Luận Án Tiến Sĩ Kỹ Thuật Phần Mềm: Phương Pháp Đảm Bảo Tính Chắc Chắn Cho Mô Hình Học Sâu

Phương pháp đảm bảo tính chắc chắn cho mô hình học sâu trong luận án tiến sĩ kỹ thuật phần mềm, giúp nâng cao độ tin cậy và hiệu quả ứng dụng.

• Tác giả: Nguyễn Đức Anh
• Người hướng dẫn: PGS. Phạm Ngọc Hùng
• Trường học: Đại học Quốc gia Hà Nội
• Chuyên ngành: Kỹ thuật phần mềm
• Đề tài: Phương Pháp Đảm Bảo Tính Chắc Chắn Trong Mô Hình Học Sâu
• Loại tài liệu: luận án
• Năm xuất bản: 2024
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• TÓM TẮT
• 1. CHƯƠNG 1: GIỚI THIỆU
• 1.1. Đặt vấn đề
• 2. CHƯƠNG 2: KIẾN THỨC NỀN TẢNG
• 2.1. Mạng học sâu cho bài toán phân loại ảnh
• 2.2. Mạng nơ-ron truyền thẳng
• 2.3. Mạng mã hóa tự động
• 2.3.1. Mạng mã hóa tự động thưa
• 2.3.2. Mạng mã hóa tự động xếp chồng
• 2.3.3. Mạng mã hóa tự động tích chập xếp chồng
• 2.4. Tấn công đối kháng
• 2.4.1. Hai loại tấn công đối kháng phổ biến
• 2.4.2. Tính chắc chắn
• 2.4.3. Tính chất nhiễu
• 2.4.4. Đánh giá tính chắc chắn của mô hình học sâu
• 2.4.5. Các phương pháp tấn công đối kháng không định hướng
• 2.4.6. Các phương pháp tấn công đối kháng có định hướng
• 2.4.7. Các phương pháp phòng thủ sử dụng mô hình mã hóa tự động
• 2.4.8. Phương pháp PuVAE
• 2.4.9. Phương pháp MagiNet
• 2.4.10. Phương pháp Defense-VAE
• 2.4.11. Tỉ lệ phát hiện và đánh giá chất lượng mô hình mã hóa tự động phòng thủ
• 2.4.12. Các bộ dữ liệu sử dụng trong thực nghiệm
• 2.4.13. Tóm tắt chương
• 3. CHƯƠNG 3: PHƯƠNG PHÁP SỬ DỤNG BỘ GIẢI PHỎNG ĐOÁN ĐỂ TẤN CÔNG ĐỐI KHÁNG KHÔNG ĐỊNH HƯỚNG MÔ HÌNH NƠ-RON TRUYỀN THẲNG
• 3.1. Các nghiên cứu liên quan
• 3.2. Phương pháp HA4FNN
• 3.3. Sinh mã nguồn từ mô hình và chèn câu lệnh đánh dấu
• 3.4. Thực thi tượng trưng
• 3.5. Bộ giải phỏng đoán
• 3.6. Kết quả
• 4. CHƯƠNG 4: PHƯƠNG PHÁP SỬ DỤNG MÔ HÌNH MÃ HÓA TỰ ĐỘNG ĐỂ TẤN CÔNG ĐỐI KHÁNG CÓ ĐỊNH HƯỚNG MÔ HÌNH TÍCH CHẬP
• 4.1. Các nghiên cứu liên quan
• 4.2. Phương pháp PatternAttack
• 4.3. ATN khái quát
• 4.4. Cải thiện chất lượng ảnh đối kháng
• 4.5. Tóm tắt chương
• 5. CHƯƠNG 5: PHƯƠNG PHÁP QI4AE ĐỂ CẢI THIỆN CHẤT LƯỢNG ẢNH ĐỐI KHÁNG
• 5.1. Pha xây dựng
• 5.2. Pha cải thiện
• 5.3. Thực nghiệm
• 5.4. Tóm tắt chương
• 6. CHƯƠNG 6: PHƯƠNG PHÁP SỬ DỤNG MÔ HÌNH MÃ HÓA TỰ ĐỘNG ĐỂ CẢI THIỆN TÍNH CHẮC CHẮN CỦA MÔ HÌNH TÍCH CHẬP
• 6.1. Các nghiên cứu liên quan
• 6.2. Phương pháp SCADefender
• 6.3. Sinh tập ảnh đối kháng
• 6.4. Xây dựng mô hình mã hóa tự động
• 6.5. Tóm tắt chương
• 7. CHƯƠNG 7: CÁC KẾT QUẢ ĐẠT ĐƯỢC VÀ HƯỚNG PHÁT TRIỂN TIẾP THEO
• DANH SÁCH HÌNH VẼ
• DANH SÁCH BẢNG
• THUẬT NGỮ VÀ TỪ VIẾT TẮT
• GIẢI THÍCH KÍ HIỆU

Tóm tắt

I. Giới thiệu về mô hình học sâu

Mô hình học sâu, hay học sâu, đã trở thành một công cụ quan trọng trong nhiều lĩnh vực như phân loại ảnh, nhận diện đối tượng và xử lý ngôn ngữ tự nhiên. Mô hình học máy này được xây dựng dựa trên các mạng nơ-ron với nhiều tầng, cho phép mô hình hóa các mối quan hệ phức tạp trong dữ liệu. Tuy nhiên, một vấn đề lớn mà các mô hình này phải đối mặt là tính chắc chắn. Tính chắc chắn của mô hình học sâu được định nghĩa là khả năng mô hình nhận diện chính xác nhãn của ảnh đầu vào khi ảnh này bị thêm nhiễu đối kháng. Nhiễu đối kháng là những thay đổi nhỏ nhưng có thể làm sai lệch kết quả dự đoán của mô hình. Do đó, việc đảm bảo tính chắc chắn cho mô hình học sâu là rất quan trọng để nâng cao chất lượng và độ tin cậy của các ứng dụng thực tiễn.

1.1. Tính chất của mô hình học sâu

Mô hình học sâu có khả năng học từ dữ liệu lớn và phức tạp, nhưng cũng dễ bị tấn công bởi các phương pháp tấn công đối kháng. Các nghiên cứu đã chỉ ra rằng, mặc dù mô hình có thể đạt được độ chính xác cao trong các bài kiểm tra, nhưng vẫn có thể bị đánh lừa bởi các nhiễu đối kháng. Điều này đặt ra thách thức lớn cho các nhà nghiên cứu trong việc phát triển các phương pháp đảm bảo tính chắc chắn cho mô hình. Các phương pháp này không chỉ cần phải phát hiện và loại bỏ nhiễu mà còn phải cải thiện khả năng nhận diện của mô hình trong các tình huống thực tế.

II. Các phương pháp đảm bảo tính chắc chắn

Để cải thiện tính chắc chắn của mô hình học sâu, nhiều phương pháp đã được đề xuất. Một trong những phương pháp nổi bật là HA4FNN, sử dụng bộ giải phỏng đoán để kiểm thử mô hình nơ-ron truyền thăng. Phương pháp này cho phép chuyển đổi mô hình kiểm thử thành mã nguồn C, từ đó thực thi và tìm kiếm các ảnh đối kháng. Kết quả cho thấy phương pháp này có hiệu năng và tỉ lệ thành công cao hơn so với các phương pháp trước đó. Ngoài ra, phương pháp PatternAttack cũng được phát triển để cải thiện chất lượng ảnh đối kháng bằng cách sử dụng các mẫu thêm nhiễu khác nhau. Điều này không chỉ làm tăng tính đa dạng của ảnh đối kháng mà còn cải thiện chất lượng của chúng.

2.1. Phương pháp HA4FNN

Phương pháp HA4FNN được thiết kế để khắc phục những hạn chế của các phương pháp kiểm thử trước đó. Bằng cách sử dụng bộ giải phỏng đoán, phương pháp này có thể tìm ra các ảnh đối kháng một cách hiệu quả hơn. Thực nghiệm cho thấy rằng HA4FNN có thể đạt được tỉ lệ thành công cao trong việc phát hiện và loại bỏ nhiễu đối kháng. Điều này chứng tỏ rằng việc áp dụng các phương pháp mới trong kiểm thử mô hình học sâu là cần thiết để nâng cao tính chắc chắn và độ tin cậy của các ứng dụng thực tiễn.

2.2. Phương pháp PatternAttack

PatternAttack là một phương pháp tiên tiến nhằm cải thiện chất lượng ảnh đối kháng. Phương pháp này sử dụng kiến trúc mô hình mã hóa tự động để thêm nhiễu vào ảnh đầu vào theo các mẫu khác nhau. Kết quả thực nghiệm cho thấy rằng PatternAttack không chỉ làm tăng tính đa dạng của ảnh đối kháng mà còn cải thiện chất lượng của chúng. Việc áp dụng thuật toán tham lam để loại bỏ nhiễu dư thừa cũng giúp tăng cường hiệu quả của phương pháp này, cho thấy rằng việc kết hợp các kỹ thuật khác nhau có thể mang lại kết quả tốt hơn trong việc đảm bảo tính chắc chắn cho mô hình học sâu.

III. Đánh giá và ứng dụng thực tiễn

Các phương pháp đảm bảo tính chắc chắn cho mô hình học sâu không chỉ có ý nghĩa lý thuyết mà còn có ứng dụng thực tiễn quan trọng. Việc cải thiện tính chắc chắn giúp các mô hình học sâu hoạt động hiệu quả hơn trong các tình huống thực tế, đặc biệt là trong các lĩnh vực yêu cầu độ chính xác cao như y tế, an ninh mạng và tự động hóa. Các công cụ được phát triển từ các phương pháp này đã được triển khai và nhận được phản hồi tích cực từ người dùng. Điều này cho thấy rằng việc nghiên cứu và phát triển các phương pháp mới trong lĩnh vực học sâu là cần thiết để đáp ứng nhu cầu ngày càng cao của thị trường.

3.1. Ứng dụng trong thực tiễn

Các phương pháp như HA4FNN và PatternAttack đã được áp dụng trong nhiều lĩnh vực khác nhau, từ nhận diện khuôn mặt đến phân loại ảnh trong y tế. Việc cải thiện tính chắc chắn của các mô hình học sâu giúp giảm thiểu rủi ro trong các ứng dụng này, đảm bảo rằng các quyết định được đưa ra dựa trên dữ liệu chính xác. Điều này không chỉ nâng cao hiệu quả công việc mà còn bảo vệ người dùng khỏi các mối đe dọa từ các tấn công đối kháng.

Trích đoạn nội dung tài liệu

Đặt vấn đề Sự ra đời của học sâu được coi là một cuộc cách mang trong thế kỉ 21 [31]. Tư tưởng cho sự ra đời học sâu là mô phỏng quá trình học của não người từ dtr liệu. Kết quả mô phỏng này được biểu diễn bởi mạng học sâu. Mạng học sâu có nhiều tang gồm tang đầu vào, các tang an và tang dau ra [2, 31, 81, 114].

Nhiều mạng học sâu đã được đề xuất như mạng nơ-ron truyền thăng, mạng tích chập, v. Mô hình học sâu là kết quả khi học mạng học sâu từ bộ dữ liệu. Nhiều nghiên cứu đã cho thấy học sâu đạt được kết quả tương đương hoặc tốt hơn con người trong nhiéu bai todn nhu phân loại ảnh [1], nhận dang đối tượng [60], nhận dạng khuôn mặt [101], xử lý ngôn ngữ tự nhiên [72], xe tự lái [64, 70], phát hiện mã độc [98, 111] và chăm sóc sức khỏe [58, 116], v. Đối tượng nghiên cứu của luận án là các mô hình học sâu phân loại ảnh.

Với đầu vào là tập học gồm các ảnh và nhãn tương ứng, lập trình viên sẽ định nghĩa kiến trúc mô hình học sâu cần học, rồi chọn các siêu tham số phù hợp như tốc độ học, số lần lặp, v. dé xây dựng mô hình. Đề đánh giá chất lượng mô hình học sâu, các độ đo được sử dụng phổ biến gồm độ chính xác, độ chuẩn xác và điểm số F1 [67]. Tuy nhiên, du mô hình học sâu phân loại anh đạt được kết quả tốt với các độ đo nêu trên, mô hình học sâu vẫn có thể có tính chắc chắn chưa đủ tốt [5, 13, 32, 78, 90, 100].

Tính chắc chắn của mô hình học sâu là khả năng mô hình nhận diện được chính xác nhãn của ảnh đầu vào khi ảnh này được thêm nhiễu đối kháng. Khái niệm nhiễu đối kháng và tính chắc chắn lần lượt được mô tả ở Định nghĩa 1 và Định nghĩa 2. Quá trình kẻ tấn công cố tình thêm nhiễu đối kháng vào anh đã dự đoán đúng dé đánh lừa mô hình gọi là tan công đối kháng. Ảnh trước khi thêm nhiễu đối kháng và được dự đoán đúng bởi mô hình học sâu gọi là ảnh dự đoán đúng.

Ảnh sau khi thêm nhiễu đối kháng gọi là ảnh đối kháng. Trong đó, nhiễu đối kháng được tính dựa trên những điểm ảnh khác nhau giữa ảnh dự đoán đúng và ảnh đối kháng. [Nhiễu đối kháng] Cho ảnh dự đoán đúng x và mô hình kiểm thử M, véc tơ nhiễu Ệ = [Go, ố,. Dé đánh giá được tính chắc chắn của mô hình học sâu, có hai hướng nghiên cứu chính gồm chứng minh tính chắc chắn của mô hình học sâu và sinh ảnh đối kháng.

Đối với hướng chứng minh tính chắc chắn, ba hướng nghiên cứu con sử dụng phổ biến gồm sử dụng bộ giải SMT-Solver [23, 45], sử dụng kĩ thuật làm mịn mức trừu tượng [24, 102, 103] và kĩ thuật giải thích mức trừu tượng [29, 85, 86]. Nhược điểm ba hướng này là không hỗ trợ tốt cho mô hình học sâu phức tạp [115]. Đối với hướng sinh ảnh đối kháng, các phương pháp theo hướng này sinh các ảnh đối kháng và coi đó là băng chứng thể hiện tính chắc chắn của mô hình học sâu. Ưu điểm của hướng này là dễ dàng áp dụng cho các mô hình học sâu phức tạp nên được sử dụng phổ biến.

Các nghiên cứu tiêu biểu theo hướng này có thé kể đến CW [13], ATN [5], L-BFGS [92], DeepFool [68], BIS [78], MI-FGSM [21], PGD [62], v. Theo hướng sinh anh đối kháng, hai tiêu chí phố biến dé đánh giá chất lượng phương pháp tấn công đối kháng gồm chất lượng ảnh đối kháng và tỉ lệ thành công [54]. Công thức đánh giá chất lượng anh đối kháng có hai đầu vào chính gồm ảnh dự đoán đúng và ảnh đối kháng tương ứng. Các công thức phổ biến là sử dụng độ đo khoảng cách Lp, độ do cấu trúc như SSIM [105] và các độ đo khác như PSNR [41].

Đối với tỉ lệ thành công, tiêu chí này thể hiện tỉ lệ ảnh dự đoán đúng được thêm nhiễu đối kháng thành công dé sinh ảnh đối kháng. Nếu tỉ lệ thành công là 100% thì tất cả ảnh dự đoán đúng đều được thêm nhiễu đối 2 kháng thành công để mô hình kiểm thử nhận diện sai. Một trong những mục tiêu chính của các phương pháp tấn công đối kháng theo hướng này là sinh ảnh đối kháng với tỉ lệ thành công cao nhất có thể. Hai hướng chính để sinh ảnh đối kháng là kiêm thử hộp đen và kiểm thử hộp trắng [9, 114].

Trong kiểm thử hộp đen, kiểm thử viên giả định rằng họ không biết được kiến trúc và trọng số của mô hình kiểm thử. Kẻ tấn công chỉ có thể truy van mô hình kiêm thử thông qua API dé lấy kết quả trả về. Kết quả trả về có thể là nhãn dự đoán hoặc véc tơ xác suất của từng nhãn. Trong kiểm thử hộp trắng, kiểm thử viên có thể truy cập kiến trúc và trọng số của mô hình kiểm thử.

Chi phí của kiểm thử hộp trắng thường cao hơn hộp đen do thường phải tính toán đạo hàm hàm mục tiêu của mô hình kiểm thử. Do kiểm thử viên biết được kiến trúc mô hình nên tỉ lệ thành công của kiểm thử hộp trắng thường cao hơn so với kiểm thử hộp đen. Trong hướng kiểm thử hộp trắng, tan công đối kháng có hai hướng chính gồm tan công đối kháng có định hướng va tan công đối kháng không định hướng [1]. Điểm chung của hai hướng này là thực hiện thêm nhiễu đối kháng vào ảnh dự đoán đúng để sinh ảnh đối kháng có nhãn khác nhãn của ảnh dự đoán đúng.

Điểm khác biệt chính giữa hai hướng này là nhãn của ảnh đối kháng. Trong tấn công đối kháng có định hướng, nhãn của ảnh đối kháng cần giống nhãn đích, trong đó nhãn đích được định nghĩa trước khi tấn công. Ví dụ, xét ảnh số chín trong bộ dữ liệu MNIST [56], mô hình kiểm thử nhận diện chính xác nhãn của ảnh này. Kiểm thử viên chọn một nhãn bắt kì khác nhãn số chín trong tập nhãn nảy, ví dụ nhãn số một.

Sau đó, tấn công đối kháng có định hướng sẽ tìm cách thêm nhiễu đối kháng vào anh dự đoán đúng dé sinh một ảnh đối kháng. Trong đó, mô hình kiểm thử nhận diện ảnh đối kháng này có nhãn số một. Trong tấn công đối kháng không định hướng, nhãn của ảnh đối kháng có thé là bat kì nhãn nao ngoại trừ nhãn của ảnh dự đoán đúng. Hướng tan công đối kháng không định hướng cho mô hình nơ-ron truyền thang sử dụng thực thi tượng trưng được đề xuất lần đầu tiên trong DeepCheck [33].

Tuy nhiên, thực nghiệm cho thấy phương pháp này có tỉ lệ thành công và hiệu năng chưa đủ tốt. Tư tưởng chính của DeepCheck là biến đổi mô hình nơ-ron truyền thắng thành mã nguồn C. Sau đó, ảnh dự đoán đúng được chuyền thành đầu vào dé thực thi trên mã nguồn này. Kết quả thực thi ảnh dự đoán đúng này là một đường thi hành.

Kế tiếp, kĩ thuật thực thi tượng trưng được áp dụng trên đường thi hành này để sinh hệ ràng buộc và sử dụng bộ giải SMT để giải hệ ràng buộc. Nghiệm của hệ ràng buộc tương ứng với ảnh đối kháng và phải có cùng trạng thái kích hoạt nơ-ron với ảnh dự đoán đúng. Nguyên nhân của tỉ lệ thành công và hiệu năng thấp là do DeepCheck sử dụng bộ giải SMT và yêu cầu trạng thái kích hoạt nơ-ron của ảnh đối kháng phải giống ảnh dự đoán đúng. Đối với hệ ràng buộc phức tạp, bộ giải SMT có thể tốn chi phí tính toán khá lớn để tìm nghiệm.

Yêu cầu trạng thái kích hoạt nơ-ron của ảnh đối kháng phải giống ảnh dự đoán đúng sẽ làm giảm vùng không gian thêm nhiễu đối kháng vào ảnh dự đoán đúng dé sinh ảnh đối kháng. Trong thực tế, một ảnh dự đoán đúng có nhiều cách thêm nhiễu đối kháng dé đạt được mục dich tấn công, mả ảnh đối kháng tương ứng có thể không cùng trạng thái kích hoạt nơ-ron với ảnh dự đoán đúng. Trong hướng tấn công đối kháng có định hướng cho mô hình học sâu, nhiều phương pháp đã đề xuất thiếu tính khái quát hóa. Tính khái quát hóa là khả năng một phương pháp có thể học được cách thêm nhiễu đối kháng vào ảnh dự đoán đúng dé sinh ảnh đối kháng và áp dụng tri thức này để thêm nhiễu đối kháng vào ảnh đầu vào mới trong tương lai [5].

Các phương pháp tiêu biểu thiếu tính khái quát hóa có thể kế đến FGSM [32], CW [13], BIM [78], L-BFGS [92], DeepFool [68], MI-FGSM [21], DeepExplore [74], v. Cụ thể, các phương pháp này sẽ thêm nhiễu đối kháng vào ảnh dự đoán đúng một cách độc lập để sinh ảnh đối kháng. Để giải quyết vấn đề thiếu tính khái quát hóa của các phương pháp này, ATN [5] đã được đề xuất để thêm nhiễu đối kháng vào ảnh dự đoán đúng theo độ đo khoảng cách Lz. Tư tưởng của ATN là xây dựng mô hình mã hóa tự động để chuyên anh dự đoán đúng thành anh đối kháng.

Sau khi xây dựng xong mô hình mã hóa tự động, ATN có thé thêm nhiễu đối kháng vao anh dự đoán đúng dé sinh ảnh đối khang với chi phi thấp. Tuy nhiên, anh đối khang sinh bởi ATN gặp hai van đề gồm chất lượng ảnh đối kháng và tinh đa dang của ảnh đối kháng. Đối với vấn đề chất lượng, ảnh đối kháng sinh bởi ATN thường có nhiều nhiễu dư thừa. Nếu loại bỏ những nhiễu này khỏi ảnh đối kháng, chất lượng ảnh đối kháng theo độ đo La tăng lên.

Đối với van đề tinh đa dạng của ảnh đối kháng, ATN thường thêm nhiễu đối kháng vào mọi điểm ảnh. Nếu kiểm thử viên muốn đánh giá tính chắc chắn bằng cách thêm nhiễu vào các điểm ảnh thuộc vùng biên đối tượng hoặc vùng nền thì ATN không hỗ trợ. Sau khi đã hiểu được bản chất của các phương pháp tấn công đối kháng, nhiệm vụ kế tiếp là chống lại các cuộc tấn công như vậy. Đây là bài toán cải thiện tính chắc chắn.

Các hướng cải thiện tính chắc chắn phổ biến gồm (i) xây dựng lại mô hình kiểm thử [32, 53, 62, 77], (ii) xây dung một mô hình phân lớp dé nhận diện anh dự đoán đúng và ảnh đối kháng [38, 66, 104] va (iii) loại bỏ nhiễu đối kháng khỏi anh đầu vào [42, 57, 66, 109]. Trong cách tiếp cận (iii), ảnh đầu vào được đi qua một mô hình loại bỏ nhiễu đối kháng, ví dụ như mô hình mã hóa tự động. Ảnh sau khi loại bỏ nhiễu đối kháng sẽ được đây vào mô hình kiểm thử dé lấy kết quả.