộng rãi. Tuy nhiên, để đảm bảo chất lượng của mô hình, nhiều độ đo đã được đề xuất như độ chuẩn xác, độ chính xác và điểm số F1. Dù vậy, các nghiên cứu gần đây cho thấy các mô hình này dễ bị tấn công bởi adversarial attacks, đặt ra thách thức lớn về tính chắc chắn của chúng. Tính chắc chắn được định nghĩa là khả năng mô hình nhận diện chính xác nhãn của ảnh, ngay cả khi ảnh đó bị thêm nhiễu đối nghịch.

1.1. Ảnh Hưởng của Adversarial Attacks Đến Độ Tin Cậy

Một trong những thách thức lớn nhất đối với mô hình học sâu là sự dễ bị tổn thương trước tấn công đối nghịch (adversarial attacks). Kẻ tấn công có thể thêm nhiễu đối nghịch vào ảnh dự đoán đúng, khiến mô hình nhận diện sai. Điều này làm suy giảm đáng kể độ tin cậy của mô hình trong các ứng dụng thực tế. Do đó, việc nghiên cứu và phát triển các phương pháp phòng thủ trước tấn công đối nghịch là vô cùng quan trọng. Cải thiện tính chắc chắn được coi là một trong những giải pháp để nâng cao chất lượng mô hình học sâu. Luận án này tập trung vào việc giải quyết các vấn đề liên quan đến adversarial attacks và các phương pháp cải thiện tính chắc chắn.

1.2. Tính Chắc Chắn Trong Học Sâu Định Nghĩa và Tầm Quan Trọng

Tính chắc chắn của mô hình học sâu là khả năng mô hình nhận diện chính xác nhãn của ảnh đầu vào khi ảnh này được thêm nhiễu đối nghịch. Hiểu một cách đơn giản, một mô hình có tính chắc chắn cao sẽ ít bị đánh lừa bởi các adversarial attacks. Việc đảm bảo tính chắc chắn là yếu tố quan trọng để triển khai mô hình học sâu trong các ứng dụng quan trọng như xe tự lái, y tế và an ninh. Luận án này nghiên cứu sâu về các phương pháp đánh giá và cải thiện tính chắc chắn của mô hình học sâu, từ đó góp phần nâng cao độ tin cậy của các hệ thống AI.

II. Thách Thức Vấn Đề Robustness và Độ Tin Cậy Mô Hình 58 ký tự

Mặc dù mô hình học sâu đạt được độ chính xác cao trên các tập dữ liệu chuẩn, chúng lại dễ bị ảnh hưởng bởi các thay đổi nhỏ trong dữ liệu đầu vào. Điều này dẫn đến vấn đề về robustness (tính mạnh mẽ) và độ tin cậy. Các mô hình này thường hoạt động kém hiệu quả khi đối mặt với dữ liệu thực tế, nơi có nhiều nhiễu và biến động. Nghiên cứu về tính robustness và độ tin cậy của mô hình học sâu là rất quan trọng để đảm bảo chúng có thể được triển khai một cách an toàn và hiệu quả trong các ứng dụng thực tế.

2.1. Đánh Giá Robustness Phương Pháp Kiểm Tra và Đo Lường

Việc đánh giá robustness của mô hình học sâu là một thách thức lớn. Các phương pháp đánh giá truyền thống như kiểm tra trên tập dữ liệu kiểm tra (test set) thường không đủ để phát hiện các điểm yếu của mô hình. Cần có các phương pháp kiểm tra đặc biệt, chẳng hạn như adversarial testing, để đánh giá khả năng của mô hình chống lại các tấn công đối nghịch. Các độ đo như tỉ lệ thay đổi kết quả dự đoán khi có nhiễu cũng được sử dụng để định lượng robustness. Việc lựa chọn phương pháp đánh giá phù hợp phụ thuộc vào ứng dụng cụ thể và loại tấn công đối nghịch mà mô hình có thể phải đối mặt.

2.2. Độ Tin Cậy Trong Môi Trường Thay Đổi Vấn Đề Tính Ổn Định

Độ tin cậy của mô hình học sâu không chỉ liên quan đến khả năng hoạt động chính xác trên dữ liệu hiện tại, mà còn liên quan đến tính ổn định của mô hình trong môi trường thay đổi. Khi dữ liệu huấn luyện không còn đại diện cho dữ liệu thực tế, mô hình có thể mất đi độ tin cậy. Các phương pháp như transfer learning và domain adaptation được sử dụng để cải thiện tính ổn định của mô hình trong các tình huống này. Ngoài ra, việc giám sát hiệu suất của mô hình trong quá trình hoạt động và tái huấn luyện khi cần thiết cũng là rất quan trọng.

2.3. Giải Quyết Vấn Đề Mô Hình Học Sâu Dễ Bị Tấn Công

Một trong những vấn đề lớn nhất của mô hình học sâu là chúng rất dễ bị tấn công. Tấn công đối nghịch có thể dễ dàng lừa các mô hình học sâu phân loại sai bằng cách thay đổi dữ liệu đầu vào một cách rất nhỏ, không đáng kể. Điều này đặc biệt đáng lo ngại trong các ứng dụng như xe tự lái hoặc hệ thống nhận diện khuôn mặt, nơi mà một lỗi nhỏ có thể gây ra hậu quả nghiêm trọng. Vì vậy việc nghiên cứu các phương pháp làm cho mô hình học sâu đáng tin cậy hơn trước các cuộc tấn công đối nghịch là một lĩnh vực quan trọng và đang phát triển nhanh chóng.

III. Phương Pháp Cải Thiện Tính Chắc Chắn Bằng Adversarial Training 59 ký tự

Adversarial training là một trong những phương pháp hiệu quả nhất để cải thiện tính chắc chắn của mô hình học sâu. Trong quá trình huấn luyện, mô hình không chỉ được tiếp xúc với dữ liệu gốc mà còn với các ảnh đối nghịch được tạo ra một cách cố ý để đánh lừa mô hình. Bằng cách này, mô hình học cách chống lại các tấn công đối nghịch và trở nên robust hơn. Adversarial training đã được chứng minh là có hiệu quả trong nhiều bài toán khác nhau, từ phân loại ảnh đến xử lý ngôn ngữ tự nhiên.

3.1. Lợi Ích của Adversarial Training và Các Biến Thể

Adversarial training giúp mô hình học cách nhận diện các đặc trưng quan trọng trong dữ liệu và bỏ qua các nhiễu không liên quan. Điều này dẫn đến việc cải thiện không chỉ tính chắc chắn mà còn cả độ tin cậy và khả năng tổng quát hóa của mô hình. Có nhiều biến thể của adversarial training, chẳng hạn như sử dụng các phương pháp tạo ảnh đối nghịch khác nhau hoặc điều chỉnh cường độ của nhiễu đối nghịch. Việc lựa chọn biến thể phù hợp phụ thuộc vào ứng dụng cụ thể và loại tấn công đối nghịch mà mô hình có thể phải đối mặt.

3.2. Hạn Chế Của Adversarial Training và Giải Pháp

Mặc dù hiệu quả, adversarial training cũng có một số hạn chế. Một trong số đó là chi phí tính toán cao, do phải tạo và huấn luyện với ảnh đối nghịch. Ngoài ra, adversarial training có thể làm giảm độ chính xác của mô hình trên dữ liệu sạch. Để giải quyết những hạn chế này, các nhà nghiên cứu đã đề xuất nhiều giải pháp, chẳng hạn như sử dụng các phương pháp tạo ảnh đối nghịch hiệu quả hơn hoặc kết hợp adversarial training với các kỹ thuật chính quy hóa khác.

IV. Uncertainty Estimation Bí Quyết Nâng Cao Độ Tin Cậy Mô Hình 59 ký tự

Uncertainty estimation (ước lượng độ bất định) là một kỹ thuật quan trọng để nâng cao độ tin cậy của mô hình học sâu. Kỹ thuật này cho phép mô hình dự đoán không chỉ kết quả mà còn cả mức độ chắc chắn của dự đoán đó. Khi mô hình không chắc chắn về dự đoán của mình, nó có thể đưa ra cảnh báo hoặc từ chối đưa ra quyết định. Điều này đặc biệt quan trọng trong các ứng dụng mà sai sót có thể gây ra hậu quả nghiêm trọng.

4.1. Các Phương Pháp Uncertainty Estimation Phổ Biến

Có nhiều phương pháp uncertainty estimation khác nhau, bao gồm Bayesian deep learning, Monte Carlo dropout và ensemble methods. Bayesian deep learning sử dụng phân phối xác suất để mô tả các tham số của mô hình, cho phép ước lượng độ bất định một cách tự nhiên. Monte Carlo dropout sử dụng dropout trong quá trình dự đoán để tạo ra nhiều dự đoán khác nhau, từ đó ước lượng độ bất định. Ensemble methods sử dụng nhiều mô hình khác nhau và kết hợp dự đoán của chúng để ước lượng độ bất định.

4.2. Ứng Dụng Của Uncertainty Estimation Trong Thực Tế

Uncertainty estimation có nhiều ứng dụng trong thực tế. Trong xe tự lái, nó có thể được sử dụng để cảnh báo khi mô hình không chắc chắn về việc nhận diện đối tượng hoặc tình huống giao thông. Trong y tế, nó có thể được sử dụng để đánh giá độ tin cậy của kết quả chẩn đoán và đưa ra cảnh báo khi cần thiết. Trong tài chính, nó có thể được sử dụng để đánh giá rủi ro và đưa ra quyết định đầu tư sáng suốt hơn.

4.3. Cải Thiện Tính Giải Thích Mô Hình Học Sâu với XAI

Tính giải thích mô hình học sâu là yếu tố quan trọng để xây dựng niềm tin vào mô hình. Explainable AI (XAI) giúp chúng ta hiểu rõ hơn về cách mô hình đưa ra quyết định. Các phương pháp như SHAP và LIME cho phép xác định những yếu tố quan trọng nhất ảnh hưởng đến dự đoán của mô hình, từ đó tăng cường độ tin cậy và tính minh bạch.

V. Formal Verification Cách Đảm Bảo Tính Chắc Chắn Tuyệt Đối 57 ký tự

Formal verification là một kỹ thuật sử dụng logic toán học để chứng minh tính đúng đắn của mô hình học sâu. Kỹ thuật này có thể đảm bảo tính chắc chắn của mô hình một cách tuyệt đối trong một phạm vi hoạt động nhất định. Mặc dù phức tạp và tốn kém, formal verification là lựa chọn phù hợp cho các ứng dụng yêu cầu độ tin cậy cao nhất.

5.1. Nguyên Lý Hoạt Động Của Formal Verification

Formal verification hoạt động bằng cách chuyển đổi mô hình học sâu thành một hệ thống ràng buộc toán học. Sau đó, một bộ giải (solver) được sử dụng để chứng minh rằng hệ thống ràng buộc này đáp ứng các yêu cầu về tính chắc chắn. Nếu bộ giải tìm thấy một vi phạm, điều đó có nghĩa là mô hình có thể bị tấn công và cần được sửa chữa.

5.2. Ưu Nhược Điểm Của Formal Verification

Formal verification có ưu điểm là đảm bảo tính chắc chắn tuyệt đối. Tuy nhiên, nó cũng có một số nhược điểm. Quá trình chuyển đổi mô hình thành hệ thống ràng buộc có thể rất phức tạp và tốn thời gian. Ngoài ra, formal verification thường chỉ áp dụng được cho các mô hình nhỏ và đơn giản.

5.3. Certified Robustness Chứng Nhận Độ Chắc Chắn

Certified robustness là một khái niệm quan trọng trong lĩnh vực formal verification. Nó cung cấp một chứng nhận toán học về tính robustness của mô hình trong một phạm vi nhất định. Điều này có nghĩa là chúng ta có thể chắc chắn rằng mô hình sẽ không bị đánh lừa bởi bất kỳ tấn công đối nghịch nào trong phạm vi đó. Tuy nhiên, việc đạt được certified robustness thường đòi hỏi các kỹ thuật phức tạp và chi phí tính toán cao.

VI. Ứng Dụng và Tương Lai Của Tính Chắc Chắn Học Sâu 59 ký tự

Các phương pháp đảm bảo tính chắc chắn cho mô hình học sâu đang ngày càng được ứng dụng rộng rãi trong nhiều lĩnh vực. Từ xe tự lái đến y tế và an ninh, việc đảm bảo độ tin cậy của mô hình là yếu tố then chốt để triển khai thành công các hệ thống AI. Trong tương lai, chúng ta có thể kỳ vọng vào sự phát triển của các kỹ thuật mới, hiệu quả hơn và dễ áp dụng hơn, giúp nâng cao tính chắc chắn của mô hình học sâu lên một tầm cao mới.

6.1. Các Biện Pháp Đảm Bảo An Toàn Cho Mô Hình Học Sâu

Để đảm bảo an toàn cho các mô hình học sâu, chúng ta cần kết hợp nhiều biện pháp khác nhau, bao gồm adversarial training, uncertainty estimation, formal verification và các kỹ thuật phòng thủ khác. Ngoài ra, việc giám sát hiệu suất của mô hình trong quá trình hoạt động và cập nhật thường xuyên cũng là rất quan trọng. Các biện pháp đảm bảo an toàn cần được điều chỉnh phù hợp với ứng dụng cụ thể và loại tấn công đối nghịch mà mô hình có thể phải đối mặt.

6.2. Hướng Nghiên Cứu Về Độ Tin Cậy Của Mô Hình Học Sâu

Nghiên cứu về độ tin cậy của mô hình học sâu là một lĩnh vực đang phát triển nhanh chóng. Các hướng nghiên cứu hiện tại bao gồm phát triển các phương pháp adversarial training hiệu quả hơn, khám phá các kỹ thuật uncertainty estimation mới, và mở rộng phạm vi áp dụng của formal verification. Ngoài ra, việc nghiên cứu các phương pháp giải thích kết quả của mô hình (XAI) cũng được coi là một hướng đi đầy hứa hẹn.

6.3. Ứng Dụng Thực Tế Xe Tự Lái và An Ninh Mạng

Trong lĩnh vực xe tự lái, tính chắc chắn của mô hình học sâu là yếu tố sống còn. Mô hình cần có khả năng nhận diện chính xác các đối tượng và tình huống giao thông, ngay cả khi có nhiễu hoặc tấn công đối nghịch. Trong an ninh mạng, mô hình học sâu được sử dụng để phát hiện các cuộc tấn công và phần mềm độc hại. Việc đảm bảo tính chắc chắn của mô hình là rất quan trọng để ngăn chặn các cuộc tấn công thành công.

Nội dung chính

Tổng quan về luận án

Sự bùng nổ của học sâu (Deep Learning) trong thế kỷ 21 đã tạo ra bước chuyển dịch mô thức mang tính cách mạng trong bài toán thị giác máy tính và phân loại hình ảnh. Mặc dù các mạng nơ-ron đạt độ chuẩn xác (Accuracy), độ chính xác (Precision) và điểm số F1 vượt trội trên tập dữ liệu chuẩn, các mô hình này bộc lộ lỗ hổng nghiêm trọng trước các mẫu đối kháng (Adversarial Examples). Luận án tiến sĩ chuyên ngành Kỹ thuật phần mềm (Mã số: 9480103.01) của tác giả Nguyễn Đức Anh, dưới sự hướng dẫn khoa học của PGS. Phạm Ngọc Hùng (Trường Đại học Công nghệ – ĐHQGHN) và GS. Nguyễn Lê Minh (JAIST), tập trung giải quyết bài toán cốt lõi: "Các phương pháp đảm bảo tính chắc chắn cho một số mô hình học sâu".

Theo luận án, "Tính chắc chắn của mô hình học sâu là khả năng mô hình nhận diện được chính xác nhãn của ảnh đầu vào khi ảnh này được thêm nhiễu đối kháng." Nghiên cứu xác định research gap trọng tâm nằm ở sự thiếu hụt các kỹ thuật kiểm thử hộp trắng hiệu năng cao và giải pháp phòng thủ tổng quát hóa:

1. Các kỹ thuật kiểm thử hình thức như DeepCheck bị nghẽn cổ chai nghiêm trọng về hiệu năng và tỉ lệ thành công do phụ thuộc vào bộ giải SMT (Satisfiability Modulo Theories) cùng ràng buộc bảo toàn trạng thái kích hoạt nơ-ron;
2. Các phương pháp sinh mẫu đối kháng dựa trên mạng biến đổi đối kháng (Adversarial Transformation Networks - ATN) thiếu tính đa dạng và tích tụ nhiều nhiễu dư thừa;
3. Các giải pháp phòng thủ tiền xử lý hiện hành (như MagNet, PuVAE, Defense-VAE) chỉ tối ưu trên các phân phối nhiễu giả định (như Gaussian) và bất lực trước các dạng nhiễu đối kháng bất định trong thực tế.

Luận án đặt ra bốn câu hỏi nghiên cứu tương ứng với bốn giả thuyết kiểm định:

• RQ1 / H1: Việc loại bỏ ràng buộc bảo toàn trạng thái kích hoạt nơ-ron và thay thế bộ giải SMT bằng bộ giải phỏng đoán (heuristic solver) trong thực thi tượng trưng sẽ tăng đột phá tỉ lệ thành công và tốc độ sinh ảnh đối kháng trên mạng nơ-ron truyền thẳng (FFNN).
• RQ2 / H2: Tích hợp cơ chế mẫu thêm nhiễu (pattern mask) vào mạng ATN kết hợp thuật toán tham lam sẽ cho phép sinh mẫu đối kháng có định hướng đa dạng vị trí với khoảng cách $L_0, L_2$ tối ưu trên mạng tích chập (CNN).
• RQ3 / H3: Quy trình tối ưu hóa hai pha (Pha thô: Mạng mã hóa tự động $\rightarrow$ Pha tinh: Thuật toán tham lam) sẽ nâng cao chất lượng ảnh đối kháng với chi phí thời gian thấp hơn đáng kể so với thuật toán tham lam thuần túy.
• RQ4 / H4: Xây dựng mô hình mã hóa tự động tích chập xếp chồng (Stacked Convolutional Autoencoder) huấn luyện trên tập dữ liệu đa dạng các dạng phân phối nhiễu sẽ khôi phục chính xác nhãn dự đoán gốc mà không làm suy giảm độ chuẩn xác trên ảnh tự nhiên.

Phạm vi thực nghiệm của luận án bao quát 4 bộ dữ liệu quy chuẩn: MNIST (60,000 ảnh học, 10,000 ảnh kiểm thử, $28 \times 28 \times 1$), Fashion-MNIST (60,000 ảnh học, 10,000 ảnh kiểm thử, $28 \times 28 \times 1$), CIFAR-10 (60,000 ảnh màu RGB, $28 \times 28 \times 3$) và Bộ chữ cái viết tay A-Z (297,959 ảnh học, 74,489 ảnh kiểm thử, 26 nhãn, $28 \times 28 \times 1$).

Literature Review và Positioning

Không gian nghiên cứu về tính chắc chắn của mạng nơ-ron sâu hiện tồn tại hai trường phái chính: Chứng minh hình thức (Formal Verification) và Sinh mẫu đối kháng thực nghiệm (Empirical Adversarial Generation).

Trường phái chứng minh hình thức sử dụng các bộ giải SMT (Katz et al., 2017; Ehlers, 2017) hoặc kỹ thuật làm mịn / giải thích mức trừu tượng (Gehr et al., 2018; Singh et al., 2019). Mặc dù bảo đảm tính toàn vẹn toán học, các phương pháp này vấp phải sự bùng nổ tổ hợp khi số lượng nơ-ron và tầng ẩn gia tăng, khiến chúng không thể áp dụng cho các kiến trúc học sâu quy mô lớn.

Trường phái sinh mẫu đối kháng phát triển mạnh mẽ với các kỹ thuật gradient như FGSM (Goodfellow et al., 2014), BIM (Kurakin et al., 2016), MI-FGSM (Dong et al., 2018), PGD (Madry et al., 2018), hoặc tối ưu hóa hàm mục tiêu phi tuyến như L-BFGS (Szegedy et al., 2013) và CW (Carlini & Wagner, 2017). Tuy nhiên, các kỹ thuật này xử lý từng ảnh độc lập, đòi hỏi tính toán gradient phức tạp tại mỗi thời điểm suy luận và thiếu tính khái quát hóa (Generalizability). Nhằm khắc phục hạn chế này, Baluja & Fischer (2017) đề xuất mạng biến đổi đối kháng (ATN) để học trực tiếp hàm ánh xạ từ ảnh gốc sang ảnh đối kháng thông qua mạng sinh. Dẫu vậy, ATN mặc định gán nhiễu trên toàn bộ điểm ảnh, tạo ra lượng nhiễu dư thừa lớn và không cho phép kiểm soát vùng không gian tấn công cục bộ.

Ở hướng tiếp cận thực thi tượng trưng cho mạng nơ-ron, công trình DeepCheck (Gopinath et al., 2018) tiên phong chuyển đổi mạng sang mã nguồn C và dùng bộ giải SMT để tìm nghiệm thỏa mãn hệ ràng buộc kích hoạt. Luận án chỉ ra điểm nghẽn của DeepCheck: "Yêu cầu trạng thái kích hoạt nơ-ron của ảnh đối kháng phải giống ảnh dự đoán đúng sẽ làm giảm vùng không gian thêm nhiễu đối kháng vào ảnh dự đoán đúng để sinh ảnh đối kháng."

Về phương diện phòng thủ, các công trình tiền xử lý khử nhiễu tiêu biểu bao gồm MagNet (Meng & Chen, 2017), PuVAE (Schwinn et al., 2021) và Defense-VAE (Bae et al., 2020). Điểm yếu cốt tử của MagNet nằm ở việc xây dựng bộ khôi phục dựa trên phân phối nhiễu Gaussian giả định; khi đối mặt với các cấu trúc nhiễu phi Gaussian từ FGSM hay CW, hiệu quả phòng thủ sụt giảm nghiêm trọng. PuVAE và Defense-VAE sử dụng mạng biến phân có điều kiện nhưng chịu chi phí tính toán cao và chưa thích ứng toàn diện với các cuộc tấn công đa dạng.

Luận án định vị nghiên cứu tại giao điểm giữa Kỹ thuật phần mềm (Kiểm thử thực thi tượng trưng & Heuristic Search) và Học máy an toàn (Adversarial Machine Learning), thiết lập cầu nối từ việc phát hiện lỗ hổng đến kiến tạo cơ chế phòng thủ thực tế.

  (Nghẽn SMT,      (Thiếu đa dạng,                                  (Giả định phân       (Chi phí cao,
   cố định nơ-ron)  nhiễu dư thừa)                                  phối Gaussian)       thiếu tổng quát)

Đóng góp lý thuyết và khung phân tích

Đóng góp cho lý thuyết

Luận án mở rộng và định hình lại các lý thuyết nền tảng trong kiểm thử phần mềm dựa trên học máy (ML Testing Theory) và lý thuyết xáo trộn đối kháng (Adversarial Perturbation Theory):

1. Phá vỡ lý thuyết ràng buộc kích hoạt nơ-ron (Neuron Invariance Relaxation): Thách thức quan niệm truyền thống trong DeepCheck rằng việc bảo tồn cấu trúc kích hoạt của các hàm ReLU ($\text{ReLU}(x) = \max(0, x)$) là bắt buộc. Luận án chứng minh rằng việc cho phép trạng thái kích hoạt nơ-ron thay đổi giúp mở rộng không gian tìm kiếm nghiệm, cho phép sinh mẫu đối kháng ngay cả ở các trường hợp chỉ can thiệp vào một điểm ảnh duy nhất ($L_0 = 1$).
2. Hình thức hóa không gian nhiễu có cấu trúc (Structured Perturbation Space): Mở rộng mô hình sinh ATN bằng việc tích hợp ma trận mặt nạ không gian (Spatial Salience Masks), phân rã bài toán tối ưu hóa đối kháng thành hai thành phần độc lập: định vị vùng ảnh hưởng (Region-of-Interest Localization) và cực tiểu hóa biên độ biến đổi ($L_2$ Regularization).
3. Mô hình suy giảm nhiễu hai pha (Two-Phase Perturbation Pruning Theory): Đề xuất lý thuyết tối ưu hóa phân cấp trong không gian biểu diễn đối kháng, kết hợp khả năng xấp xỉ liên tục của mạng nơ-ron tích chập với tính đơn điệu của thuật toán tìm kiếm tham lam cục bộ.

Khung phân tích độc đáo

Khung phân tích của luận án tích hợp bốn cấu phần chặt chẽ:

• HA4FNN (Heuristic-based Attack for Feed-forward Neural Networks): Quy trình chuyển dịch mô hình nơ-ron $M$ thành chương trình C tương đương $p = \text{Translate}(M)$, chèn điểm đánh dấu thực thi, trích xuất vết thực thi $t_p = \text{Execute}(p, x)$, sinh hệ ràng buộc $c = c_{\text{hidden}} \wedge c_{\text{out}}$ với $c_{\text{out}} = \bigvee_{i \neq y_{\text{true}}} (n_{y_{\text{true}}}^{\text{pre}} < n_i^{\text{pre}})$, và giải bằng thuật giải heuristic gradient-free.
• PatternAttack: Mạng ATN khái quát hóa $G_\theta(x)$ tối ưu hóa hàm mục tiêu: $$\mathcal{L}{\text{ATN}} = \beta \cdot L_2(x, x') + \mathcal{L}{\text{adv}}(M(x'), y^*)$$ kết hợp ma trận nhị phân mẫu $\mathcal{M} \in {0, 1}^{W \times H}$ nhằm khống chế nhiễu đối kháng trong các vùng biên hoặc vùng nền cục bộ.
• QI4AE (Quality Improvement for Adversarial Examples): Cơ chế khử nhiễu dư thừa thông qua hàm ánh xạ $x'{\text{coarse}} = \mathcal{A}{\text{AE}}(x')$ và tinh chế $x'{\text{fine}} = \text{GreedyPruning}(x'{\text{coarse}}, \delta)$.
• SCADefender (Stacked Convolutional Autoencoder-based Defender): Mô hình phòng thủ $f_{\text{def}}: \mathbb{R}^{W \times H \times C} \rightarrow \mathbb{R}^{W \times H \times C}$ được huấn luyện trực tiếp trên không gian dữ liệu mở rộng $\mathcal{D}{\text{train}} \cup \mathcal{D}{\text{adv}}$, tối thiểu hóa hàm mất mát tái tạo: $$\mathcal{L}{\text{SCA}} = \frac{1}{|X|} \sum{x \in X} |x_{\text{clean}} - f_{\text{def}}(x_{\text{input}})|_2^2$$

                         KHUNG PHÂN TÍCH VÀ QUY TRÌNH KỸ THUẬT TỔNG THỂ
                                        
             [Ảnh đối kháng x']
             [Ảnh đối kháng tối ưu L0/L2]

Phương pháp nghiên cứu tiên tiến

Thiết kế nghiên cứu

Luận án áp dụng thế giới quan thực chứng (Positivism) kết hợp phương pháp luận Kỹ thuật phần mềm thực nghiệm (Empirical Software Engineering). Thiết kế nghiên cứu đa tầng (Multi-level Experimental Design) được triển khai:

• Mức độ vi mô (Unit level): Đánh giá độ nhạy của từng nơ-ron và tác động của từng điểm ảnh ($L_0 = 1, L_0 = 2$).
• Mức độ mô hình (Model level): Đánh giá trên các mạng nơ-ron truyền thẳng (FFNN) 3-5 tầng và các mạng tích chập LeNet-5, ConvNet trên 4 tập dữ liệu tiêu chuẩn.
• Mức độ hệ thống (System level): Tích hợp vào quy trình kiểm chuẩn chất lượng phần mềm công nghiệp.

Quy trình nghiên cứu rigorous

Quy trình thực nghiệm được chuẩn hóa nghiêm ngặt qua 4 bước:

1. Chuẩn bị và tiền xử lý dữ liệu: Chuẩn hóa không gian điểm ảnh về đoạn $[0, 1]$ hoặc $[0, 255]$. Tập dữ liệu huấn luyện và kiểm thử được cô lập hoàn toàn nhằm chống rò rỉ dữ liệu (Data Leakage).
2. Xây dựng mô hình cơ sở (Baseline Models): Huấn luyện các mô hình phân loại đạt độ chuẩn xác tiêu chuẩn công nghiệp (MNIST > 98%, Fashion-MNIST > 90%, CIFAR-10 > 75%, Chữ cái viết tay > 92%).
3. Thực thi tấn công đối kháng hộp trắng: Thiết lập môi trường tấn công tự động hóa, kiểm soát chặt chẽ các siêu tham số của FGSM ($\epsilon$), BIM ($\alpha, \epsilon$), CW ($c, \text{lr}$, số bước lặp), L-BFGS, ATN và DeepCheck.
4. Đo lường đa tiêu chí (Triangulation of Metrics):
   • Tỉ lệ thành công tấn công (Success Rate - SR): $$\text{SR}{\text{targeted}} = \frac{1}{|X{\text{adv}}|} \sum_{x' \in X_{\text{adv}}} [M(x') = y^*]$$ $$\text{SR}{\text{untargeted}} = \frac{1}{|X{\text{adv}}|} \sum_{x' \in X_{\text{adv}}} [M(x') \neq y_{\text{true}}]$$
   • Chất lượng ảnh đối kháng: Đo lường qua chuẩn khoảng cách Hamming ($L_0$), khoảng cách Euclidean ($L_2$), khoảng cách Chebyshev ($L_\infty$), chỉ số tương đồng cấu trúc SSIM (Wang et al., 2004) và tỉ lệ tín hiệu trên tạp âm cực đại PSNR.
   • Tỉ lệ giảm nhiễu (Noise Reduction Rate - NRR): $$\text{NRR} = \frac{a - b}{a}$$ với $a$ và $b$ lần lượt là khoảng cách $L_p$ trước và sau cải thiện.
   • Tỉ lệ phát hiện/phòng thủ thành công (Detection/Defense Rate - DR): $$\text{DR} = \frac{1}{|X_{\text{def}}|} \sum_{x \in X_{\text{def}}} [M(A(x)) = y_{\text{true}}]$$

Data và phân tích

Hệ thống công cụ thực nghiệm được xây dựng trên nền tảng ngôn ngữ Python/C, tích hợp TensorFlow, Keras, PyTorch cùng các thư viện phân tích cú pháp mã nguồn (Clang AST) và bộ giải SMT Z3 (de Moura & Bjørner, 2008).

                                      BẢNG THỐNG KÊ TẬP DỮ LIỆU THỰC NGHIỆM

Mọi thực nghiệm đều được lặp lại độc lập nhằm đảm bảo tính tái lập (Reproducibility), độ tin cậy được kiểm soát qua thống kê thời gian thực thi (Execution time tính bằng giây/mili-giây) và kích thước tập mẫu hàng chục nghìn ảnh.

Phát hiện đột phá và implications

Những phát hiện then chốt

Thực nghiệm chuyên sâu của luận án mang lại 4 phát hiện mang tính đột phá:

1. HA4FNN vượt trội toàn diện so với DeepCheck về hiệu năng và tỉ lệ tấn công: Trên các mô hình nơ-ron truyền thẳng kiểm thử với MNIST, Fashion-MNIST và Bộ chữ cái viết tay, HA4FNN đạt tỉ lệ tấn công thành công cao hơn rõ rệt trong khi giảm thời gian giải hệ ràng buộc từ hàng chục giây (khi dùng Z3 SMT Solver của DeepCheck) xuống mức mili-giây. Đặc biệt, HA4FNN chứng minh khả năng đánh lừa mô hình chỉ bằng cách biến đổi giá trị của đúng 1 điểm ảnh duy nhất ($L_0 = 1$) trên hàng loạt ảnh dự đoán đúng.
2. Khả năng kiểm soát vùng nhiễu linh hoạt của PatternAttack: Khác với ATN nguyên bản vốn rải nhiễu trên toàn bộ 784 điểm ảnh (ảnh $28 \times 28$), PatternAttack cho phép cưỡng bức nhiễu vào các mẫu bản đồ nổi bật (saliency maps) như đường biên đối tượng hoặc vùng nền tùy chọn, trong khi vẫn duy trì tỉ lệ tấn công có định hướng tiệm cận 100% trên MNIST và CIFAR-10.
3. Hiệu năng khử nhiễu tối ưu của quy trình QI4AE hai pha: Thuật toán tham lam đơn lẻ đòi hỏi duyệt qua từng điểm ảnh bị xáo trộn, gây chi phí tính toán cực lớn khi số điểm ảnh nhiễu tăng. QI4AE giải quyết triệt để vấn đề này: mô hình mã hóa tự động ở pha 1 giúp loại bỏ ngay lập tức phần lớn nhiễu thô ở cấp độ toàn cục, đưa ảnh vào trạng thái hội tụ gần trước khi thuật toán tham lam ở pha 2 thực hiện tinh chế cục bộ. Kết quả giúp giảm thời gian xử lý xuống nhiều lần mà vẫn duy trì tỉ lệ giảm nhiễu $L_0, L_2$ vượt trội.
4. Năng lực phòng thủ đa phân phối của SCADefender: Đối mặt với tập ảnh đối kháng hỗn hợp sinh ra từ nhiều phương pháp tấn công không định hướng khác nhau (FGSM, BIM, CW, DeepFool), SCADefender duy trì tỉ lệ phát hiện và khôi phục nhãn đúng cao vượt trội so với MagNet, PuVAE và Defense-VAE, trong khi không làm suy giảm độ chuẩn xác trên tập ảnh tự nhiên không có nhiễu.

Implications đa chiều

• Ý nghĩa lý thuyết: Chứng minh tính khả thi của việc kết hợp các kỹ thuật phân tích chương trình truyền thống (Program Analysis / Symbolic Execution) với các mô hình học máy hiện đại để giải quyết bài toán kiểm thử phần mềm phi đơn điệu.
• Đổi mới phương pháp luận: Thiết lập một pipeline khép kín từ kiểm thử lỗ hổng tự động (Adversarial Testing) đến phòng thủ chủ động (Denoising Defense), cung cấp khung đánh giá định lượng cho các hệ thống phần mềm nhúng trí tuệ nhân tạo.
• Ứng dụng thực tiễn: Công cụ đề xuất đã được chuyển giao, cài đặt thử nghiệm tại Công ty TNHH Giải pháp Phần mềm Toshiba Việt Nam (TSDV), hỗ trợ các kỹ sư phần mềm phát hiện sớm các lỗ hổng bảo mật và tính bất ổn định của mô hình AI trước khi đóng gói sản phẩm.

Limitations và Future Research

Luận án thẳng thắn thừa nhận các giới hạn kỹ thuật:

• Giới hạn về không gian dữ liệu và độ phân giải: Phạm vi thực nghiệm chủ yếu tập trung vào các tập dữ liệu kích thước nhỏ ($28 \times 28 \times 1$ và $28 \times 28 \times 3$). Khi mở rộng lên các tập dữ liệu độ phân giải cao như ImageNet ($224 \times 224 \times 3$ hoặc $512 \times 512 \times 3$), kích thước ma trận trọng số và không gian tìm kiếm tượng trưng sẽ gia tăng theo hàm số mũ.
• Kiến trúc mô hình: HA4FNN mới chỉ hỗ trợ mạng nơ-ron truyền thẳng (FFNN) do chi phí chuyển đổi mã nguồn và thực thi tượng trưng cho các tầng tích chập, tầng pooling phức tạp còn rất lớn.
• Giả định hộp trắng: Kỹ thuật tấn công chủ yếu khai thác tri thức toàn vẹn về cấu trúc và trọng số mô hình.

Chương trình nghiên cứu 5-10 năm tới bao gồm:

1. Mở rộng HA4FNN cho mạng tích chập phức tạp (ResNet, Vision Transformer) bằng cách trừu tượng hóa các phép toán tích chập và chuẩn hóa theo lô (Batch Normalization);
2. Phát triển biến thể PatternAttack và QI4AE trong môi trường kiểm thử hộp đen (Black-box Testing) dựa trên kỹ thuật ước lượng gradient không phụ thuộc mô hình (Zeroth-Order Optimization);
3. Ứng dụng SCADefender cho bài toán phát hiện đối kháng trong luồng dữ liệu thời gian thực trên các hệ thống biên (Edge AI) và xe tự lái.

Tác động và ảnh hưởng

                                  MA TRẬN TÁC ĐỘNG VÀ ẢNH HƯỞNG ĐA TẦNG

Đối tượng hưởng lợi

• Nghiên cứu sinh & Nhà khoa học máy tính: Tiếp cận phương pháp luận dung hợp giữa Kỹ thuật phần mềm hình thức và Trí tuệ nhân tạo, mở rộng các hướng nghiên cứu về tính bất định của mạng nơ-ron sâu.
• Kỹ sư Đảm bảo Chất lượng Phần mềm (QA/QC Engineers): Sở hữu bộ công cụ tự động hóa kiểm thử tính chắc chắn của mô hình học sâu với chi phí tính toán thấp, thay thế các phương thức kiểm thử hộp đen thủ công.
• Các doanh nghiệp phát triển hệ thống nhúng AI (Automotive, Healthcare, Fintech): Trang bị lớp phòng thủ tiền xử lý SCADefender giúp vô hiệu hóa các cuộc tấn công đối kháng mà không cần tái huấn luyện mô hình gốc tốn kém.
• Cơ quan quản lý và ban hành tiêu chuẩn an toàn thông tin: Có thêm căn cứ khoa học định lượng để thiết lập các ngưỡng an toàn cho phần mềm AI trong các hạ tầng thông tin trọng yếu.

Câu hỏi chuyên sâu

1. Đóng góp lý thuyết độc đáo nhất của luận án là gì? Đóng góp lý thuyết độc đáo nhất là việc chứng minh sự không cần thiết của ràng buộc bất biến kích hoạt nơ-ron (Neuron Invariance Relaxation) trong kiểm thử thực thi tượng trưng. Luận án đã mở rộng lý thuyết của Gopinath et al. (2018), chứng minh rằng việc phá vỡ ràng buộc này không làm mất đi tính đại diện của mẫu đối kháng mà ngược lại, giúp giải phóng không gian tìm kiếm nghiệm, cho phép thuật toán heuristic tìm ra các điểm lỗi chỉ với biến đổi 1 điểm ảnh duy nhất.

2. Điểm cách tân trong phương pháp luận so với các nghiên cứu quốc tế tiền nhiệm? So với DeepCheck (Gopinath et al., 2018) và ATN (Baluja & Fischer, 2017), luận án tạo ra hai đột phá phương pháp luận:

• Thứ nhất, thay thế bộ giải SMT tất định bằng bộ giải phỏng đoán (Heuristic Solver) định hướng mục tiêu trong phân tích vết thực thi mã nguồn C.
• Thứ hai, thiết lập quy trình khử nhiễu phân cấp hai pha (QI4AE), khắc phục triệt để sự đánh đổi giữa thời gian thực thi và chất lượng tối ưu hóa chuẩn $L_0, L_2$.

3. Phát hiện thực nghiệm nào gây bất ngờ nhất? Phát hiện gây bất ngờ nhất là mạng ATN khái quát hóa kết hợp mẫu mặt nạ (PatternAttack) có thể đạt tỉ lệ đánh lừa mô hình xấp xỉ 100% ngay cả khi chỉ được phép thêm nhiễu vào các vùng ảnh không mang đặc trưng nhận diện chính (như vùng biên góc hoặc vùng nền đồng nhất), chứng minh rằng mô hình học sâu phụ thuộc rất lớn vào các tương quan giả (spurious correlations) trong dữ liệu.

4. Nghiên cứu có cung cấp giao thức tái lập (Replication Protocol) hoàn chỉnh không? Có. Luận án mô tả chi tiết toàn bộ kiến trúc mạng (từ số tầng, số filter, hàm kích hoạt đến kích thước không gian ẩn), các siêu tham số huấn luyện (tốc độ học $\eta$, batch size, số epoch), công thức toán học tường minh cho từng hàm mục tiêu và quy trình tiền xử lý 4 bộ dữ liệu công khai (MNIST, Fashion-MNIST, CIFAR-10, A-Z Alphabet).

5. Lộ trình nghiên cứu phát triển trong 10 năm tới được phác thảo như thế nào? Lộ trình hướng tới việc tự động hóa hoàn toàn quy trình xác minh an toàn cho các mô hình học sâu thế hệ mới (Large Vision Models, Diffusion Models), phát triển các bộ giải tượng trưng song song hóa trên phần cứng chuyên dụng (GPU/TPU) và tích hợp cơ chế phòng thủ thích ứng tự trị trực tiếp vào phần cứng chip AI (Hardware-level Robustness Defense).

Kết luận

Luận án tiến sĩ của tác giả Nguyễn Đức Anh đã giải quyết trọn vẹn và xuất sắc bài toán đảm bảo tính chắc chắn cho các mô hình học sâu thông qua 5 đóng góp cốt lõi:

1. Đề xuất phương pháp HA4FNN sử dụng bộ giải phỏng đoán trên mã nguồn C sinh từ mô hình nơ-ron truyền thẳng, vượt trội hoàn toàn so với DeepCheck về hiệu năng và tỉ lệ thành công.
2. Phát triển phương pháp PatternAttack nâng cao tính đa dạng của ảnh đối kháng trên mạng tích chập bằng cách kết hợp mạng ATN khái quát với các mẫu mặt nạ thêm nhiễu cục bộ.
3. Kiến tạo giải pháp QI4AE tối ưu hóa chất lượng ảnh đối kháng theo chuẩn $L_0, L_2$ thông qua cơ chế hai pha (Mạng mã hóa tự động $\rightarrow$ Thuật toán tham lam).
4. Xây dựng cơ chế phòng thủ chủ động SCADefender dựa trên mạng mã hóa tự động tích chập xếp chồng, có khả năng lọc bỏ hiệu quả các phân phối nhiễu đối kháng bất định.
5. Hiện thực hóa các đề xuất thành các công cụ phần mềm hoàn chỉnh, được kiểm chứng thực nghiệm trên 4 bộ dữ liệu quy chuẩn và ứng dụng thành công tại môi trường công nghiệp (TSDV).

Công trình đánh dấu bước tiến quan trọng trong việc đưa các kỹ thuật đảm bảo chất lượng phần mềm truyền thống vào kỷ nguyên trí tuệ nhân tạo, thiết lập nền tảng vững chắc cho việc xây dựng các hệ thống học sâu an toàn, tin cậy và có khả năng chống chịu cao trong tương lai.

Trích đoạn nội dung tài liệu

Đặt vấn đề Sự ra đời của học sâu được coi là một cuộc cách mạng trong thế kỉ 21 [31]. Tư tưởng cho sự ra đời học sâu là mô phỏng quá trình học của não người từ dữ liệu. Kết quả mô phỏng này được biểu diễn bởi mạng học sâu. Mạng học sâu có nhiều tầng gồm tầng đầu vào, các tầng ẩn và tầng đầu ra [2, 31, 81, 114].

Nhiều mạng học sâu đã được đề xuất như mạng nơ-ron truyền thẳng, mạng tích chập, v. Mô hình học sâu là kết quả khi học mạng học sâu từ bộ dữ liệu. Nhiều nghiên cứu đã cho thấy học sâu đạt được kết quả tương đương hoặc tốt hơn con người trong nhiều bài toán như phân loại ảnh [1], nhận dạng đối tượng [60], nhận dạng khuôn mặt [101], xử lý ngôn ngữ tự nhiên [72], xe tự lái [64, 70], phát hiện mã độc [98, 111] và chăm sóc sức khỏe [58, 116], v. Đối tượng nghiên cứu của luận án là các mô hình học sâu phân loại ảnh.

Với đầu vào là tập học gồm các ảnh và nhãn tương ứng, lập trình viên sẽ định nghĩa kiến trúc mô hình học sâu cần học, rồi chọn các siêu tham số phù hợp như tốc độ học, số lần lặp, v. để xây dựng mô hình. Để đánh giá chất lượng mô hình học sâu, các độ đo được sử dụng phổ biến gồm độ chính xác, độ chuẩn xác và điểm số F1 [67]. Tuy nhiên, dù mô hình học sâu phân loại ảnh đạt được kết quả tốt với các độ đo nêu trên, mô hình học sâu vẫn có thể có tính chắc chắn chưa đủ tốt [5, 13, 32, 78, 90, 100].

Tính chắc chắn của mô hình học sâu là khả năng mô hình nhận diện được chính xác nhãn của ảnh đầu vào khi ảnh này được 1 thêm nhiễu đối kháng. Khái niệm nhiễu đối kháng và tính chắc chắn lần lượt được mô tả ở Định nghĩa 1 và Định nghĩa 2. Quá trình kẻ tấn công cố tình thêm nhiễu đối kháng vào ảnh đã dự đoán đúng để đánh lừa mô hình gọi là tấn công đối kháng. Ảnh trước khi thêm nhiễu đối kháng và được dự đoán đúng bởi mô hình học sâu gọi là ảnh dự đoán đúng.

Ảnh sau khi thêm nhiễu đối kháng gọi là ảnh đối kháng. Trong đó, nhiễu đối kháng được tính dựa trên những điểm ảnh khác nhau giữa ảnh dự đoán đúng và ảnh đối kháng. [Nhiễu đối kháng] Cho ảnh dự đoán đúng x và mô hình kiểm thử M, véc tơ nhiễu ζ = [ζ0, ζ1,. Để đánh giá được tính chắc chắn của mô hình học sâu, có hai hướng nghiên cứu chính gồm chứng minh tính chắc chắn của mô hình học sâu và sinh ảnh đối kháng.

Đối với hướng chứng minh tính chắc chắn, ba hướng nghiên cứu con sử dụng phổ biến gồm sử dụng bộ giải SMT-Solver [23, 45], sử dụng kĩ thuật làm mịn mức trừu tượng [24, 102, 103] và kĩ thuật giải thích mức trừu tượng [29, 85, 86]. Nhược điểm ba hướng này là không hỗ trợ tốt cho mô hình học sâu phức tạp [115]. Đối với hướng sinh ảnh đối kháng, các phương pháp theo hướng này sinh các ảnh đối kháng và coi đó là bằng chứng thể hiện tính chắc chắn của mô hình học sâu. Ưu điểm của hướng này là dễ dàng áp dụng cho các mô hình học sâu phức tạp nên được sử dụng phổ biến.

Các nghiên cứu tiêu biểu theo hướng này có thể kể đến CW [13], ATN [5], L-BFGS [92], DeepFool [68], BIS [78], MI-FGSM [21], PGD [62], v. Theo hướng sinh ảnh đối kháng, hai tiêu chí phổ biến để đánh giá chất lượng phương pháp tấn công đối kháng gồm chất lượng ảnh đối kháng và tỉ lệ thành công [54]. Công thức đánh giá chất lượng ảnh đối kháng có hai đầu vào chính gồm ảnh dự đoán đúng và ảnh đối kháng tương ứng. Các công thức phổ biến là sử dụng độ đo khoảng cách Lp, độ đo cấu trúc như SSIM [105] và các độ đo khác như PSNR [41].

Đối với tỉ lệ thành công, tiêu chí này thể hiện tỉ lệ ảnh dự đoán đúng được thêm nhiễu đối kháng thành công để sinh ảnh đối kháng. Nếu tỉ lệ thành công là 100% thì tất cả ảnh dự đoán đúng đều được thêm nhiễu đối 2 kháng thành công để mô hình kiểm thử nhận diện sai. Một trong những mục tiêu chính của các phương pháp tấn công đối kháng theo hướng này là sinh ảnh đối kháng với tỉ lệ thành công cao nhất có thể. Hai hướng chính để sinh ảnh đối kháng là kiểm thử hộp đen và kiểm thử hộp trắng [9, 114].

Trong kiểm thử hộp đen, kiểm thử viên giả định rằng họ không biết được kiến trúc và trọng số của mô hình kiểm thử. Kẻ tấn công chỉ có thể truy vấn mô hình kiểm thử thông qua API để lấy kết quả trả về. Kết quả trả về có thể là nhãn dự đoán hoặc véc tơ xác suất của từng nhãn. Trong kiểm thử hộp trắng, kiểm thử viên có thể truy cập kiến trúc và trọng số của mô hình kiểm thử.

Chi phí của kiểm thử hộp trắng thường cao hơn hộp đen do thường phải tính toán đạo hàm hàm mục tiêu của mô hình kiểm thử. Do kiểm thử viên biết được kiến trúc mô hình nên tỉ lệ thành công của kiểm thử hộp trắng thường cao hơn so với kiểm thử hộp đen. Trong hướng kiểm thử hộp trắng, tấn công đối kháng có hai hướng chính gồm tấn công đối kháng có định hướng và tấn công đối kháng không định hướng [1]. Điểm chung của hai hướng này là thực hiện thêm nhiễu đối kháng vào ảnh dự đoán đúng để sinh ảnh đối kháng có nhãn khác nhãn của ảnh dự đoán đúng.

Điểm khác biệt chính giữa hai hướng này là nhãn của ảnh đối kháng. Trong tấn công đối kháng có định hướng, nhãn của ảnh đối kháng cần giống nhãn đích, trong đó nhãn đích được định nghĩa trước khi tấn công. Ví dụ, xét ảnh số chín trong bộ dữ liệu MNIST [56], mô hình kiểm thử nhận diện chính xác nhãn của ảnh này. Kiểm thử viên chọn một nhãn bất kì khác nhãn số chín trong tập nhãn này, ví dụ nhãn số một.

Sau đó, tấn công đối kháng có định hướng sẽ tìm cách thêm nhiễu đối kháng vào ảnh dự đoán đúng để sinh một ảnh đối kháng. Trong đó, mô hình kiểm thử nhận diện ảnh đối kháng này có nhãn số một. Trong tấn công đối kháng không định hướng, nhãn của ảnh đối kháng có thể là bất kì nhãn nào ngoại trừ nhãn của ảnh dự đoán đúng. Hướng tấn công đối kháng không định hướng cho mô hình nơ-ron truyền thẳng sử dụng thực thi tượng trưng được đề xuất lần đầu tiên trong DeepCheck [33].

Tuy nhiên, thực nghiệm cho thấy phương pháp này có tỉ lệ thành công và hiệu năng chưa đủ tốt. Tư tưởng chính của DeepCheck là biến đổi mô hình nơ-ron truyền thẳng thành mã nguồn C. Sau đó, ảnh dự đoán đúng được chuyển thành đầu vào để thực thi trên mã nguồn này. Kết quả thực thi ảnh dự đoán đúng này 3 là một đường thi hành.

Kế tiếp, kĩ thuật thực thi tượng trưng được áp dụng trên đường thi hành này để sinh hệ ràng buộc và sử dụng bộ giải SMT để giải hệ ràng buộc. Nghiệm của hệ ràng buộc tương ứng với ảnh đối kháng và phải có cùng trạng thái kích hoạt nơ-ron với ảnh dự đoán đúng. Nguyên nhân của tỉ lệ thành công và hiệu năng thấp là do DeepCheck sử dụng bộ giải SMT và yêu cầu trạng thái kích hoạt nơ-ron của ảnh đối kháng phải giống ảnh dự đoán đúng. Đối với hệ ràng buộc phức tạp, bộ giải SMT có thể tốn chi phí tính toán khá lớn để tìm nghiệm.

Yêu cầu trạng thái kích hoạt nơ-ron của ảnh đối kháng phải giống ảnh dự đoán đúng sẽ làm giảm vùng không gian thêm nhiễu đối kháng vào ảnh dự đoán đúng để sinh ảnh đối kháng. Trong thực tế, một ảnh dự đoán đúng có nhiều cách thêm nhiễu đối kháng để đạt được mục đích tấn công, mà ảnh đối kháng tương ứng có thể không cùng trạng thái kích hoạt nơ-ron với ảnh dự đoán đúng. Trong hướng tấn công đối kháng có định hướng cho mô hình học sâu, nhiều phương pháp đã đề xuất thiếu tính khái quát hóa. Tính khái quát hóa là khả năng một phương pháp có thể học được cách thêm nhiễu đối kháng vào ảnh dự đoán đúng để sinh ảnh đối kháng và áp dụng tri thức này để thêm nhiễu đối kháng vào ảnh đầu vào mới trong tương lai [5].

Các phương pháp tiêu biểu thiếu tính khái quát hóa có thể kể đến FGSM [32], CW [13], BIM [78], L-BFGS [92], DeepFool [68], MI-FGSM [21], DeepExplore [74], v. Cụ thể, các phương pháp này sẽ thêm nhiễu đối kháng vào ảnh dự đoán đúng một cách độc lập để sinh ảnh đối kháng. Để giải quyết vấn đề thiếu tính khái quát hóa của các phương pháp này, ATN [5] đã được đề xuất để thêm nhiễu đối kháng vào ảnh dự đoán đúng theo độ đo khoảng cách L2. Tư tưởng của ATN là xây dựng mô hình mã hóa tự động để chuyển ảnh dự đoán đúng thành ảnh đối kháng.

Sau khi xây dựng xong mô hình mã hóa tự động, ATN có thể thêm nhiễu đối kháng vào ảnh dự đoán đúng để sinh ảnh đối kháng với chi phí thấp. Tuy nhiên, ảnh đối kháng sinh bởi ATN gặp hai vấn đề gồm chất lượng ảnh đối kháng và tính đa dạng của ảnh đối kháng. Đối với vấn đề chất lượng, ảnh đối kháng sinh bởi ATN thường có nhiều nhiễu dư thừa. Nếu loại bỏ những nhiễu này khỏi ảnh đối kháng, chất lượng ảnh đối kháng theo độ đo L2 tăng lên.

Đối với vấn đề tính đa dạng của ảnh đối kháng, ATN thường thêm nhiễu đối kháng vào mọi điểm ảnh. Nếu kiểm thử viên muốn đánh giá tính chắc chắn bằng cách thêm nhiễu vào các điểm ảnh thuộc vùng biên đối tượng hoặc vùng nền thì ATN không hỗ trợ. 4 Sau khi đã hiểu được bản chất của các phương pháp tấn công đối kháng, nhiệm vụ kế tiếp là chống lại các cuộc tấn công như vậy. Đây là bài toán cải thiện tính chắc chắn.

Các hướng cải thiện tính chắc chắn phổ biến gồm (i) xây dựng lại mô hình kiểm thử [32, 53, 62, 77], (ii) xây dựng một mô hình phân lớp để nhận diện ảnh dự đoán đúng và ảnh đối kháng [38, 66, 104] và (iii) loại bỏ nhiễu đối kháng khỏi ảnh đầu vào [42, 57, 66, 109]. Trong cách tiếp cận (iii), ảnh đầu vào được đi qua một mô hình loại bỏ nhiễu đối kháng, ví dụ như mô hình mã hóa tự động. Ảnh sau khi loại bỏ nhiễu đối kháng sẽ được đẩy vào mô hình kiểm thử để lấy kết quả.