Chương 1. TỔNG QUAN 13 Những thách thức Bài toán có những thách thức, khó khăn sau: 1.1 Khó phân biệt ảnh đối nghịch và ảnh thông thường * Các hình ảnh đối nghịch nếu quan sát bằng mắt thường thì rất dé bị nhằm lẫn chúng với những bức ảnh thông thường .5]khiến người quan sát khó có thể phân biệt được ảnh đối nghịch và ảnh thường. © Lí do: Trên thực tế, con người khó có thể xác định một cách trực quan một hình ảnh bình thường với một hình ảnh đã có ý bị xáo trộn (ảnh đối nghịch). Vì thế, về cơ bản, hai hình ảnh sẽ được coi là giống nhau nếu chỉ dựa vào mắt người.5: Tinh trang dé nhằm lẫn giữa ảnh thông thường và ảnh đối nghịch.
Khó khăn trong bài toán nhận diện ảnh đối nghịch s Cac mô hình phân lớp thường nhận diện sai ảnh đối nghịch. Lí do: ảnh đối nghịch là ảnh thường đã bị cố tình chỉnh sửa (thêm nhiễu, thay đổi pixel,.) cho nên các hệ thống phân loại hiện nay không thể phân loại chính xác được ảnh đối nghịch. TỔNG QUAN * Các mô hình phân lớp đã được huấn luyện trên tập dữ liệu thông thường thì khó có thể phân lớp đúng được ảnh đối nghịch. * Cac phương pháp để tạo ảnh đối nghịch hiện nay là khá đa dạng (One-step target class method, Fast Gradient Sign Method, Basic Iterative Method,.
Vì thế, khó có thể xác định một cách chính xác được ảnh đối nghịch được sinh ra từ phương pháp nào.4 Mục tiêu khóa luận Mục tiêu chính của khóa luận này là: ¢ Tim hiểu các phương pháp bảo vệ các mô hình phân lớp ảnh chống lại các cuộc tấn công đối nghịch. ® Đánh giá các phương pháp chống lại các cuộc tan công hình ảnh đối nghịch » Thực nghiệm với dữ liệu thực tế nhằm kiểm tra phương pháp nào tốt hơn 1.5 Câu trúc Khóa luận tốt nghiệp Nội dung Khóa luận tốt nghiệp được tổ chức như sau: ° Chương] Giới thiệu tổng quan về khóa luận. ° Chương|] Trình bày các nghiên cứu liên quan đến bài toán này. Chương] Trình bày chỉ tiết các hướng tiếp cận của khóa luận.
° Chương Trình bày môi trường thực nghiệm, tập dữ liệu, phương pháp đánh giá và kết quả thực nghiệm. ° Chương] Kết luận và hướng phát triển của khóa luận. Chương 2 NGHIÊN CỨU LIÊN QUAN Tóm tắt Ở chương này chúng tôi trình bày tổng quan về một số khái niệm của ảnh đối nghịch và một số biện pháp để tạo ra ảnh đói nghịch. Với mỗi hướng tiếp cận, chúng tôi giới thiệu một số phương pháp cơ bản.1 Ảnh đối nghịch 2.11 Khái niệm ® Ảnh đối nghịch là hình ảnh có các pixel đã được cố ý xáo trộn giúp đánh lừa các mô hình học, chúng khiến các mô hình mạng học sâu mắc lỗi trong khả năng nhận biết và phán đoán, các hình ảnh đối nghịch này giống như ảo ảnh quang học đối với máy móc.
© Đông thời, những hình ảnh này khó có thể được nhận biết bởi mắt thường của con người vì thế làm chúng trở nên trông vô hại với con người. Trên thực tế, con người không thể xác định một cách trực quan một hình ảnh bình thường đã bị biến đổi thành hình ảnh đối nghịch - về cơ bản, hai hình ảnh sẽ hiển thị giống hệt nhau đối với mắt người. © Thực tế, ảnh đối nghịch đã trở thành một van dé rất được chú ý kể từ năm 2014, khi Szegedy và các cộng sự cho ra đời nghiên cứu cũng như các nghiên cứu liên quan về sau như 6|, và [7] đều cho thấy rằng các mạng 10 Chương 2. NGHIÊN CUU LIÊN QUAN học sâu trong việc nhận diện vật thể đều có thể bị đánh lừa bởi hình ảnh đầu vào bị cố tình xáo trộn (ảnh đối nghịch).2 Tác hại của ảnh đối nghịch ® Vào cuối năm 2014, lan J.
Goodfellow va các cộng sự đã cho xuất bản một bài báo với tựa dé "Explaining and Harnessing Adversarial Examples" (5). Bài báo đã giải thích các khái niệm cũng như giới thiệu cho người đọc về ảnh đối nghịch, cùng với đó bài báo cũng cho thấy các mối hiểm họa trong. việc nhận diện sai một hình ảnh đối nghịch. ® Một trong những ví dụ điển hình của hình ảnh đối nghịch có thể được nhìn thấy thông qua hình ảnh|2.1| Nếu như ở hình ảnh bên trái, chúng ta có một hình ảnh đã được mạng nơ-ron phân loại chính xác dưới nhãn “panda“ với độ tin cậy là 57,7%.
Sau khi ta kết hợp vectơ nhiễu ở hình giữa với hình ảnh đầu vào, hình ảnh đầu ra (bên phải) đã được tạo ra. Chúng ta có thể nhận thấy, hình ảnh dau ra này giống hệt với hình ảnh đầu vào nếu căn cứ vào mắt của con người; tuy nhiên, sau khi thử lại hình ảnh đầu ra này với mạng nơ-ron thì kết quả lúc này đã khác hoàn toàn, hình ảnh lúc này đã được phân loại dưới nhãn là “gibbon” (một loài vượn nhỏ, tương tự như khỉ) với độ tin cậy lên tới 99,3%. Vì thế, tác hại đầu tiên ta có thể thấy được là ảnh đối nghịch khiến cho các hệ thống nhận diện hiện nay phân loại sai các dữ liệu đầu vào. ® Trong vài năm qua, đã có rất nhiều nghiên cứu vẻ hoạt động và tác dụng cũng như là tác hại của học máy đối nghịch.
Năm 2018, trong bài viết "Ro- bust Physical-World Attacks on Deep Learning Visual Classification" (L, cac nhà nghiên cứu tại Samsung và các trường Đại hoc Washington, Michigan và UC Berkley đã chỉ ra rằng bằng cách thực hiện các chỉnh sửa nhỏ trên biến báo "STOP", họ có thể biến chúng trở nên vô hình trước các thuật toán thị giác máy tính của xe tự lái (hình 2. Hacker có thể sử dụng những hình ảnh đối nghịch kiểu này để buộc một chiếc xe tự lái vào nguy hiểm và hoàn toàn có thể gây ra tai nạn). NGHIÊN CUU LIÊN QUAN +.007 x ® sign(VaJ (0, œ,/)) cign(V2/(8, x,y) P + “panda” “nematode” “gibbon” 57.1: Anh đối nghịch khiến mạng học sâu phân loại sai.2: Biển báo Stop có thể trở nên vô hình với một số thay đổi nhỏ. NGHIÊN CUU LIÊN QUAN * Va gần đây nhất, Co quan An Ninh mạng của Liên minh Châu Âu (ENISA) và Trung tâm Nghiên cứu Chung (JRC) da phát hành một bai báo cáo [3] có tựa đề "Cybersecurity Challenges in the Uptake of Artificial Intelligence in Autonomous Driving" vào đầu năm 2021.
Trong báo cáo, các tác giả đã đề cập đến tình trạng tấn công bằng những hình ảnh đổi nghịch hoàn toàn có thể đánh lừa được hệ thống nhận dạng trong ô tô tự lái, khiến hệ thống đưa ra phân loại sai. Bài viết này cũng đã đưa ra những nhận định rằng hình ảnh đối nghịch có thể ảnh hưởng xấu đến hệ thống ô tô tự lái và đồng thời đưa ra những ví dụ dẫn chứng cụ thể (như hình 2.3: Ảnh đối nghịch có thể ảnh hưởng đến kết quả phân loại của các hệ thống nhận dạng. Nguồn: (3) 13 Chương 2. NGHIÊN CUU LIÊN QUAN 2.2 Các phương pháp tạo ảnh đối nghịch 2.
Phương pháp tan công một điểm ảnh (One pixel attack) s Cách sinh ảnh đối nghịch bằng cách thay đổi pixel này đã được nghiên cứu và phát triển trong một thời gian. Một trong những lần xuất hiện đầu tiên của cách tiếp cận này là nhờ Goodfellow và các đồng nghiệp vào năm 2014, vào thời điểm ấy, việc này yêu cầu phải thay đổi nhiều pixel. Tuy nhiên, vào năm 2019, trong bài nghiên cứu "One Pixel Attack for Fooling Deep Neural của Su và các cộng sự, bài viết đã cho thấy rằng chúng ta vẫn có thể thực sự đánh lừa các bộ phân loại hình ảnh bằng cách chỉ thay đổi duy nhất một pixel.4: Bang cách có tình thay đổi 1 đơn vi pixel (được đánh dau bang các vòng tròn mau đỏ), mang no-ron được đào tạo trên ImageNet có thể bị đánh lừa để dự đoán sai lớp thay vì lớp ban đầu. Nguồn: (14) * Phương pháp tan công một điểm anh sẽ tiền hành tìm kiếm một hình anh x’ đã được sửa đổi (bang cách thay đổi duy nhất 1 pixel) sao cho x’ gần với 14 Chương 2.
NGHIÊN CUU LIÊN QUAN ảnh gốc x, đồng thời hình ảnh x’ sẽ làm thay đổi kết quả dự đoán thành một kết quả đối nghịch. Phương pháp này sử dụng sử dụng sự tiến hóa khác biệt) để tìm ra pixel nào sẽ được thay đổi và cách để thay đổi. Sự tiến hóa khác biệt được lay cảm hứng từ sự tiến hóa sinh học của các loài. Một quần thể các cá thể được gọi là giải pháp ứng cử viên sẽ tái tổ hợp từng thế hệ cho đến khi tìm được giải pháp.
Mỗi giải pháp ứng cử viên sẽ mã hóa một pixel sửa đổi và được biểu thị bằng một vectơ gồm năm phần tử: tọa độ x và y và các giá trị đỏ, lục và lam (RGB). Cụ thể, phương pháp tan công một điểm ảnh được nghiên cứu và phát triển dựa trên phương pháp tiến hóa khác biệt (Differential evolution) và công thức của nó: Xi(g + 1) = #n(&) + F- (Xr2(§) — xra(8)) Với mỗi x; là một phan tử của một giải pháp ứng viên (toa độ x, tọa độ y, đỏ, luc, lam); và g là thé hệ hiện tại; F là tham số chia tỷ lệ; và r1, r2, r3 là các số ngẫu nhiên khác nhau. Mỗi giải pháp ứng cử viên con mới lần lượt sẽ là một pixel với năm thuộc tính cho vị trí và màu sắc và mỗi thuộc tính đó là hỗn hợp của ba pixel cha ngẫu nhiên. * Việc tao con sẽ dừng lại néu một trong các giải pháp ứng cử viên là một ví dụ đối nghịch (adversarial example), nghĩa là nó sẽ được phân loại là một lớp không chính xác.
Hoặc việc tạo con cũng sẽ dừng lại nếu đạt đến số lần lặp tối đa do người dùng chỉ định. Phương pháp Miếng vá đối nghịch (Adversarial Patch) ¢ Phương pháp Miếng vá đối nghịch này lần đầu được giới thiệu bởi Brown va các cộng sự trong bài nghiên cứu "Adversarial Patch" vào năm 2017 (1. Brown thực hiện phương pháp nghiên cứu nay bang cách thiết kế ra một nhãn in để có thể dán vào bên cạnh các đối tượng trong hình ảnh, việc làm này khiến cho các bộ phân loại hình ảnh nhận diện đối tượng trong ảnh thành một chiếc lò nướng bánh. ¢ Phương pháp này khác với các phương pháp tạo ảnh đối nghịch khác cho đến nay.
Vì từ trước đến nay, luôn tổn tại hạn chế trong việc sinh ảnh đối 15 Chương 2. NGHIÊN CUU LIÊN QUAN nghịch rằng các hình ảnh đối nghịch phải rất gần với ảnh gốc thì phương pháp miếng vá đối nghịch này đã loại bỏ hoàn toàn hạn chế này.