Luận văn về các phương pháp đảm bảo tính chắc chắn cho mô hình học sâu

Khám phá các phương pháp đảm bảo tính chắc chắn cho mô hình học sâu, từ đó nâng cao độ tin cậy và hiệu suất trong ứng dụng thực tế.

• Tác giả: Nguyễn Đức Anh
• Người hướng dẫn: PGS. Phạm Ngọc Hùng
• Trường học: Đại học Quốc gia Hà Nội
• Chuyên ngành: Kỹ thuật phần mềm
• Đề tài: Phương Pháp Đảm Bảo Tính Chắc Chắn Trong Mô Hình Học Sâu
• Loại tài liệu: luận án tiến sĩ
• Năm xuất bản: 2024
• Địa điểm: Hà Nội

Mục lục chi tiết

• LỜI CAM ĐOAN
• LỜI CẢM ƠN
• TÓM TẮT
• 1. CHƯƠNG 1: MỤC TIÊU VÀ PHẠM VI NGHIÊN CỨU
• 1.1. Các đóng góp chính của luận án và mối quan hệ
• 1.2. Cây nghiên cứu
• 1.3. Bố cục các chương trong luận án
• 1.4. Kiến thức nền tảng
• 1.4.1. Mạng học sâu cho bài toán phân loại ảnh
• 1.4.2. Mạng học sâu
• 1.4.3. Mạng nơ-ron truyền thẳng
• 1.4.4. Mạng tích chập
• 1.4.5. Xây dựng mô hình học sâu cho bài toán phân loại ảnh
• 1.4.5.1. Mạng mã hóa tự động
• 1.4.5.2. Mạng mã hóa tự động thưa
• 1.4.5.3. Mạng mã hóa tự động xếp chồng
• 1.4.5.4. Mạng mã hóa tự động tích chập xếp chồng
• 1.4.6. Tấn công đối kháng
• 1.4.6.1. Hai loại tấn công đối kháng phổ biến
• 1.4.7. Tính chắc chắn
• 1.4.8. Phân loại ảnh
• 1.4.9. Tính chất nhiễu
• 1.4.10. Đánh giá tính chắc chắn của mô hình học sâu
• 1.4.11. Các phương pháp tấn công đối kháng không định hướng
• 1.4.12. Các phương pháp tấn công đối kháng có định hướng
• 1.4.13. Các phương pháp phòng thủ sử dụng mô hình mã hóa tự động
• 1.4.13.1. Phương pháp PuVAE
• 1.4.13.2. Phương pháp MagNet
• 1.4.13.3. Phương pháp Defense-VAE
• 1.4.14. Tỉ lệ phát hiện để đánh giá chất lượng mô hình mã hóa tự động phòng thủ
• 1.4.15. Các bộ dữ liệu sử dụng trong thực nghiệm
• 1.4.16. Bộ giải SMT
• 1.5. Tóm tắt chương
• 3. CHƯƠNG 3: PHƯƠNG PHÁP SỬ DỤNG BỘ GIẢI PHỎNG ĐOÁN ĐỂ TẤN CÔNG ĐỐI KHÁNG KHÔNG ĐỊNH HƯỚNG MÔ HÌNH NƠ-RON TRUYỀN THẲNG
• 3.1. Các nghiên cứu liên quan
• 3.2. Phương pháp HA4FNN
• 3.3. Sinh mã nguồn từ mô hình & Chèn câu lệnh đánh dấu
• 3.4. Thực thi tượng trưng
• 3.5. Bộ giải phỏng đoán
• 3.6. Tóm tắt chương
• 4. CHƯƠNG 4: PHƯƠNG PHÁP SỬ DỤNG MÔ HÌNH MÃ HÓA TỰ ĐỘNG ĐỂ TẤN CÔNG ĐỐI KHÁNG CÓ ĐỊNH HƯỚNG MÔ HÌNH TÍCH CHẬP
• 4.1. Các nghiên cứu liên quan
• 4.2. Phương pháp Pattern Attack
• 4.3. ATN khái quát
• 4.4. Cải thiện chất lượng ảnh đối kháng
• 4.5. Tóm tắt chương
• 5. CHƯƠNG 5: PHƯƠNG PHÁP SỬ DỤNG MÔ HÌNH MÃ HÓA TỰ ĐỘNG KẾT HỢP THUẬT TOÁN THAM LAM ĐỂ CẢI THIỆN CHẤT LƯỢNG ẢNH ĐỐI KHÁNG
• 5.1. Các nghiên cứu liên quan
• 5.2. Phương pháp QI4AE
• 5.3. Pha xây dựng
• 5.4. Pha cải thiện
• 5.5. Tóm tắt chương
• 6. CHƯƠNG 6: PHƯƠNG PHÁP SỬ DỤNG MÔ HÌNH MÃ HÓA TỰ ĐỘNG ĐỂ CẢI THIỆN TÍNH CHẮC CHẮN CỦA MÔ HÌNH TÍCH CHẬP
• 6.1. Các nghiên cứu liên quan
• 6.2. Phương pháp SCADefender
• 6.3. Sinh tập ảnh đối kháng
• 6.4. Xây dựng mô hình mã hóa tự động
• 6.5. Tóm tắt chương
• DANH SÁCH HÌNH VẼ
• DANH SÁCH BẢNG
• THUẬT NGỮ VÀ TỪ VIẾT TẮT
• DANH MỤC KÝ HIỆU

Tóm tắt

I. Giới thiệu về mô hình học sâu

Mô hình học sâu, được phát triển từ mạng nơ-ron, đã trở thành một công cụ mạnh mẽ trong nhiều lĩnh vực như phân loại ảnh, nhận diện đối tượng và xử lý ngôn ngữ tự nhiên. Học sâu không chỉ giúp mô hình đạt được độ chính xác cao mà còn mở rộng khả năng nhận diện các mẫu phức tạp trong dữ liệu. Tuy nhiên, với sự phát triển này, vấn đề tính chắc chắn của mô hình học sâu cũng trở nên cấp thiết. Tính chắc chắn đề cập đến khả năng của mô hình trong việc duy trì độ chính xác khi phải đối mặt với nhiễu đối kháng. Nhiễu đối kháng có thể được thêm vào ảnh dự đoán đúng, dẫn đến việc mô hình nhận diện sai. Các nghiên cứu trước đây đã chỉ ra rằng nhiều mô hình học sâu có thể bị tấn công dễ dàng thông qua việc thêm nhiễu này, điều này làm giảm đáng kể độ tin cậy của chúng trong các ứng dụng thực tế.

II. Đánh giá tính chắc chắn của mô hình học sâu

Để đánh giá tính chắc chắn của mô hình học sâu, có nhiều phương pháp khác nhau đã được đề xuất. Một trong những phương pháp phổ biến là sử dụng các chỉ số như độ chính xác, độ chuẩn xác và điểm số F1 để đo lường hiệu suất của mô hình. Tuy nhiên, các chỉ số này không hoàn toàn phản ánh khả năng của mô hình trong việc chống lại các tấn công đối kháng. Do đó, việc phát triển các phương pháp đánh giá mới, như sử dụng phương pháp kiểm tra hộp đen và hộp trắng, là rất cần thiết. Các phương pháp này không chỉ giúp nhận diện được các điểm yếu của mô hình mà còn cung cấp cái nhìn sâu sắc hơn về cách mà mô hình phản ứng với các nhiễu đối kháng. Việc cải thiện tính chắc chắn của mô hình không chỉ nâng cao độ tin cậy mà còn mở rộng khả năng ứng dụng của chúng trong các lĩnh vực nhạy cảm như an ninh mạng và nhận diện khuôn mặt.

III. Các phương pháp cải thiện tính chắc chắn

Luận án này đề xuất một số phương pháp nhằm nâng cao tính chắc chắn cho mô hình học sâu, bao gồm phương pháp HA4FNN, PatternAttack, QI4AE và SCADefender. Mỗi phương pháp đều có những ưu điểm riêng. Phương pháp HA4FNN sử dụng bộ giải phỏng đoán để cải thiện hiệu suất kiểm thử cho mô hình nơ-ron truyền thẳng. Trong khi đó, PatternAttack tập trung vào việc tạo ra các ảnh đối kháng với tính đa dạng cao hơn, từ đó cải thiện chất lượng ảnh đối kháng. Phương pháp QI4AE kết hợp thuật toán tham lam và mô hình mã hóa tự động nhằm nâng cao chất lượng ảnh đối kháng. Cuối cùng, SCADefender giúp loại bỏ nhiễu đối kháng từ ảnh đối kháng, từ đó cải thiện tính chắc chắn của mô hình. Các phương pháp này không chỉ có ý nghĩa lý thuyết mà còn có thể được áp dụng thực tế, đặc biệt trong các hệ thống yêu cầu cao về độ tin cậy.

IV. Kết luận và hướng phát triển

Tính chắc chắn trong mô hình học sâu là một chủ đề nghiên cứu quan trọng, đặc biệt trong bối cảnh các tấn công đối kháng ngày càng tinh vi. Các phương pháp được đề xuất trong luận án này không chỉ giúp cải thiện tính chắc chắn mà còn mở ra hướng nghiên cứu mới cho các mô hình học sâu trong tương lai. Việc áp dụng các công cụ và phương pháp này trong thực tế sẽ giúp nâng cao độ tin cậy của các ứng dụng học sâu, đồng thời tạo ra cơ hội mới cho việc phát triển các giải pháp an toàn hơn trong lĩnh vực công nghệ thông tin. Hướng phát triển tiếp theo có thể bao gồm việc mở rộng các phương pháp này cho các loại mô hình học sâu khác và nghiên cứu sâu hơn về các tấn công đối kháng mới.

Trích đoạn nội dung tài liệu

Chương 1 Giới thiệu 1. Đặt vấn đê Sự ra đời của học sâu được coi là một cuộc cách mạng trong thê kỉ 21 [31]. Tư tưởng cho sự ra đời học sâu là mô phỏng quá trình học của não người từ dừ liệu. Kết quả mô phỏng này được biểu diễn bởi mạng học sâu.

Mạng học sâu có nhiều tầng gồm tầng đầu vào, các tầng ẩn và tầng đầu ra [2, 31, 81, 114]. Nhiều mạng học sâu đã được đề xuất như mạng nơ-ron truyền thẳng, mạng tích chập, v. Mô hình học sâu là kết quả khi học mạng học sâu từ bộ dữ liệu. Nhiều nghiên cứu đã cho thấy học sâu đạt được kết quả tương đương hoặc tốt hơn con người trong nhiều bài toán như phân loại ảnh [1], nhận dạng đối tượng [60], nhận dạng khuôn mặt [101], xử lý ngôn ngữ tự nhiên [72], xe tự lái [64, 70], phát hiện mã độc [98, 111] và chăm sóc sức khoe [58, 116], v.

Đối tượng nghiên cứu của luận án là các mô hình học sâu phân loại ảnh. Với đầu vào là tập học gồm các ảnh và nhãn tương ứng, lập trình viên sẽ định nghĩa kiến trúc mô hình học sâu cần học, rồi chọn các siêu tham số phù hợp như tốc độ học, số lần lặp, v. để xây dựng mô hình. Đe đánh giá chất lượng mô hình học sâu, các độ đo được sử dụng phổ biến gồm độ chính xác, độ chuẩn xác và điềm số F1 [67].

Tuy nhiên, dù mô hình học sâu phân loại ảnh đạt được kết quả tốt với các độ đo nêu trên, mô hình học sâu vẫn có thể có tính chắc chắn chưa đủ tốt [5, 13, 32, 78, 90, 100]. Tính chắc chắn cùa mô hinh học sâu là khả năng mô hình nhận diện được chính xác nhãn của ảnh đầu vào khi ảnh này được 1 thêm nhiễu đối kháng. Khái niệm nhiễu đối kháng và tính chắc chắn lần lượt được mô tả ở Định nghĩa 1 và Định nghĩa 2. Quá trình kẻ tấn công cố tình thêm nhiễu đối kháng vào ảnh đã dự đoán đúng để đánh lừa mô hình gọi là tấn công đối kháng.

Ảnh trước khi thêm nhiễu đối kháng và được dự đoán đúng bởi mô hình học sâu gọi là ảnh dự đoán đúng. Ảnh sau khi thêm nhiễu đối kháng gọi là ảnh đối kháng. Trong đó, nhiễu đối kháng được tính dựa trên những điếm ảnh khác nhau giữa ảnh dự đoán đúng và ảnh đối kháng. Đẻ đánh giá được tính chắc chắn của mô hình học sâu, có hai hướng nghiên cứu chính gồm chứng minh tính chắc chắn của mô hình học sâu và sinh ảnh đối kháng.

Đối với hướng chứng minh tính chắc chắn, ba hướng nghiên cứu con sừ dụng phổ biến gồm sừ dụng bộ giải SMT-Solver [23, 45], sử dụng kĩ thuật làm mịn mức trừu tượng [24, 102, 103] và kĩ thuật giải thích mức trừu tượng [29, 85, 86]. Nhược điểm ba hướng này là không hỗ trợ tốt cho mô hình học sâu phức tạp [115]. Đối với hướng sinh ảnh đối kháng, các phương pháp theo hướng này sinh các ảnh đối kháng và coi đó là bằng chứng thể hiện tính chác chắn cùa mô hình học sâu. Ưu điểm của hướng này là dề dàng áp dụng cho các mô hình học sâu phức tạp nên được sử dụng phố biến.

Các nghiên cứu tiêu biểu theo hướng này có thể kể đến cw [13], ATN [5], L-BFGS [92], DeepFool [68], BIS [78], Ml-FGSM [21], PGD [62], v. Theo hướng sinh ảnh đối kháng, hai tiêu chí phổ biến để đánh giá chất lượng phương pháp tấn công đối kháng gồm chất lượng ảnh đối kháng và tỉ lệ thành công [54]. Công thức đánh giá chất lượng ảnh đối kháng có hai đầu vào chính gồm ảnh dự đoán đúng và ảnh đối kháng tương ứng. Các công thức phố biến là sử dụng độ đo khoảng cách Lp, độ đo cấu trúc như SS1M [105] và các độ đo khác như PSNR [41].

Đối với tỉ lệ thành công, tiêu chí này thể hiện tỉ lệ ảnh dự đoán đúng được thêm nhiều đối kháng thành công để sinh ảnh đối kháng. Nếu tỉ lệ thành công là 100% thì tất cả ảnh dự đoán đúng đều được thêm nhiễu đối 2 kháng thành công để mô hình kiếm thử nhận diện sai. Một trong những mục tiêu chính của các phương pháp tấn công đối kháng theo hướng này là sinh ảnh đối kháng với tỉ lệ thành công cao nhất có thể. Hai hướng chính đề sinh ảnh đối kháng là kiểm thừ hộp đen và kiểm thử hộp trắng [9, 114].

Trong kiểm thử hộp đen, kiểm thử viên giả định rằng họ không biết được kiến trúc và trọng số của mô hình kiểm thử. Kẻ tấn công chỉ có thể truy vấn mô hình kiểm thử thông qua API để lấy kết quả trả về. Kết quả trả về có thể là nhàn dự đoán hoặc véc tơ xác suất của từng nhãn. Trong kiểm thử hộp trắng, kiểm thử viên có thể truy cập kiến trúc và trọng số của mô hình kiểm thừ.

Chi phí của kiểm thử hộp trắng thường cao hon hộp đen do thường phải tính toán đạo hàm hàm mục tiêu của mô hình kiềm thử. Do kiếm thử viên biết được kiến trúc mô hình nên tỉ lệ thành công của kiểm thử hộp trắng thường cao hơn so với kiếm thử hộp đen. Trong hướng kiểm thử hộp trắng, tấn công đối kháng có hai hướng chính gồm tấn công đối kháng có định hướng và tấn công đối kháng không định hướng [1]. Điểm chung của hai hướng này là thực hiện thêm nhiễu đối kháng vào ảnh dự đoán đúng để sinh ảnh đối kháng có nhãn khác nhăn của ảnh dự đoán đúng.

Điểm khác biệt chính giữa hai hướng này là nhãn của ảnh đối kháng. Trong tấn công đối kháng có định hướng, nhãn của ảnh đối kháng cần giống nhãn đích, trong đó nhãn đích được định nghĩa trước khi tấn công. Ví dụ, xét ảnh số chín trong bộ dữ liệu MNIST [56], mô hình kiểm thử nhận diện chính xác nhãn của ảnh này. Kiếm thử viên chọn một nhãn bất kì khác nhãn số chín trong tập nhãn này, ví dụ nhãn số một.

Sau đó, tấn công đối kháng có định hướng sẽ tìm cách thêm nhiễu đối kháng vào ảnh dự đoán đúng để sinh một ảnh đối kháng. Trong đó, mô hình kiểm thử nhận diện ảnh đối kháng này có nhãn số một. Trong tấn công đối kháng không định hướng, nhãn của ảnh đối kháng có thề là bất kì nhãn nào ngoại trừ nhãn của ảnh dự đoán đúng. Hướng tấn công đối kháng không định hướng cho mô hình nơ-ron truyền thẳng sử dụng thực thi tượng trưng được đề xuất lần đầu tiên trong DeepCheck [33].

Tuy nhiên, thực nghiệm cho thấy phương pháp này có tỉ lệ thành cồng và hiệu năng chưa đù tốt. Tư tưởng chính của DeepCheck là biến đồi mô hình nơ-ron truyền thẳng thành mã nguồn c. Sau đó, ảnh dự đoán đúng được chuyển thành đầu vào để thực thi trên mã nguồn này. Kết quả thực thi ảnh dự đoán đúng này 3 là một đường thi hành.

Kê tiêp, kĩ thuật thực thi tượng trưng được áp dụng trên đường thi hành này để sinh hệ ràng buộc và sử dụng bộ giải SMT để giải hệ ràng buộc. Nghiệm của hệ ràng buộc tương ứng với ảnh đối kháng và phải có cùng trạng thái kích hoạt nơ-ron với ảnh dự đoán đúng. Nguyên nhân của tỉ lệ thành công và hiệu năng thấp là do DeepCheck sử dụng bộ giải SMT và yêu cầu trạng thái kích hoạt nơ-ron cùa ảnh đối kháng phải giống ảnh dự đoán đúng. Đối với hệ ràng buộc phức tạp, bộ giải SMT có thể tốn chi phí tính toán khá lớn đế tìm nghiệm.

Yêu cầu trạng thái kích hoạt nơ-ron của ảnh đối kháng phải giống ảnh dự đoán đúng sẽ làm giảm vùng không gian thêm nhiễu đối kháng vào ảnh dự đoán đúng để sinh ảnh đối kháng. Trong thực tế, một ảnh dự đoán đúng có nhiều cách thêm nhiễu đối kháng để đạt được mục đích tấn công, mà ảnh đối kháng tương ứng có thể không cùng trạng thái kích hoạt nơ-ron với ảnh dự đoán đúng. Trong hướng tấn công đối kháng có định hướng cho mô hình học sâu, nhiều phương pháp đã đề xuất thiếu tính khái quát hóa. Tính khái quát hóa là khả nãng một phương pháp có thề học được cách thêm nhiễu đối kháng vào ảnh dự đoán đúng để sinh ảnh đối kháng và áp dụng tri thức này để thêm nhiễu đối kháng vào ảnh đầu vào mới trong tương lai [51.

Các phương pháp tiêu biểu thiếu tính khái quát hóa có thể kể đến FGSM [32], cw [13], BIM [78], L-BFGS [92], DeepFool [68], MI-FGSM [21], DeepExplore [74], v. Cụ thể, các phương pháp này sẽ thêm nhiễu đối kháng vào ảnh dự đoán đúng một cách độc lập đề sinh ảnh đối kháng. Để giải quyết vấn đề thiếu tính khái quát hóa của các phương pháp này, ATN [5] đã được đề xuất để thêm nhiễu đối kháng vào ảnh dự đoán đúng theo độ đo khoảng cách L2. Tư tưởng của ATN là xây dựng mô hình mã hóa tự động để chuyển ảnh dự đoán đúng thành ảnh đối kháng.

Sau khi xây dựng xong mô hình mà hóa tự động, ATN có thể thêm nhiễu đối kháng vào ảnh dự đoán đúng đề sinh ảnh đối kháng với chi phí thấp. Tuy nhiên, ảnh đối kháng sinh bởi ATN gặp hai vấn đề gồm chất lượng ảnh đối kháng và tính đa dạng của ảnh đối kháng. Đối với vấn đề chất lượng, ảnh đối kháng sinh bởi ATN thường có nhiều nhiễu dư thừa. Nếu loại bở những nhiễu này khởi ảnh đối kháng, chất lượng ảnh đối kháng theo độ đo L2 tăng lên.

Đối với vấn đề tính đa dạng của ảnh đối kháng, ATN thường thêm nhiễu đối kháng vào mọi điểm ảnh. Nếu kiểm thử viên muốn đánh giá tính chắc chắn bằng cách thêm nhiễu vào các điểm ảnh thuộc vùng biên đối tượng hoặc vùng nền thì ATN không hồ trợ. 4 Sau khi đã hiểu được bản chất của các phương pháp tấn công đối kháng, nhiệm vụ kế tiếp là chống lại các cuộc tấn công như vậy. Đây là bài toán cải thiện tính chắc chắn.

Các hướng cải thiện tính chắc chắn phổ biến gồm (i) xây dựng lại mô hình kiểm thử [32, 53, 62, 77], (ii) xây dựng một mô hình phân lớp để nhận diện ảnh dự đoán đúng và ảnh đối kháng [38, 66, 104] và (iii) loại bỏ nhiễu đối kháng khỏi ảnh đầu vào [42, 57, 66, 109]. Trong cách tiếp cận (ỉii), ảnh đầu vào được đi qua một mô hình loại bỏ nhiều đối kháng, ví dụ như mô hình mã hóa tự động. Ảnh sau khi loại bỏ nhiễu đối kháng sẽ được đẩy vào mô hình kiểm thử để lấy kết quả. Ưu điểm của cách tiếp cận này là mô hình mã hóa tự động loại bỏ nhiễu đối kháng có thể được xây dựng từ trước.