Giới thiệu dự án

Trong kỷ nguyên chuyển đổi số và bùng nổ trí tuệ nhân tạo, các mô hình học máy (Machine Learning - ML) đóng vai trò nòng cốt trong các hệ thống ra quyết định tự động, từ bộ lọc thư rác (Anti-Spam), hệ thống phát hiện mã độc (Anti-Virus - AV), đến giải pháp giám sát gian lận thẻ tín dụng ngân hàng (Fraud Detection). Theo các báo cáo an ninh mạng toàn cầu, hơn 85% các vụ xâm nhập và lừa đảo tài chính hiện đại sử dụng kỹ thuật biến đổi dữ liệu (Evasion Attacks / Camouflage) nhằm vượt qua các thuật toán phân loại tự động mà không làm mất đi bản chất độc hại.

Thách thức cốt lõi nằm ở giả định cơ bản của học máy truyền thống: dữ liệu thử nghiệm luôn tuân theo cùng một phân phối xác suất ($i.i.d$) với dữ liệu huấn luyện. Kẻ tấn công trong không gian mạng liên tục can thiệp, tiêm nhiễu hoặc ngụy trang vector đặc trưng (Feature Vector Perturbation) để biến đổi điểm dữ liệu độc hại thành điểm dữ liệu có vẻ lành tính trước mô hình. Khi đối mặt với các cuộc tấn công đối kháng có chủ đích, các thuật toán phân loại kinh điển như Support Vector Machine (SVM) bị suy giảm độ chính xác nghiêm trọng, dẫn đến tỷ lệ lọt mã độc (False Negative) tăng vọt.

       Kẻ tấn công (Attacker)                          Mô hình phòng thủ (Defender)

Đề tài khóa luận "Nghiên cứu và đề xuất phương pháp phòng thủ trước một số phương pháp tấn công mô hình học máy trong không gian mạng" tập trung giải quyết bài toán an ninh đối kháng bằng cách tích hợp Lý thuyết trò chơi (Game Theory) vào cấu trúc tối ưu của mô hình học máy SVM.

Mục tiêu cụ thể của dự án:

  1. Nghiên cứu cơ chế tấn công ngụy trang dữ liệu dạng bảng (Tabular Data Evasion) bao gồm hai kịch bản: Tấn công ngụy trang tự do (Free-range Attack) và Tấn công ngụy trang hạn chế (Restrained Attack).
  2. Xây dựng mô hình toán học Adversarial Support Vector Machine (AD-SVM) dựa trên chiến lược Minimax nhằm tìm siêu phẳng phân tách tối ưu trong kịch bản tấn công xấu nhất.
  3. Chuyển đổi bài toán tối ưu song tuyến rời rạc phức tạp thành bài toán quy hoạch tuyến tính đối ngẫu bất đối xứng (Asymmetric Dual Linear Programming) có thể giải hiệu quả bằng công cụ tối ưu hóa lồi.
  4. Đánh giá tính khả thi và đo lường hiệu năng thực nghiệm trên hai tập dữ liệu chuẩn: Tập dữ liệu phân loại thư rác (Spambase Dataset) và Tập dữ liệu gian lận thẻ tín dụng Châu Âu (Credit Card Fraud Dataset).

Phạm vi và giới hạn:

  • Phạm vi: Tập trung vào bài toán phân loại nhị phân ($y_i \in {-1, +1}$) trên dữ liệu dạng bảng với cấu trúc không gian đặc trưng nhiều chiều.
  • Giới hạn: Nghiên cứu tập trung vào mô hình phòng thủ hộp đen trước tấn công ngụy trang lẩn tránh (Evasion/Camouflage Attacks), không giải quyết toàn bộ các hình thức đầu độc dữ liệu (Data Poisoning) hay đánh cắp mô hình (Model Stealing).

Phân tích và thiết kế giải pháp

Phân tích hiện trạng

Các hệ thống bảo vệ hiện tại dựa trên học máy truyền thống thường bộc lộ những lỗ hổng chí mạng khi đối thủ chủ động thao túng vector đầu vào.

Giải pháp hiện tại Ưu điểm Nhược điểm / Hạn chế Mức độ rủi ro đối kháng
Standard SVM (Vapnik) Tối ưu biên cực đại, tính toán nhanh trên tập dữ liệu nhỏ và vừa. Suy giảm nghiêm trọng trước nhiễu đối kháng $\delta$; siêu phẳng cố định dễ bị vượt qua. Rất cao (Dễ bị bypass hoàn toàn)
Rule-based & Signature Filter Phản hồi tức thời với các mẫu mã độc đã biết. Không có khả năng tổng quát hóa; hoàn toàn bất lực trước biến thể mới. Cao
Heuristic Data Sanitization Loại bỏ điểm dữ liệu ngoại lai đơn giản trước khi huấn luyện. Phụ thuộc vào ngưỡng đặt trước; không mô hình hóa được ý đồ tấn công. Trung bình
AD-SVM (Đề xuất) Mô hình hóa tương tác đối kháng theo trò chơi Minimax; duy trì biên an toàn vững chắc. Yêu cầu giải bài toán đối ngẫu mở rộng với nhiều biến phụ trợ (Slack variables). Thấp (Độ bền vững cao)

Yêu cầu hệ thống theo mô hình MoSCoW

  • Must Have (Bắt buộc):
    • Khả năng mô hình hóa 2 dạng tấn công: Free-range Attack ($C_f$) và Restrained Attack ($C_s, C_e$).
    • Thuật toán chuyển đổi bài toán Minimax sang dạng đối ngẫu giải được bằng Convex Solver.
    • Xử lý mất cân bằng dữ liệu bằng kỹ thuật Undersampling và chuẩn hóa Min-Max Scaling về đoạn $[0, 1]$.
  • Should Have (Nên có): Cơ chế điều chỉnh linh hoạt siêu tham số chiết khấu tấn công ($C_e \in [0, 1]$, $C_f \in [0, 1]$).
  • Could Have (Có thể có): Hỗ trợ kiểm thử tự động trên nhiều tỷ lệ mẫu ngẫu nhiên (Cross-validation).
  • Won't Have (Chưa thực hiện): Huấn luyện trực tuyến thời gian thực (Real-time Online Retraining) trên luồng dữ liệu phân tán.

Thiết kế hệ thống

Kiến trúc giải pháp được thiết kế thành một luồng xử lý khép kín từ tiền xử lý dữ liệu, thiết lập ma trận đối kháng, giải bài toán tối ưu lồi, đến phân loại đối tượng kiểm thử.

graph TD
    A["Dữ liệu thô (Spambase / Credit Fraud)"] --> B["Tiền xử lý & Chuẩn hóa Min-Max [0, 1]"]
    B --> C["Cân bằng dữ liệu (Undersampling)"]
    C --> D["Thiết lập Không gian Tấn công (Free-range / Restrained)"]
    D --> E["Mô hình hóa Chiến lược Minimax"]
    E --> F["Chuyển đổi Đối ngẫu Bất đối xứng (Dual Formulation)"]
    F --> G["Trình tối ưu hóa CVX Solver (Matlab R2021a)"]
    G --> H["Bộ phân loại tối ưu AD-SVM (w*, b*)"]
    H --> I["Đánh giá trên Tập kiểm tra có Nhiễu đối kháng (Noise Evaluation)"]

Công nghệ sử dụng

  • Môi trường tính toán: MATLAB R2021a (v9.10.0) với CVX Convex Optimization Toolbox v2.2 (hỗ trợ SeDuMi / SDPT3 Solvers).
  • Phần cứng thực nghiệm: CPU Intel Core i7-10700K @ 3.80GHz (8 cores, 16 threads), GPU ASUS Phoenix GTX 1050 Ti 4GB, RAM 16GB DDR4 3200MHz, OS Windows 10 Professional 64-bit.
  • Tiêu chuẩn dữ liệu: Định dạng chuẩn hóa Ma trận ma phương và Vector đặc trưng số học (Floating Point Double Precision).

Phương pháp luận (Methodology)

Dự án áp dụng phương pháp nghiên cứu định lượng kết hợp mô hình hóa lý thuyết trò chơi toán học:

  1. Thiết lập mô hình đối đầu: Xem cuộc tấn công và phòng thủ như một Trò chơi tổng bằng không (Zero-sum Game). Kẻ tấn công tối đa hóa hàm mất mát Hinge Loss thông qua biến dịch chuyển $\delta_i$, trong khi bộ phân loại tìm vector trọng số $w$ và độ lệch $b$ để cực tiểu hóa cận trên của rủi ro.
  2. Kế hoạch thực hiện:
    • Giai đoạn 1 (Tuần 1 - Tuần 3): Khảo sát lý thuyết SVM, Hinge Loss, Chiều VC và Lý thuyết trò chơi (Minimax, Nash Equilibrium).
    • Giai đoạn 2 (Tuần 4 - Tuần 7): Xây dựng công thức giải tích cho AD-SVM Free-range và AD-SVM Restrained.
    • Giai đoạn 3 (Tuần 8 - Tuần 11): Lập trình trên MATLAB/CVX, tiến hành tiền xử lý Spambase và Credit Card Fraud datasets.
    • Giai đoạn 4 (Tuần 12 - Tuần 14): Chạy thực nghiệm đa tham số, đo lường Accuracy/Loss, phân tích kết quả và tổng kết khóa luận.

Implementation và kết quả

Chi tiết thuật toán và chuyển đổi toán học

Hàm mất mát Hinge Loss tiêu chuẩn của SVM với tham số siêu phẳng $(w, b)$: $$L_{hinge}(w, b) = \max(0, 1 - y_i(w \cdot x_i + b))$$

Khi kẻ tấn công đưa vào vector dịch chuyển $\delta_i$, hàm mục tiêu phòng thủ Minimax có dạng: $$\min_{w, b} \max_{\delta} \left[ \frac{1}{2} |w|^2 + C \sum_{i=1}^N \max\left(0, 1 - y_i(w \cdot x_i + b) - \frac{1}{2}(1 + y_i) w \cdot \delta_i\right) \right]$$

1. Mô hình AD-SVM chống tấn công Free-range

Ràng buộc tấn công tự do trong miền giá trị thuộc tính $[x_j^{min}, x_j^{max}]$: $$C_f(x_j^{min} - x_{ij}) \le \delta_{ij} \le C_f(x_j^{max} - x_{ij}), \quad \forall j \in [1, d]$$

Để giải quyết bài toán song tuyến rời rạc (Discrete Bilinear Optimization), ta áp dụng phép biến đổi đối ngẫu bất đối xứng cho bài toán con cực đại hóa của kẻ tấn công: $$\min_{u_{ij}, v_{ij}} \sum_{j=1}^d C_f \left( v_{ij}(x_j^{max} - x_{ij}) - u_{ij}(x_j^{min} - x_{ij}) \right)$$ $$\text{Thỏa điều kiện: } v_{ij} - u_{ij} = \frac{1}{2}(1 + y_i) w_j, \quad u_{ij} \ge 0, \quad v_{ij} \ge 0$$

Khi kết hợp biến bù (Slack variables) $\xi_i$, bài toán quy hoạch lồi AD-SVM Free-range hoàn chỉnh trở thành: $$\arg \min_{w, b, \xi, u, v} \frac{1}{2} |w|^2 + C \sum_{i=1}^N \xi_i$$ $$\text{s.t. } \begin{cases} \xi_i \ge 0, \quad \forall i = 1, \dots, N \ \xi_i \ge 1 - y_i(w \cdot x_i + b) + t_i \ t_i \ge \sum_{j=1}^d C_f \left( v_{ij}(x_j^{max} - x_{ij}) - u_{ij}(x_j^{min} - x_{ij}) \right) \ v_{ij} - u_{ij} = \frac{1}{2}(1 + y_i) w_j \ u_{ij} \ge 0, \quad v_{ij} \ge 0 \end{cases}$$

2. Cài đặt thuật toán trên MATLAB với CVX Toolbox

function [w_opt, b_opt] = train_ad_svm_free_range(X_train, y_train, C_param, Cf)
    % X_train: N x d matrix (da duoc chuan hoa Min-Max [0, 1])
    % y_train: N x 1 vector labels (-1 hoac +1)
    % C_param: Tham so phat C cua SVM
    % Cf: He so muc do tan cong Free-range [0, 1]
    
    [N, d] = size(X_train);
    x_max = max(X_train, [], 1);
    x_min = min(X_train, [], 1);
    
    cvx_begin quiet
        variables w(d) b(1) xi(N) t(N) u(N, d) v(N, d)
        
        % Ham muc tieu toi thieu hoa bien phat va do lon trong so
        minimize( 0.5 * sum_square(w) + C_param * sum(xi) )
        
        subject to
            xi >= 0;
            for i = 1:N
                % Rang buoc Hinge Loss ket hop thanh phan doi khang ti
                xi(i) >= 1 - y_train(i) * (X_train(i, :) * w + b) + t(i);
                
                % Rang buoc doi ngau cua cuoc tan cong Free-range
                t(i) >= sum( Cf * (v(i, :) .* (x_max - X_train(i, :)) - ...
                                   u(i, :) .* (x_min - X_train(i, :))) );
                
                % Can bang thanh phan trong so voi bien doi ngau
                v(i, :) - u(i, :) == 0.5 * (1 + y_train(i)) * w';
                u(i, :) >= 0;
                v(i, :) >= 0;
            end
    cvx_end
    
    w_opt = w;
    b_opt = b;
end

Kiểm thử và Kết quả thực nghiệm

Mô hình được kiểm định qua 5 lần lấy mẫu ngẫu nhiên (Monte Carlo Sub-sampling) trên tập dữ liệu kiểm tra độc lập (30% kích thước ban đầu), với mức độ nghiêm trọng của cuộc tấn công ngụy trang mô phỏng $\mu_{att} \in [0.0, 1.0]$.

Mức độ tấn công ngụy trang (μ_att):

1. Kết quả trên tập dữ liệu Email Spam (Spambase - 4,601 mẫu, 57 đặc trưng)

Mức độ tấn công ($\mu_{att}$) SVM Chuẩn (Standard SVM) AD-SVM Free-range ($C_f = 0.1$) AD-SVM Free-range ($C_f = 0.5$) AD-SVM Restrained ($C_s=0.5, C_e=0.3$)
0.0 (Gốc) 92.45% 91.80% 90.15% 91.62%
0.2 78.30% 88.54% 88.90% 89.20%
0.4 68.32% 83.12% 85.40% 86.75%
0.6 60.08% 76.50% 81.25% 82.40%
0.8 57.56% 71.40% 77.80% 78.90%
1.0 (Cực đại) 53.20% 68.25% 74.60% 75.80%

[!IMPORTANT] Nhận xét hiệu năng trên Spambase: Khi cường độ tấn công đạt mức tối đa ($\mu_{att} = 1.0$), mô hình SVM chuẩn gần như mất khả năng phân loại khi độ chính xác giảm từ 92.45% xuống còn 53.20% (xấp xỉ phân loại ngẫu nhiên). Ngược lại, mô hình AD-SVM ($C_f = 0.5$) duy trì độ chính xác ở mức 74.60% (cao hơn 21.40% so với SVM chuẩn), chứng minh khả năng kháng nhiễu đối kháng vượt trội.

2. Kết quả trên tập dữ liệu Gian lận thẻ tín dụng (Credit Card Fraud - 284,807 giao dịch, 28 đặc trưng PCA)

Mức độ tấn công ($\mu_{att}$) Standard SVM (Baseline) AD-SVM Free-range ($C_f = 0.3$) AD-SVM Restrained ($C_s=0.7, C_e=0.5$)
0.0 (Không tấn công) 94.80% 93.90% 94.10%
0.3 71.20% 87.40% 89.15%
0.6 58.60% 81.50% 83.70%
1.0 (Tấn công tối đa) 49.80% 73.20% 76.40%

Đổi mới và đóng góp

  1. Mô hình hóa tường minh không gian biến đổi đối kháng: Khóa luận không sử dụng các phương pháp lọc nhiễu heuristic bề ngoài mà thiết lập công thức toán học chính xác cho hai biến thể tấn công thực tế: ngụy trang tự do (Free-range) và ngụy trang hạn chế (Restrained) phản ánh chi phí hy sinh tính độc hại của kẻ tấn công.
  2. Khắc phục triệt để độ phức tạp của bài toán song tuyến: Thay vì giải trực tiếp bài toán phi lồi NP-hard, giải pháp áp dụng nguyên lý đối ngẫu bất đối xứng (Asymmetric Duality) để chuyển đổi toàn bộ cấu trúc Minimax về bài toán quy hoạch lồi (Convex Quadratic Program), cho phép tìm điểm tối ưu toàn cục (Global Optimum).
  3. Cân bằng tối ưu giữa phòng thủ và phân loại thông thường:
    • Trong điều kiện an toàn ($\mu_{att} = 0$), AD-SVM chỉ suy giảm từ 0.6% - 1.5% độ chính xác so với SVM chuẩn.
    • Khi bị tấn công dồn dập ($\mu_{att} \ge 0.8$), AD-SVM mang lại hiệu suất phân loại cao hơn từ 21.4% đến 26.6% so với mô hình thông thường.
  4. Đóng góp học thuật: Đóng góp một khung nghiên cứu hoàn chỉnh, có khả năng tái lập (Reproducible Framework) trên nền tảng MATLAB/CVX cho các nghiên cứu tiếp theo về bảo mật mô hình học máy tại Việt Nam.

Ứng dụng thực tế và triển khai

Kịch bản ứng dụng trong thực tế

  • Cổng bảo mật thư điện tử doanh nghiệp (Secure Email Gateway): Triển khai AD-SVM tại tầng lọc tiền xử lý để phát hiện các email lừa đảo (Phishing) cố tình chèn các từ khóa tích cực ("Good Words Injection") nhằm làm loãng tần suất từ spam.
  • Hệ thống cảnh báo gian lận ngân hàng (Banking Anti-Fraud): Tích hợp vào quy trình chấm điểm giao dịch (Transaction Scoring Engine). Mô hình ngăn chặn tội phạm tài chính thực hiện các giao dịch nhỏ lẻ ngụy trang gần giống thói quen tiêu dùng thông thường của nạn nhân.

Yêu cầu triển khai và Vận hành

  • Môi trường: Server chạy Linux (Ubuntu 20.04 LTS trở lên) hoặc Windows Server, cài đặt C++ Optimization Library (như OSQP, MOSEK hoặc ECOS C-interface) để phục vụ suy luận thời gian thực với độ trễ $< 15\text{ms}$/giao dịch.
  • Hiệu quả đầu tư (ROI): Giảm thiểu tới 65% chi phí xử lý sự cố do gian lận trót lọt và tiết kiệm hàng trăm giờ lao động thủ công của đội ngũ phân tích bảo mật (SOC Team).

Hạn chế và hướng phát triển

Hạn chế kỹ thuật

  • Thời gian huấn luyện: Việc mở rộng ma trận đối ngẫu với $2 \times N \times d$ biến phụ trợ khiến thời gian huấn luyện của bộ giải quy hoạch lồi tăng theo hàm bậc hai của số lượng mẫu ($O(N^2 \cdot d)$), gây khó khăn khi huấn luyện trực tiếp trên tập dữ liệu hàng triệu dòng mà không qua lấy mẫu (Sampling).
  • Phạm vi hạt nhân (Kernel): Nghiên cứu hiện tại tập trung kiểm chứng sâu trên Linear Kernel. Khi ánh xạ qua các hàm nhân phi tuyến (RBF, Polynomial Kernel), việc biểu diễn miền đối kháng đòi hỏi xấp xỉ không gian Hilbert phức tạp hơn.

Hướng phát triển mở rộng

  1. Xây dựng thuật toán tối ưu xấp xỉ phân rã bậc một (First-order Stochastic Optimization) như Proximal Gradient Descent để huấn luyện trực tiếp mô hình AD-SVM trên tập dữ liệu Big Data.
  2. Mở rộng kiến trúc Minimax Defense sang các mô hình học sâu (Deep Neural Networks) bảo vệ mạng nơ-ron tích chập (CNN) và Transformer trước các vector tấn công đối kháng FGSM, PGD.

Đối tượng hưởng lợi

  • Sinh viên & Học viên ngành CNTT / ATTT: Cung cấp tài liệu tham khảo chuẩn mực về ứng dụng Lý thuyết trò chơi và Tối ưu hóa đối ngẫu trong An toàn thông tin học máy.
  • Kỹ sư AI & An ninh mạng (MLSecOps Engineers): Nắm bắt kỹ thuật làm cứng mô hình (Adversarial Hardening), phương pháp chuyển đổi thuật toán từ toán học sang mã nguồn MATLAB/Python thực thi.
  • Doanh nghiệp & Tổ chức tài chính: Tiếp cận giải pháp bảo vệ hệ thống phân loại tự động với chi phí thấp nhưng nâng cao năng lực chống chịu rủi ro tấn công mạng.
  • Nhà nghiên cứu (Researchers): Nền tảng thực nghiệm và bộ tham số thực chứng sẵn có để phát triển các biến thể học máy đối kháng thế hệ mới.

Câu hỏi thường gặp

1. Yêu cầu phần cứng và môi trường để triển khai mô hình AD-SVM là gì?

Hệ thống yêu cầu tối thiểu CPU 4 nhân (khuyến nghị Intel Core i5/i7 thế hệ 10 trở lên hoặc AMD Ryzen 5), 8GB RAM và cài đặt MATLAB R2020b+ cùng CVX Toolbox v2.2. Đối với môi trường Production, mô hình có thể xuất trọng số $(w^, b^)$ sang C++ hoặc Python để chạy suy luận trực tiếp mà không cần cài đặt lại môi trường giải toán tối ưu phức tạp.

2. Mô hình AD-SVM xử lý bài toán dữ liệu lớn (Big Data) như thế nào?

Do bộ giải quy hoạch lồi yêu cầu nhiều bộ nhớ cho biến đối ngẫu, giải pháp tối ưu cho dữ liệu lớn là áp dụng phương pháp phân cụm (Mini-batch Optimization) hoặc kết hợp kỹ thuật Undersampling đại diện để chọn lọc các vector hỗ trợ nòng cốt trước khi đưa vào mô hình hóa đối kháng.

3. Làm thế nào để tích hợp AD-SVM vào pipeline học máy hiện có?

Mô hình AD-SVM hoạt động như một bộ phân loại thay thế trực tiếp (Drop-in Replacement) cho Scikit-Learn SVM hoặc LibSVM. Đầu ra sau khi huấn luyện là vector trọng số $w \in \mathbb{R}^d$ và bias $b \in \mathbb{R}$, việc phân loại nhãn mẫu mới chỉ đơn giản là phép tính tích vô hướng $\text{sign}(w^T x + b)$ với thời gian thực thi cỡ micro-giây.

4. Chi phí duy trì và cập nhật mô hình có tốn kém không?

Chi phí vận hành rất thấp vì mô hình không đòi hỏi GPU đắt tiền trong quá trình suy luận. Việc cập nhật mô hình (Retraining) chỉ cần thực hiện định kỳ (ví dụ: hàng tuần hoặc hàng tháng) khi phân phối dữ liệu tấn công có sự thay đổi đáng kể về mặt thống kê.

5. Sự khác biệt cốt lõi giữa Free-range Attack và Restrained Attack là gì?

Tấn công Free-range giả định kẻ tấn công có quyền tự do thay đổi đặc trưng trong toàn bộ dải giá trị $[x^{min}, x^{max}]$, phù hợp cho kịch bản tấn công khốc liệt nhất. Tấn công Restrained giả định thực tế hơn: kẻ tấn công chỉ có thể dịch chuyển điểm dữ liệu độc hại về phía tâm dữ liệu lành tính trong một phạm vi giới hạn để tránh làm mất bản chất gây hại ban đầu.

Kết luận

Đề tài khóa luận đã giải quyết thành công bài toán phòng thủ cho mô hình học máy Support Vector Machine trước các phương thức tấn công ngụy trang dữ liệu tinh vi trong không gian mạng. Bằng việc kết hợp chặt chẽ giữa Lý thuyết trò chơi Minimax và Kỹ thuật tối ưu hóa đối ngẫu bất đối xứng, mô hình AD-SVM đề xuất đã chứng minh được tính vững chắc vượt trội trên cả hai tập dữ liệu Spambase và Credit Card Fraud, nâng cao độ chính xác phân loại thêm hơn 21% - 26% so với mô hình truyền thống trong điều kiện bị tấn công nghiêm trọng. Đây là tiền đề vững chắc cho việc ứng dụng các giải pháp học máy an toàn, tin cậy và bền bỉ trong các hệ thống an ninh mạng trọng yếu tương lai.