Các Phương Pháp Đảm Bảo Tính Chắc Chắn Cho Một Số Mô Hình Học Sâu

Luận án tiến sĩ về các phương pháp đảm bảo tính chắc chắn cho mô hình học sâu. Nghiên cứu tấn công đối kháng, phòng thủ và cải thiện độ tin cậy của mô hình.

• Tác giả: Nguyễn Đức Anh
• Người hướng dẫn: Pgs. Phạm Ngọc Hùng
• Trường học: Trường Đại học Công Nghệ
• Chuyên ngành: Kỹ Thuật Phần Mềm
• Đề tài: Các Phương Pháp Đảm Bảo Tính Chắc Chắn Cho Một Số Mô Hình Học Sâu
• Loại tài liệu: Luận Án Tiến Sĩ
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• TÓM TẮT
• 1. CHƯƠNG 1: GIỚI THIỆU
• 1.1. Mục tiêu và phạm vi nghiên cứu
• 1.2. Các đóng góp chính của luận án và mối quan hệ
• 1.3. Cây nghiên cứu
• 1.4. Bố cục các chương trong luận án
• 1.5. Kiến thức nền tảng
• 1.5.1. Mạng học sâu cho bài toán phân loại ảnh
• 1.5.2. Mạng học sâu
• 1.5.3. Mạng nơ-ron truyền thẳng
• 1.5.4. Mạng tích chập
• 1.5.5. Xây dựng mô hình học sâu cho bài toán phân loại ảnh
• 1.5.6. Mạng mã hóa tự động
• 1.5.6.1. Mạng mã hóa tự động thưa
• 1.5.6.2. Mạng mã hóa tự động xếp chồng
• 1.5.6.3. Mạng mã hóa tự động tích chập xếp chồng
• 1.5.7. Tấn công đối kháng
• 1.5.7.1. Hai loại tấn công đối kháng phổ biến
• 1.5.8. Tính chắc chắn
• 1.5.9. Phân loại ảnh. Tính chất nhiễu
• 1.5.10. Đánh giá tính chắc chắn của mô hình học sâu
• 1.5.11. Các phương pháp tấn công đối kháng không định hướng
• 1.5.12. Các phương pháp tấn công đối kháng có định hướng
• 1.5.13. Các phương pháp phòng thủ sử dụng mô hình mã hóa tự động
• 1.5.13.1. Phương pháp PuVAE
• 1.5.13.2. Phương pháp MagNet
• 1.5.13.3. Phương pháp Defense-VAE
• 1.5.14. Tỉ lệ phát hiện để đánh giá chất lượng mô hình mã hóa tự động phòng thủ
• 1.5.15. Các bộ dữ liệu sử dụng trong thực nghiệm
• 1.5.16. Bộ giải SMT
• 1.6. Tóm tắt chương

Tóm tắt

I. Tổng Quan Các Phương Pháp Đảm Bảo Tính Chắc Chắn 55 ký tự

Mạng học sâu đã tạo ra một cuộc cách mạng trong thế kỷ 21, đặc biệt trong bài toán phân loại ảnh. Các mô hình học sâu, được xây dựng từ mạng học sâu và dữ liệu, ngày càng được ứng dụng rộng rãi. Tuy nhiên, để đảm bảo chất lượng của mô hình, nhiều độ đo đã được đề xuất như độ chuẩn xác, độ chính xác và điểm số F1. Dù vậy, các nghiên cứu gần đây cho thấy các mô hình này dễ bị tấn công bởi adversarial attacks, đặt ra thách thức lớn về tính chắc chắn của chúng. Tính chắc chắn được định nghĩa là khả năng mô hình nhận diện chính xác nhãn của ảnh, ngay cả khi ảnh đó bị thêm nhiễu đối nghịch.

1.1. Ảnh Hưởng của Adversarial Attacks Đến Độ Tin Cậy

Một trong những thách thức lớn nhất đối với mô hình học sâu là sự dễ bị tổn thương trước tấn công đối nghịch (adversarial attacks). Kẻ tấn công có thể thêm nhiễu đối nghịch vào ảnh dự đoán đúng, khiến mô hình nhận diện sai. Điều này làm suy giảm đáng kể độ tin cậy của mô hình trong các ứng dụng thực tế. Do đó, việc nghiên cứu và phát triển các phương pháp phòng thủ trước tấn công đối nghịch là vô cùng quan trọng. Cải thiện tính chắc chắn được coi là một trong những giải pháp để nâng cao chất lượng mô hình học sâu. Luận án này tập trung vào việc giải quyết các vấn đề liên quan đến adversarial attacks và các phương pháp cải thiện tính chắc chắn.

1.2. Tính Chắc Chắn Trong Học Sâu Định Nghĩa và Tầm Quan Trọng

Tính chắc chắn của mô hình học sâu là khả năng mô hình nhận diện chính xác nhãn của ảnh đầu vào khi ảnh này được thêm nhiễu đối nghịch. Hiểu một cách đơn giản, một mô hình có tính chắc chắn cao sẽ ít bị đánh lừa bởi các adversarial attacks. Việc đảm bảo tính chắc chắn là yếu tố quan trọng để triển khai mô hình học sâu trong các ứng dụng quan trọng như xe tự lái, y tế và an ninh. Luận án này nghiên cứu sâu về các phương pháp đánh giá và cải thiện tính chắc chắn của mô hình học sâu, từ đó góp phần nâng cao độ tin cậy của các hệ thống AI.

II. Thách Thức Vấn Đề Robustness và Độ Tin Cậy Mô Hình 58 ký tự

Mặc dù mô hình học sâu đạt được độ chính xác cao trên các tập dữ liệu chuẩn, chúng lại dễ bị ảnh hưởng bởi các thay đổi nhỏ trong dữ liệu đầu vào. Điều này dẫn đến vấn đề về robustness (tính mạnh mẽ) và độ tin cậy. Các mô hình này thường hoạt động kém hiệu quả khi đối mặt với dữ liệu thực tế, nơi có nhiều nhiễu và biến động. Nghiên cứu về tính robustness và độ tin cậy của mô hình học sâu là rất quan trọng để đảm bảo chúng có thể được triển khai một cách an toàn và hiệu quả trong các ứng dụng thực tế.

2.1. Đánh Giá Robustness Phương Pháp Kiểm Tra và Đo Lường

Việc đánh giá robustness của mô hình học sâu là một thách thức lớn. Các phương pháp đánh giá truyền thống như kiểm tra trên tập dữ liệu kiểm tra (test set) thường không đủ để phát hiện các điểm yếu của mô hình. Cần có các phương pháp kiểm tra đặc biệt, chẳng hạn như adversarial testing, để đánh giá khả năng của mô hình chống lại các tấn công đối nghịch. Các độ đo như tỉ lệ thay đổi kết quả dự đoán khi có nhiễu cũng được sử dụng để định lượng robustness. Việc lựa chọn phương pháp đánh giá phù hợp phụ thuộc vào ứng dụng cụ thể và loại tấn công đối nghịch mà mô hình có thể phải đối mặt.

2.2. Độ Tin Cậy Trong Môi Trường Thay Đổi Vấn Đề Tính Ổn Định

Độ tin cậy của mô hình học sâu không chỉ liên quan đến khả năng hoạt động chính xác trên dữ liệu hiện tại, mà còn liên quan đến tính ổn định của mô hình trong môi trường thay đổi. Khi dữ liệu huấn luyện không còn đại diện cho dữ liệu thực tế, mô hình có thể mất đi độ tin cậy. Các phương pháp như transfer learning và domain adaptation được sử dụng để cải thiện tính ổn định của mô hình trong các tình huống này. Ngoài ra, việc giám sát hiệu suất của mô hình trong quá trình hoạt động và tái huấn luyện khi cần thiết cũng là rất quan trọng.

2.3. Giải Quyết Vấn Đề Mô Hình Học Sâu Dễ Bị Tấn Công

Một trong những vấn đề lớn nhất của mô hình học sâu là chúng rất dễ bị tấn công. Tấn công đối nghịch có thể dễ dàng lừa các mô hình học sâu phân loại sai bằng cách thay đổi dữ liệu đầu vào một cách rất nhỏ, không đáng kể. Điều này đặc biệt đáng lo ngại trong các ứng dụng như xe tự lái hoặc hệ thống nhận diện khuôn mặt, nơi mà một lỗi nhỏ có thể gây ra hậu quả nghiêm trọng. Vì vậy việc nghiên cứu các phương pháp làm cho mô hình học sâu đáng tin cậy hơn trước các cuộc tấn công đối nghịch là một lĩnh vực quan trọng và đang phát triển nhanh chóng.

III. Phương Pháp Cải Thiện Tính Chắc Chắn Bằng Adversarial Training 59 ký tự

Adversarial training là một trong những phương pháp hiệu quả nhất để cải thiện tính chắc chắn của mô hình học sâu. Trong quá trình huấn luyện, mô hình không chỉ được tiếp xúc với dữ liệu gốc mà còn với các ảnh đối nghịch được tạo ra một cách cố ý để đánh lừa mô hình. Bằng cách này, mô hình học cách chống lại các tấn công đối nghịch và trở nên robust hơn. Adversarial training đã được chứng minh là có hiệu quả trong nhiều bài toán khác nhau, từ phân loại ảnh đến xử lý ngôn ngữ tự nhiên.

3.1. Lợi Ích của Adversarial Training và Các Biến Thể

Adversarial training giúp mô hình học cách nhận diện các đặc trưng quan trọng trong dữ liệu và bỏ qua các nhiễu không liên quan. Điều này dẫn đến việc cải thiện không chỉ tính chắc chắn mà còn cả độ tin cậy và khả năng tổng quát hóa của mô hình. Có nhiều biến thể của adversarial training, chẳng hạn như sử dụng các phương pháp tạo ảnh đối nghịch khác nhau hoặc điều chỉnh cường độ của nhiễu đối nghịch. Việc lựa chọn biến thể phù hợp phụ thuộc vào ứng dụng cụ thể và loại tấn công đối nghịch mà mô hình có thể phải đối mặt.

3.2. Hạn Chế Của Adversarial Training và Giải Pháp

Mặc dù hiệu quả, adversarial training cũng có một số hạn chế. Một trong số đó là chi phí tính toán cao, do phải tạo và huấn luyện với ảnh đối nghịch. Ngoài ra, adversarial training có thể làm giảm độ chính xác của mô hình trên dữ liệu sạch. Để giải quyết những hạn chế này, các nhà nghiên cứu đã đề xuất nhiều giải pháp, chẳng hạn như sử dụng các phương pháp tạo ảnh đối nghịch hiệu quả hơn hoặc kết hợp adversarial training với các kỹ thuật chính quy hóa khác.

IV. Uncertainty Estimation Bí Quyết Nâng Cao Độ Tin Cậy Mô Hình 59 ký tự

Uncertainty estimation (ước lượng độ bất định) là một kỹ thuật quan trọng để nâng cao độ tin cậy của mô hình học sâu. Kỹ thuật này cho phép mô hình dự đoán không chỉ kết quả mà còn cả mức độ chắc chắn của dự đoán đó. Khi mô hình không chắc chắn về dự đoán của mình, nó có thể đưa ra cảnh báo hoặc từ chối đưa ra quyết định. Điều này đặc biệt quan trọng trong các ứng dụng mà sai sót có thể gây ra hậu quả nghiêm trọng.

4.1. Các Phương Pháp Uncertainty Estimation Phổ Biến

Có nhiều phương pháp uncertainty estimation khác nhau, bao gồm Bayesian deep learning, Monte Carlo dropout và ensemble methods. Bayesian deep learning sử dụng phân phối xác suất để mô tả các tham số của mô hình, cho phép ước lượng độ bất định một cách tự nhiên. Monte Carlo dropout sử dụng dropout trong quá trình dự đoán để tạo ra nhiều dự đoán khác nhau, từ đó ước lượng độ bất định. Ensemble methods sử dụng nhiều mô hình khác nhau và kết hợp dự đoán của chúng để ước lượng độ bất định.

4.2. Ứng Dụng Của Uncertainty Estimation Trong Thực Tế

Uncertainty estimation có nhiều ứng dụng trong thực tế. Trong xe tự lái, nó có thể được sử dụng để cảnh báo khi mô hình không chắc chắn về việc nhận diện đối tượng hoặc tình huống giao thông. Trong y tế, nó có thể được sử dụng để đánh giá độ tin cậy của kết quả chẩn đoán và đưa ra cảnh báo khi cần thiết. Trong tài chính, nó có thể được sử dụng để đánh giá rủi ro và đưa ra quyết định đầu tư sáng suốt hơn.

4.3. Cải Thiện Tính Giải Thích Mô Hình Học Sâu với XAI

Tính giải thích mô hình học sâu là yếu tố quan trọng để xây dựng niềm tin vào mô hình. Explainable AI (XAI) giúp chúng ta hiểu rõ hơn về cách mô hình đưa ra quyết định. Các phương pháp như SHAP và LIME cho phép xác định những yếu tố quan trọng nhất ảnh hưởng đến dự đoán của mô hình, từ đó tăng cường độ tin cậy và tính minh bạch.

V. Formal Verification Cách Đảm Bảo Tính Chắc Chắn Tuyệt Đối 57 ký tự

Formal verification là một kỹ thuật sử dụng logic toán học để chứng minh tính đúng đắn của mô hình học sâu. Kỹ thuật này có thể đảm bảo tính chắc chắn của mô hình một cách tuyệt đối trong một phạm vi hoạt động nhất định. Mặc dù phức tạp và tốn kém, formal verification là lựa chọn phù hợp cho các ứng dụng yêu cầu độ tin cậy cao nhất.

5.1. Nguyên Lý Hoạt Động Của Formal Verification

Formal verification hoạt động bằng cách chuyển đổi mô hình học sâu thành một hệ thống ràng buộc toán học. Sau đó, một bộ giải (solver) được sử dụng để chứng minh rằng hệ thống ràng buộc này đáp ứng các yêu cầu về tính chắc chắn. Nếu bộ giải tìm thấy một vi phạm, điều đó có nghĩa là mô hình có thể bị tấn công và cần được sửa chữa.

5.2. Ưu Nhược Điểm Của Formal Verification

Formal verification có ưu điểm là đảm bảo tính chắc chắn tuyệt đối. Tuy nhiên, nó cũng có một số nhược điểm. Quá trình chuyển đổi mô hình thành hệ thống ràng buộc có thể rất phức tạp và tốn thời gian. Ngoài ra, formal verification thường chỉ áp dụng được cho các mô hình nhỏ và đơn giản.

5.3. Certified Robustness Chứng Nhận Độ Chắc Chắn

Certified robustness là một khái niệm quan trọng trong lĩnh vực formal verification. Nó cung cấp một chứng nhận toán học về tính robustness của mô hình trong một phạm vi nhất định. Điều này có nghĩa là chúng ta có thể chắc chắn rằng mô hình sẽ không bị đánh lừa bởi bất kỳ tấn công đối nghịch nào trong phạm vi đó. Tuy nhiên, việc đạt được certified robustness thường đòi hỏi các kỹ thuật phức tạp và chi phí tính toán cao.

VI. Ứng Dụng và Tương Lai Của Tính Chắc Chắn Học Sâu 59 ký tự

Các phương pháp đảm bảo tính chắc chắn cho mô hình học sâu đang ngày càng được ứng dụng rộng rãi trong nhiều lĩnh vực. Từ xe tự lái đến y tế và an ninh, việc đảm bảo độ tin cậy của mô hình là yếu tố then chốt để triển khai thành công các hệ thống AI. Trong tương lai, chúng ta có thể kỳ vọng vào sự phát triển của các kỹ thuật mới, hiệu quả hơn và dễ áp dụng hơn, giúp nâng cao tính chắc chắn của mô hình học sâu lên một tầm cao mới.

6.1. Các Biện Pháp Đảm Bảo An Toàn Cho Mô Hình Học Sâu

Để đảm bảo an toàn cho các mô hình học sâu, chúng ta cần kết hợp nhiều biện pháp khác nhau, bao gồm adversarial training, uncertainty estimation, formal verification và các kỹ thuật phòng thủ khác. Ngoài ra, việc giám sát hiệu suất của mô hình trong quá trình hoạt động và cập nhật thường xuyên cũng là rất quan trọng. Các biện pháp đảm bảo an toàn cần được điều chỉnh phù hợp với ứng dụng cụ thể và loại tấn công đối nghịch mà mô hình có thể phải đối mặt.

6.2. Hướng Nghiên Cứu Về Độ Tin Cậy Của Mô Hình Học Sâu

Nghiên cứu về độ tin cậy của mô hình học sâu là một lĩnh vực đang phát triển nhanh chóng. Các hướng nghiên cứu hiện tại bao gồm phát triển các phương pháp adversarial training hiệu quả hơn, khám phá các kỹ thuật uncertainty estimation mới, và mở rộng phạm vi áp dụng của formal verification. Ngoài ra, việc nghiên cứu các phương pháp giải thích kết quả của mô hình (XAI) cũng được coi là một hướng đi đầy hứa hẹn.

6.3. Ứng Dụng Thực Tế Xe Tự Lái và An Ninh Mạng

Trong lĩnh vực xe tự lái, tính chắc chắn của mô hình học sâu là yếu tố sống còn. Mô hình cần có khả năng nhận diện chính xác các đối tượng và tình huống giao thông, ngay cả khi có nhiễu hoặc tấn công đối nghịch. Trong an ninh mạng, mô hình học sâu được sử dụng để phát hiện các cuộc tấn công và phần mềm độc hại. Việc đảm bảo tính chắc chắn của mô hình là rất quan trọng để ngăn chặn các cuộc tấn công thành công.

Trích đoạn nội dung tài liệu

Đặt vấn đề Sự ra đời của học sâu được coi là một cuộc cách mạng trong thế kỉ 21 [31]. Tư tưởng cho sự ra đời học sâu là mô phỏng quá trình học của não người từ dữ liệu. Kết quả mô phỏng này được biểu diễn bởi mạng học sâu. Mạng học sâu có nhiều tầng gồm tầng đầu vào, các tầng ẩn và tầng đầu ra [2, 31, 81, 114].

Nhiều mạng học sâu đã được đề xuất như mạng nơ-ron truyền thẳng, mạng tích chập, v. Mô hình học sâu là kết quả khi học mạng học sâu từ bộ dữ liệu. Nhiều nghiên cứu đã cho thấy học sâu đạt được kết quả tương đương hoặc tốt hơn con người trong nhiều bài toán như phân loại ảnh [1], nhận dạng đối tượng [60], nhận dạng khuôn mặt [101], xử lý ngôn ngữ tự nhiên [72], xe tự lái [64, 70], phát hiện mã độc [98, 111] và chăm sóc sức khỏe [58, 116], v. Đối tượng nghiên cứu của luận án là các mô hình học sâu phân loại ảnh.

Với đầu vào là tập học gồm các ảnh và nhãn tương ứng, lập trình viên sẽ định nghĩa kiến trúc mô hình học sâu cần học, rồi chọn các siêu tham số phù hợp như tốc độ học, số lần lặp, v. để xây dựng mô hình. Để đánh giá chất lượng mô hình học sâu, các độ đo được sử dụng phổ biến gồm độ chính xác, độ chuẩn xác và điểm số F1 [67]. Tuy nhiên, dù mô hình học sâu phân loại ảnh đạt được kết quả tốt với các độ đo nêu trên, mô hình học sâu vẫn có thể có tính chắc chắn chưa đủ tốt [5, 13, 32, 78, 90, 100].

Tính chắc chắn của mô hình học sâu là khả năng mô hình nhận diện được chính xác nhãn của ảnh đầu vào khi ảnh này được 1 thêm nhiễu đối kháng. Khái niệm nhiễu đối kháng và tính chắc chắn lần lượt được mô tả ở Định nghĩa 1 và Định nghĩa 2. Quá trình kẻ tấn công cố tình thêm nhiễu đối kháng vào ảnh đã dự đoán đúng để đánh lừa mô hình gọi là tấn công đối kháng. Ảnh trước khi thêm nhiễu đối kháng và được dự đoán đúng bởi mô hình học sâu gọi là ảnh dự đoán đúng.

Ảnh sau khi thêm nhiễu đối kháng gọi là ảnh đối kháng. Trong đó, nhiễu đối kháng được tính dựa trên những điểm ảnh khác nhau giữa ảnh dự đoán đúng và ảnh đối kháng. [Nhiễu đối kháng] Cho ảnh dự đoán đúng x và mô hình kiểm thử M, véc tơ nhiễu ζ = [ζ0, ζ1,. Để đánh giá được tính chắc chắn của mô hình học sâu, có hai hướng nghiên cứu chính gồm chứng minh tính chắc chắn của mô hình học sâu và sinh ảnh đối kháng.

Đối với hướng chứng minh tính chắc chắn, ba hướng nghiên cứu con sử dụng phổ biến gồm sử dụng bộ giải SMT-Solver [23, 45], sử dụng kĩ thuật làm mịn mức trừu tượng [24, 102, 103] và kĩ thuật giải thích mức trừu tượng [29, 85, 86]. Nhược điểm ba hướng này là không hỗ trợ tốt cho mô hình học sâu phức tạp [115]. Đối với hướng sinh ảnh đối kháng, các phương pháp theo hướng này sinh các ảnh đối kháng và coi đó là bằng chứng thể hiện tính chắc chắn của mô hình học sâu. Ưu điểm của hướng này là dễ dàng áp dụng cho các mô hình học sâu phức tạp nên được sử dụng phổ biến.

Các nghiên cứu tiêu biểu theo hướng này có thể kể đến CW [13], ATN [5], L-BFGS [92], DeepFool [68], BIS [78], MI-FGSM [21], PGD [62], v. Theo hướng sinh ảnh đối kháng, hai tiêu chí phổ biến để đánh giá chất lượng phương pháp tấn công đối kháng gồm chất lượng ảnh đối kháng và tỉ lệ thành công [54]. Công thức đánh giá chất lượng ảnh đối kháng có hai đầu vào chính gồm ảnh dự đoán đúng và ảnh đối kháng tương ứng. Các công thức phổ biến là sử dụng độ đo khoảng cách Lp, độ đo cấu trúc như SSIM [105] và các độ đo khác như PSNR [41].

Đối với tỉ lệ thành công, tiêu chí này thể hiện tỉ lệ ảnh dự đoán đúng được thêm nhiễu đối kháng thành công để sinh ảnh đối kháng. Nếu tỉ lệ thành công là 100% thì tất cả ảnh dự đoán đúng đều được thêm nhiễu đối 2 kháng thành công để mô hình kiểm thử nhận diện sai. Một trong những mục tiêu chính của các phương pháp tấn công đối kháng theo hướng này là sinh ảnh đối kháng với tỉ lệ thành công cao nhất có thể. Hai hướng chính để sinh ảnh đối kháng là kiểm thử hộp đen và kiểm thử hộp trắng [9, 114].

Trong kiểm thử hộp đen, kiểm thử viên giả định rằng họ không biết được kiến trúc và trọng số của mô hình kiểm thử. Kẻ tấn công chỉ có thể truy vấn mô hình kiểm thử thông qua API để lấy kết quả trả về. Kết quả trả về có thể là nhãn dự đoán hoặc véc tơ xác suất của từng nhãn. Trong kiểm thử hộp trắng, kiểm thử viên có thể truy cập kiến trúc và trọng số của mô hình kiểm thử.

Chi phí của kiểm thử hộp trắng thường cao hơn hộp đen do thường phải tính toán đạo hàm hàm mục tiêu của mô hình kiểm thử. Do kiểm thử viên biết được kiến trúc mô hình nên tỉ lệ thành công của kiểm thử hộp trắng thường cao hơn so với kiểm thử hộp đen. Trong hướng kiểm thử hộp trắng, tấn công đối kháng có hai hướng chính gồm tấn công đối kháng có định hướng và tấn công đối kháng không định hướng [1]. Điểm chung của hai hướng này là thực hiện thêm nhiễu đối kháng vào ảnh dự đoán đúng để sinh ảnh đối kháng có nhãn khác nhãn của ảnh dự đoán đúng.

Điểm khác biệt chính giữa hai hướng này là nhãn của ảnh đối kháng. Trong tấn công đối kháng có định hướng, nhãn của ảnh đối kháng cần giống nhãn đích, trong đó nhãn đích được định nghĩa trước khi tấn công. Ví dụ, xét ảnh số chín trong bộ dữ liệu MNIST [56], mô hình kiểm thử nhận diện chính xác nhãn của ảnh này. Kiểm thử viên chọn một nhãn bất kì khác nhãn số chín trong tập nhãn này, ví dụ nhãn số một.

Sau đó, tấn công đối kháng có định hướng sẽ tìm cách thêm nhiễu đối kháng vào ảnh dự đoán đúng để sinh một ảnh đối kháng. Trong đó, mô hình kiểm thử nhận diện ảnh đối kháng này có nhãn số một. Trong tấn công đối kháng không định hướng, nhãn của ảnh đối kháng có thể là bất kì nhãn nào ngoại trừ nhãn của ảnh dự đoán đúng. Hướng tấn công đối kháng không định hướng cho mô hình nơ-ron truyền thẳng sử dụng thực thi tượng trưng được đề xuất lần đầu tiên trong DeepCheck [33].

Tuy nhiên, thực nghiệm cho thấy phương pháp này có tỉ lệ thành công và hiệu năng chưa đủ tốt. Tư tưởng chính của DeepCheck là biến đổi mô hình nơ-ron truyền thẳng thành mã nguồn C. Sau đó, ảnh dự đoán đúng được chuyển thành đầu vào để thực thi trên mã nguồn này. Kết quả thực thi ảnh dự đoán đúng này 3 là một đường thi hành.

Kế tiếp, kĩ thuật thực thi tượng trưng được áp dụng trên đường thi hành này để sinh hệ ràng buộc và sử dụng bộ giải SMT để giải hệ ràng buộc. Nghiệm của hệ ràng buộc tương ứng với ảnh đối kháng và phải có cùng trạng thái kích hoạt nơ-ron với ảnh dự đoán đúng. Nguyên nhân của tỉ lệ thành công và hiệu năng thấp là do DeepCheck sử dụng bộ giải SMT và yêu cầu trạng thái kích hoạt nơ-ron của ảnh đối kháng phải giống ảnh dự đoán đúng. Đối với hệ ràng buộc phức tạp, bộ giải SMT có thể tốn chi phí tính toán khá lớn để tìm nghiệm.

Yêu cầu trạng thái kích hoạt nơ-ron của ảnh đối kháng phải giống ảnh dự đoán đúng sẽ làm giảm vùng không gian thêm nhiễu đối kháng vào ảnh dự đoán đúng để sinh ảnh đối kháng. Trong thực tế, một ảnh dự đoán đúng có nhiều cách thêm nhiễu đối kháng để đạt được mục đích tấn công, mà ảnh đối kháng tương ứng có thể không cùng trạng thái kích hoạt nơ-ron với ảnh dự đoán đúng. Trong hướng tấn công đối kháng có định hướng cho mô hình học sâu, nhiều phương pháp đã đề xuất thiếu tính khái quát hóa. Tính khái quát hóa là khả năng một phương pháp có thể học được cách thêm nhiễu đối kháng vào ảnh dự đoán đúng để sinh ảnh đối kháng và áp dụng tri thức này để thêm nhiễu đối kháng vào ảnh đầu vào mới trong tương lai [5].

Các phương pháp tiêu biểu thiếu tính khái quát hóa có thể kể đến FGSM [32], CW [13], BIM [78], L-BFGS [92], DeepFool [68], MI-FGSM [21], DeepExplore [74], v. Cụ thể, các phương pháp này sẽ thêm nhiễu đối kháng vào ảnh dự đoán đúng một cách độc lập để sinh ảnh đối kháng. Để giải quyết vấn đề thiếu tính khái quát hóa của các phương pháp này, ATN [5] đã được đề xuất để thêm nhiễu đối kháng vào ảnh dự đoán đúng theo độ đo khoảng cách L2. Tư tưởng của ATN là xây dựng mô hình mã hóa tự động để chuyển ảnh dự đoán đúng thành ảnh đối kháng.

Sau khi xây dựng xong mô hình mã hóa tự động, ATN có thể thêm nhiễu đối kháng vào ảnh dự đoán đúng để sinh ảnh đối kháng với chi phí thấp. Tuy nhiên, ảnh đối kháng sinh bởi ATN gặp hai vấn đề gồm chất lượng ảnh đối kháng và tính đa dạng của ảnh đối kháng. Đối với vấn đề chất lượng, ảnh đối kháng sinh bởi ATN thường có nhiều nhiễu dư thừa. Nếu loại bỏ những nhiễu này khỏi ảnh đối kháng, chất lượng ảnh đối kháng theo độ đo L2 tăng lên.

Đối với vấn đề tính đa dạng của ảnh đối kháng, ATN thường thêm nhiễu đối kháng vào mọi điểm ảnh. Nếu kiểm thử viên muốn đánh giá tính chắc chắn bằng cách thêm nhiễu vào các điểm ảnh thuộc vùng biên đối tượng hoặc vùng nền thì ATN không hỗ trợ. 4 Sau khi đã hiểu được bản chất của các phương pháp tấn công đối kháng, nhiệm vụ kế tiếp là chống lại các cuộc tấn công như vậy. Đây là bài toán cải thiện tính chắc chắn.

Các hướng cải thiện tính chắc chắn phổ biến gồm (i) xây dựng lại mô hình kiểm thử [32, 53, 62, 77], (ii) xây dựng một mô hình phân lớp để nhận diện ảnh dự đoán đúng và ảnh đối kháng [38, 66, 104] và (iii) loại bỏ nhiễu đối kháng khỏi ảnh đầu vào [42, 57, 66, 109]. Trong cách tiếp cận (iii), ảnh đầu vào được đi qua một mô hình loại bỏ nhiễu đối kháng, ví dụ như mô hình mã hóa tự động. Ảnh sau khi loại bỏ nhiễu đối kháng sẽ được đẩy vào mô hình kiểm thử để lấy kết quả.