Bối cảnh và vấn đề nghiên cứu

Trong sự phát triển của cuộc Cách mạng Công nghiệp 4.0, Trí tuệ nhân tạo (AI), Học máy (Machine Learning) và Học sâu (Deep Learning) đã đạt được những bước tiến vượt bậc, thể hiện hiệu suất vượt trội trong nhiều tác vụ nhận thức phức tạp. Trong lĩnh vực thị giác máy tính, các kiến trúc Mạng nơ-ron tích chập (Convolutional Neural Networks - CNNs) đã trở thành công cụ nền tảng cho bài toán phân loại ảnh, nhận diện khuôn mặt và phân đoạn ngữ cảnh. Tuy nhiên, việc huấn luyện các mô hình học sâu đòi hỏi tập dữ liệu có kích thước lớn cùng hạ tầng tài nguyên tính toán khổng lồ.

Thực tế này dẫn đến xu hướng các cá nhân và tổ chức phải thuê hạ tầng tính toán từ bên thứ ba (như Google Cloud Virtual Machine, Microsoft Azure Batch AI, Amazon Web Services) hoặc áp dụng phương pháp học chuyển đổi (transfer learning / fine-tuning) từ các mô hình được huấn luyện sẵn (AlexNet, VGG, InceptionNet). Bối cảnh trên đã mở ra những lỗ hổng bảo mật nghiêm trọng trong chuỗi cung ứng mô hình học máy: bên thứ ba cung cấp dịch vụ huấn luyện hoặc phân phối mô hình hoàn toàn có thể can thiệp vào quá trình huấn luyện để cài cắm các lỗ hổng ẩn, được gọi là "cửa sau" (backdoor).

Mô hình chứa cửa sau hoạt động hoàn toàn bình thường và đạt độ chính xác cao trên các tập dữ liệu sạch, khiến người sử dụng không thể phát hiện thông qua các bài kiểm thử thông thường. Tuy nhiên, khi đầu vào xuất hiện một tín hiệu kích hoạt đặc biệt (gọi là mã cửa sau hay trigger), mô hình sẽ lập tức bị điều khiển để đưa ra dự đoán sai lệch về một nhãn mục tiêu do kẻ tấn công định trước. Mối đe dọa này gây ra hậu quả đặc biệt nghiêm trọng trong các hệ thống yêu cầu độ an toàn tuyệt đối, ví dụ như hệ thống nhận diện biển báo trên xe tự hành bị đánh lừa nhận diện biển báo dừng (Stop sign) thành biển báo hạn chế tốc độ hoặc tín hiệu đèn xanh.

Trước thực trạng đó, đồ án tốt nghiệp tập trung giải quyết các mục tiêu và nhiệm vụ nghiên cứu sau:

  1. Tổng quan hóa cơ sở lý thuyết về học sâu trong bài toán phân loại ảnh và phân tích toàn diện các nguy cơ an ninh bảo mật của mô hình nơ-ron.
  2. Hệ thống hóa các phương thức tấn công cửa sau kinh điển và các cơ chế phòng thủ cửa sau hiện đại (phòng thủ mô hình và phòng thủ hậu triển khai).
  3. Phân tích yếu điểm cốt lõi của các phương pháp tấn công cửa sau truyền thống: tính chất tĩnh và độc lập với nội dung ảnh đầu vào của trigger.
  4. Đề xuất phương pháp tấn công mới: "Tấn công cửa sau phụ thuộc đầu vào" (Input-Aware Dynamic Backdoor Attack) với mã kích hoạt được sinh động dựa trên nội dung ảnh, đảm bảo tính đa dạng và tính không trùng lặp.
  5. Thiết kế và thực hiện hệ thống thực nghiệm trên các bộ dữ liệu chuẩn để kiểm chứng hiệu quả tấn công, độ chính xác phân loại và khả năng vượt qua các thuật toán phòng thủ hiện hành.

Đối tượng và phạm vi nghiên cứu:

  • Đối tượng nghiên cứu: Các mô hình mạng nơ-ron học sâu phân loại ảnh (CNN tự thiết kế, Pre-activation ResNet-18), các kỹ thuật tiêm nhiễm cửa sau và các giải pháp phòng thủ (Neural Cleanse, Fine-pruning, STRIP, Februus).
  • Phạm vi dữ liệu và không gian thực nghiệm: Ba bộ dữ liệu tiêu chuẩn bao gồm MNIST (chữ số viết tay), CIFAR-10 (vật thể tổng quát) và GTSRB (biển báo giao thông Đức); khảo sát trên kịch bản tấn công đơn mục tiêu (one-to-one).
  • Phạm vi thời gian và nguồn gốc học thuật: Đồ án được hoàn thành vào tháng 06/2021 tại Viện Toán ứng dụng và Tin học - Trường Đại học Bách Khoa Hà Nội, được phát triển từ công trình nghiên cứu đã công bố tại Hội nghị quốc tế Advances in Neural Information Processing Systems (NeurIPS 2020).

Cơ sở lý thuyết và phương pháp

Đồ án xây dựng trên nền tảng toán học của lý thuyết tối ưu, xác suất thống kê và các mô hình học sâu phân lớp ảnh:

Khung lý thuyết và mô hình toán học

  • Bài toán phân loại ảnh: Một mô hình phân loại ảnh là một ánh xạ $f: \mathcal{X} \rightarrow \mathcal{C}$, trong đó $\mathcal{X}$ là không gian ảnh đầu vào và $\mathcal{C} = {c_1, c_2, \dots, c_M}$ là tập hợp gồm $M$ nhãn phân loại. Quá trình tối ưu tham số mô hình dựa trên tập dữ liệu huấn luyện $\mathcal{S} = {(x_i, y_i) \mid x_i \in \mathcal{X}, y_i \in \mathcal{C}, i = 1, \dots, N}$ thông qua hàm mất mát entropy chéo (cross entropy) và thuật toán lan truyền ngược (backpropagation).
  • Cơ chế tiêm nhiễm cửa sau: Mã cửa sau $t$ được biểu diễn dưới dạng một bộ $(m, p)$, trong đó $m$ là mặt nạ (mask, có giá trị trong đoạn $[0, 1]$) và $p$ là cò (pattern, có miền giá trị tương đồng với ảnh). Hàm tiêm nhiễm $B(x, t)$ biến đổi ảnh sạch $x$ thành ảnh chứa mã cửa sau $\hat{x}$: $$\hat{x} = B(x, t) = x \odot (1 - m) + p \odot m$$ Trong đó $\odot$ là phép nhân từng điểm ảnh (element-wise product). Mục tiêu huấn luyện của mô hình chứa cửa sau là thỏa mãn đồng thời: $f(x) = y$ với dữ liệu sạch và $f(\hat{x}) = \hat{y}$ với dữ liệu chứa trigger, trong đó $\hat{y}$ là nhãn mục tiêu.
  • Mô hình tấn công phụ thuộc đầu vào: Đồ án định nghĩa một bộ sinh mã $g: \mathcal{X} \rightarrow \mathcal{P}$ ánh xạ từ ảnh đầu vào $x$ sang mã kích hoạt tương ứng $t = g(x) = (m(x), p(x))$. Một phương pháp tấn công được định nghĩa là "phụ thuộc đầu vào chặt" (strict input-aware) khi thỏa mãn hai điều kiện:
    1. Tính đa dạng (Diversity): $\exists c > 0$ sao cho $\frac{|g(x_j) - g(x_i)|}{|x_j - x_i|} > c, \quad \forall i \neq j$.
    2. Tính không trùng lặp (Non-reusability): $f(B(x_i, g(x_j))) = y_i, \quad \forall i \neq j$.

Phương pháp nghiên cứu thực tế

  • Phương pháp nghiên cứu lý thuyết: Phân tích, tổng hợp và hệ thống hóa các tài liệu khoa học chuyên ngành về học máy, các kỹ thuật tấn công đối nghịch, tấn công cửa sau và các giải pháp an ninh mô hình.
  • Phương pháp thiết kế mô hình và thuật toán: Xây dựng kiến trúc mạng sinh mã $g$ theo mô hình AutoEncoder (Encoder-Decoder) kết hợp các khối tích chập, chuẩn hóa theo batch (BatchNorm) và hàm kích hoạt ReLU. Thiết lập hàm mục tiêu kết hợp hàm mất mát phân loại đa chế độ $L_{cla}$ và số hạng điều chuẩn duy trì tính đa dạng $L_{div} = \frac{|x - x'|}{|g(x) - g(x')|}$.
  • Phương pháp thực nghiệm định lượng: Triển khai huấn luyện đồng thời mạng phân loại $f$ và bộ sinh mã $g$ bằng các thuật toán tối ưu Gradient Descent ngẫu nhiên (SGD cho $f$) và Adam (cho $g$). Đánh giá định lượng hiệu suất trên tập kiểm tra sạch, tỷ lệ tấn công thành công trên tập có trigger và độ chính xác kiểm tra chéo (cross-test). Kiểm thử trực tiếp với các thuật toán phòng thủ tiên tiến.

Nguồn dữ liệu

Thực nghiệm sử dụng 3 bộ dữ liệu ảnh chuẩn:

  • MNIST: Gồm 60.000 ảnh huấn luyện và 10.000 ảnh kiểm tra chữ số viết tay từ 0 đến 9, kích thước $28 \times 28 \times 1$ (ảnh đơn sắc), 10 lớp nhãn.
  • CIFAR-10: Gồm 50.000 ảnh huấn luyện và 10.000 ảnh kiểm tra thuộc 10 lớp vật thể phổ quát, kích thước $32 \times 32 \times 3$ (ảnh màu RGB).
  • GTSRB (German Traffic Sign Recognition Benchmark): Bộ dữ liệu biển báo giao thông Đức gồm 39.252 ảnh huấn luyện thuộc 43 lớp biển báo, kích thước chuẩn hóa $32 \times 32 \times 3$.

Nội dung chính theo từng chương

Chương 1: Học Sâu Và Bài Toán Phân Loại Ảnh

Chương 1 khái quát lịch sử phát triển của học máy từ định lý Bayes (1763), phương pháp bình phương tối thiểu của Legendre (1805), xích Markov (1913), phép thử Turing (1950), chương trình chơi cờ đam của Arthur Samuel (1952), đến thuật toán sai phân tự động (1970) và thuật toán lan truyền ngược (Rumelhart et al., 1986). Tác giả phân loại học máy thành ba hướng tiếp cận chính: học có giám sát, học không giám sát và học tăng cường.

Về học sâu, chương trình bày sự tiến hóa từ mô hình nơ-ron của McCulloch-Pitts (1943), Perceptron của Rosenblatt (1957) trên máy tính IBM 704, ADELINE/MADELINE (1959), sự gián đoạn do kiến trúc Von Neumann và bước ngoặt tăng tốc tính toán bằng GPU vào năm 2009. Đối với bài toán phân loại ảnh, chương phân tích sự chuyển dịch từ trích xuất đặc trưng thủ công (SIFT, HOG, Haar-like kernels kết hợp SVM/AdaBoost) sang kiến trúc nơ-ron tích chập (CNN) với cơ chế học biểu diễn đầu-cuối (end-to-end training). Chương kết thúc bằng việc phân tích các thách thức hiện đại: thích nghi miền (domain adaptation), phân loại tập mở (open set classification) và các hiểm họa an ninh bảo mật như tấn công đối nghịch, tấn công cửa sau và tấn công suy luận thành viên.

Chương 2: Tấn Công Cửa Sau Trong Mạng Học Sâu Phân Loại Ảnh

Chương 2 định nghĩa tấn công cửa sau là hình thức tấn công diễn ra trong giai đoạn huấn luyện, trong đó kẻ tấn công can thiệp vào dữ liệu hoặc quy trình huấn luyện để cài cắm lỗ hổng. Tác giả tiến hành so sánh chi tiết giữa tấn công đối nghịch và tấn công cửa sau:

  • Tấn công đối nghịch: Thực hiện ở giai đoạn suy luận (mô hình đã huấn luyện xong), đòi hỏi thuật toán tối ưu hóa phức tạp và chi phí tính toán rất lớn cho từng mẫu đầu vào.
  • Tấn công cửa sau: Thực hiện ở giai đoạn huấn luyện, yêu cầu quyền kiểm soát dữ liệu/quá trình huấn luyện nhưng chi phí tạo mẫu độc hại ở giai đoạn suy luận là rất nhỏ.

Chương điểm lại lịch sử nghiên cứu từ BadNets (Gu et al., 2017), tấn công bằng tác nhân vật lý như kính mắt (Chen et al.), tấn công ở giai đoạn tinh chỉnh tham số fine-tuning (Liu et al., 2018), tấn công động (Salem et al., 2020) đến tấn công qua học chưng cất (distillation learning). Tác giả phân loại các kịch bản tấn công: một-sang-một (one-to-one), nhiều-sang-một (many-to-one), nhiều-sang-nhiều (many-to-many) và tất-cả-sang-một (all-to-one); đồng thời thiết lập hệ thống ký hiệu toán học chuẩn xác dùng xuyên suốt đồ án.

Chương 3: Các Phương Pháp Tấn công

Chương 3 phân tích sâu hai phương pháp tấn công điển hình:

  1. BadNets (Gu et al., 2017): Phương pháp tấn công kiểu mẫu dựa trên đầu độc dữ liệu. Tác giả trình bày chi tiết thuật toán đầu độc dữ liệu với tỷ lệ $p$, thay thế mẫu sạch bằng mẫu độc hại mang trigger tĩnh $t = (m, p)$ và nhãn mục tiêu $\hat{y}$. BadNets đạt tỷ lệ tấn công gần 100% nhưng có nhược điểm lớn là trigger cố định, dễ bị các công cụ phòng thủ phân tích phát hiện.
  2. Dynamic Backdoor Attacks (Salem et al., 2020): Phương pháp tấn công động sử dụng mạng sinh mã BaN (Backdoor Generating Network, lấy cảm hứng từ GAN) nhận đầu vào là vector ngẫu nhiên $z$ để sinh ra cò $p$ ngẫu nhiên, kết hợp với một mặt nạ $m$ chọn từ tập $\mathcal{M}$. Mặc dù phá vỡ tính tĩnh của trigger, phương pháp này đòi hỏi chi phí tính toán bổ sung và cò sinh ra không phụ thuộc trực tiếp vào đặc trưng ngữ nghĩa của từng bức ảnh.

Chương 4: Các Phương Pháp Phòng Thủ

Chương 4 hệ thống hóa các cơ chế phòng thủ backdoor hiện nay theo ba nhóm: phòng thủ huấn luyện (training defense), phòng thủ mô hình (model defense) và phòng thủ hậu triển khai (testing-time defense). Đồ án tập trung phân tích 4 thuật toán thuộc hai nhóm sau:

  • Neural Cleanse (Wang et al., 2019): Kỹ thuật phòng thủ mô hình dựa trên tối ưu hóa đảo ngược để tìm kiếm trigger có chuẩn mặt nạ $|m_{\hat{y}}|$ nhỏ nhất cho từng nhãn. Sau đó, thuật toán sử dụng chỉ số độ lệch tuyệt đối trung vị (Median Absolute Deviation - MAD) để tính chỉ số bất thường Anomaly Index: $$\text{AnomalyIndex} = \frac{\min({|m_{\hat{y}}|} - \text{med})}{\text{mad} \times 1.4826}$$ Nếu chỉ số này vượt quá ngưỡng $\tau = 2$, mô hình bị coi là có chứa cửa sau.
  • Fine-pruning (Liu et al., 2018): Kỹ thuật phòng thủ mô hình dựa trên phân tích nơ-ron. Phương pháp tiến hành đo tín hiệu kích hoạt trung bình của các nơ-ron ở lớp tích chập cuối cùng trên tập kiểm tra sạch và cắt tỉa dần các nơ-ron ít hoạt động nhằm loại bỏ hành vi cửa sau mà không làm suy giảm độ chính xác trên dữ liệu sạch.
  • STRIP (Gao et al., 2019): Kỹ thuật phòng thủ hậu triển khai. Thuật toán lấy ảnh cần kiểm tra $\hat{x}$ đè lên $n$ ảnh sạch ngẫu nhiên từ tập thử, sau đó đo entropy trung bình của phân phối xác suất dự đoán $f(\hat{x}')$. Nếu entropy trung bình nhỏ hơn ngưỡng 0.2, ảnh đầu vào bị kết luận là ảnh cửa sau.
  • Februus (Doan et al., 2019): Kỹ thuật sử dụng GradCAM để xác định vùng trực quan có trọng số kích hoạt cao nhất dẫn đến quyết định phân lớp, từ đó phát hiện vị trí trigger và dùng mạng GAN để tái tạo lại vùng ảnh bị tiêm nhiễm.

Chương 5: Tấn Công Cửa Sau Phụ Thuộc Đầu Vào

Chương 5 trình bày đóng góp trọng tâm của đồ án:

  • Điểm yếu của các phương pháp trước: Trigger tĩnh hoặc ngẫu nhiên không gắn liền với nội dung ảnh, dẫn đến việc tồn tại một mẫu chung dễ bị Neural Cleanse đảo ngược hoặc bị STRIP phát hiện do phản ứng bất biến với các phép chồng ảnh.
  • Kiến trúc bộ sinh mã $g$: Thiết kế theo mô hình Encoder-Decoder. Với ảnh đầu vào kích thước $28 \times 28$ hoặc $32 \times 32$, mạng sử dụng các khối tích chập ConvBlock (Conv2D $3 \times 3$, BatchNorm, ReLU; lớp cuối cùng không chứa ReLU) để xuất ra cặp $(m(x), p(x))$.
  • Ba chế độ huấn luyện (Training Modes):
    1. Chế độ tiêu chuẩn (Clean mode): Huấn luyện mô hình $f$ nhận diện đúng nhãn gốc $y$ với ảnh sạch $x$.
    2. Chế độ tấn công (Attack mode): Huấn luyện $f$ nhận diện nhãn mục tiêu $c$ khi đưa vào ảnh chứa trigger tương thích $B(x, g(x))$, kích hoạt với xác suất $\rho_b$.
    3. Chế độ chéo (Cross mode): Huấn luyện $f$ nhận diện đúng nhãn gốc $y$ khi đưa vào ảnh bị tiêm trigger không tương thích $B(x, g(x'))$ sinh từ ảnh $x' \neq x$, kích hoạt với xác suất $\rho_c$.
  • Hàm mục tiêu toàn phần: $$L_{total} = L_{cla} + \lambda_{div} L_{div}$$ Trong đó $L_{cla}$ là hàm mất mát phân loại tổng hợp từ 3 chế độ huấn luyện: $$L_{cla} = \mathbb{E} \left[ (1 - \rho_b - \rho_c) L(f(x), y) + \rho_b L(f(B(x, g(x))), c) + \rho_c L(f(B(x, g(x'))), y) \right]$$ và $L_{div} = \frac{|x - x'|}{|g(x) - g(x')|}$ là số hạng điều chuẩn ràng buộc tính đa dạng, ngăn chặn bộ sinh $g$ bị bão hòa về một trigger cố định.

Chương 6: Kết Luận Chung

Chương 6 tổng kết toàn bộ nội dung đồ án, khẳng định việc hoàn thành các mục tiêu nghiên cứu: xây dựng thành công cơ sở lý thuyết cho dạng tấn công cửa sau phụ thuộc đầu vào, triển khai thuật toán huấn luyện đồng thời bộ sinh mã và bộ phân loại, chứng minh tính hiệu quả vượt trội thông qua thực nghiệm và chỉ ra khả năng vượt qua các cơ chế phòng thủ hiện đại.

Kết quả và đóng góp

Cấu hình thực nghiệm và kiến trúc mô hình

Bộ dữ liệu Loại đối tượng Số nhãn Kích thước ảnh Số ảnh huấn luyện Kiến trúc mô hình phân loại $f$
MNIST Chữ số viết tay 10 $28 \times 28 \times 1$ 60.000 2 lớp tích chập (conv), 2 lớp tuyến tính (fc)
CIFAR-10 Vật thể tổng quát 10 $32 \times 32 \times 3$ 50.000 Pre-activation ResNet-18
GTSRB Biển báo giao thông 43 $32 \times 32 \times 3$ 39.252 Pre-activation ResNet-18

Tham số huấn luyện: Tối ưu $f$ bằng SGD, tối ưu $g$ bằng Adam; tốc độ học ban đầu 0.1 (giảm 10 lần sau mỗi 100 epoch); thiết lập trọng số $\lambda_{div} = 1$, xác suất tiêm nhiễm $\rho_b = 0.1$, xác suất kiểm tra chéo $\rho_c = 0.1$. Nhãn mục tiêu được gán: "0" đối với MNIST, "airplane" đối với CIFAR-10, và "speed-limit-20" đối với GTSRB.

Kết quả tấn công thực nghiệm

Bộ dữ liệu Độ chính xác ảnh sạch (Clean Acc) Tỷ lệ tấn công thành công (Attack Acc) Độ chính xác kiểm tra chéo (Cross Acc)
MNIST Chuẩn SOTA $\approx 100%$ Duy trì mức phân loại đúng cao
CIFAR-10 Chuẩn SOTA $\approx 100%$ Duy trì mức phân loại đúng cao
GTSRB Chuẩn SOTA $\approx 100%$ 88.80%

Kết quả kiểm thử phòng thủ

  1. Vượt qua Neural Cleanse: Do trigger $t(x)$ thay đổi liên tục theo từng ảnh đầu vào $x$, phương pháp tối ưu hóa mẫu tĩnh của Neural Cleanse không thể tìm ra một mặt nạ chung có chuẩn nhỏ bất thường. Chỉ số Anomaly Index thu được trên mô hình tấn công luôn nằm dưới ngưỡng phát hiện $\tau = 2$, khiến thuật toán phòng thủ nhận định sai rằng mô hình hoàn toàn sạch.
  2. Vượt qua Fine-pruning: Các nơ-ron kích hoạt cửa sau trong phương pháp đề xuất được tích hợp chặt chẽ với quá trình xử lý đặc trưng ảnh thông thường, khiến việc cắt tỉa nơ-ron không thể vô hiệu hóa cửa sau mà không làm sụp đổ độ chính xác chung của mô hình.

Đóng góp khoa học của đồ án

  • Thiết lập định nghĩa toán học hình thức và điều kiện chặt cho bài toán tấn công cửa sau phụ thuộc đầu vào (strict input-aware backdoor attack), bao gồm tính đa dạng và tính không trùng lặp.
  • Đề xuất giải pháp kiến trúc bộ sinh mã động dựa trên Encoder-Decoder cùng hàm mục tiêu điều chuẩn đa dạng $L_{div}$, giải quyết triệt để hiện tượng bão hòa mã kích hoạt.
  • Đề xuất quy trình huấn luyện 3 chế độ (tiêu chuẩn, tấn công, chéo) giúp trigger có tính bất đồng bộ (non-reusable) — trigger của ảnh này khi tiêm vào ảnh khác sẽ không làm thay đổi nhãn gốc.
  • Cung cấp kết quả thực nghiệm chứng minh sự mất hiệu lực của các cơ chế phòng thủ phổ biến (Neural Cleanse, Fine-pruning), đóng góp trực tiếp vào bài báo công bố tại hội nghị quốc tế NeurIPS 2020.

Hạn chế và hướng nghiên cứu tiếp

Hạn chế của nghiên cứu

  • Kịch bản tấn công: Thí nghiệm trong đồ án chủ yếu tập trung vào kịch bản tấn công đơn mục tiêu (one-to-one / all-to-one), chưa mở rộng đánh giá toàn diện trên các kịch bản phức tạp như nhiều-sang-nhiều (many-to-many).
  • Quy mô dữ liệu: Các thực nghiệm được tiến hành trên các tập dữ liệu có độ phân giải thấp ($28 \times 28$ và $32 \times 32$ pixel), chưa thử nghiệm trên các tập dữ liệu quy mô lớn với độ phân giải cao như ImageNet (1000 lớp).
  • Độ phức tạp tính toán: Quá trình huấn luyện đòi hỏi tối ưu hóa đồng thời hai mạng nơ-ron ($f$ và $g$) cùng việc tính toán khoảng cách mẫu trong hàm $L_{div}$, làm tăng thời gian và tài nguyên tính toán so với việc tiêm nhiễm trigger tĩnh đơn giản.

Hướng nghiên cứu tiếp theo

  • Mở rộng phương pháp tấn công sang các kịch bản đa mục tiêu phức tạp và đánh giá trên các kiến trúc mô hình thị giác máy tính hiện đại hơn (Vision Transformers, EfficientNet).
  • Nghiên cứu cơ chế tấn công phụ thuộc đầu vào trên các miền dữ liệu khác ngoài hình ảnh, như xử lý ngôn ngữ tự nhiên (văn bản) và xử lý âm thanh.
  • Phát triển các giải pháp phòng thủ mới có khả năng phát hiện các mẫu trigger biến thiên động dựa trên phân tích biểu diễn không gian ẩn hoặc kiểm tra tính nhất quán cục bộ của mạng nơ-ron.

Giá trị tham khảo

Đồ án là tài liệu tham khảo có giá trị học thuật và ứng dụng thực tiễn cao:

  • Đối tượng thụ hưởng:
    • Sinh viên, học viên cao học và nghiên cứu sinh chuyên ngành Toán Tin, Khoa học Máy tính, Trí tuệ Nhân tạo, An toàn Thông tin.
    • Các kỹ sư MLOps, chuyên gia bảo mật AI phụ trách kiểm định an toàn mô hình trước khi triển khai vào môi trường sản xuất.
  • Nội dung tham khảo giá trị:
    • Chương 1 đến Chương 4: Cung cấp bức tranh toàn cảnh, hệ thống hóa chặt chẽ về lý thuyết học sâu, cơ chế tấn công và toán học đằng sau các thuật toán phòng thủ nổi tiếng (Neural Cleanse, STRIP, Fine-pruning, Februus).
    • Chương 5: Cung cấp phương pháp luận chuẩn mực về thiết kế hàm mất mát tối ưu hóa đa mục tiêu, kỹ thuật huấn luyện mạng sinh kết hợp và quy trình thiết kế thực nghiệm bảo mật học máy đạt chuẩn công bố quốc tế.

Câu hỏi thường gặp

1. Tấn công cửa sau phụ thuộc đầu vào khác biệt bản chất như thế nào so với BadNets?

Trong phương pháp BadNets kinh điển, mã kích hoạt (trigger) là một bộ cố định $t = (m, p)$ được dán lên mọi bức ảnh đầu vào mà không quan tâm đến nội dung của ảnh đó. Ngược lại, phương pháp tấn công phụ thuộc đầu vào sử dụng một mạng sinh $g(x)$ để tạo ra cặp mặt nạ và cò riêng biệt $t(x) = (m(x), p(x))$ cho từng ảnh $x$. Mã kích hoạt này gắn liền duy nhất với đặc trưng của bức ảnh đó và không thể tái sử dụng trên ảnh khác.

2. Hàm mất mát $L_{div}$ đóng vai trò gì trong quá trình huấn luyện bộ sinh mã $g$?

Hàm điều chuẩn tính đa dạng $L_{div} = \frac{|x - x'|}{|g(x) - g(x')|}$ là điều kiện bắt buộc nhằm ngăn chặn hiện tượng bộ sinh mã $g$ bị bão hòa. Nếu không có số hạng này, mạng $g$ sẽ có xu hướng tối ưu về việc sinh ra một trigger tĩnh duy nhất cho mọi đầu vào. $L_{div}$ ép buộc khoảng cách giữa hai trigger sinh ra phải tỷ lệ thuận với khoảng cách giữa hai ảnh gốc, đảm bảo tính đa dạng của không gian mã cửa sau.

3. Tại sao cơ chế kiểm tra chéo (Cross mode) lại cần thiết trong thuật toán đề xuất?

Chế độ huấn luyện chéo nhằm đảm bảo tính không trùng lặp (non-reusability) của mã cửa sau. Khi lấy trigger $t'$ sinh ra từ ảnh $x'$ đem tiêm vào ảnh $x$ ($B(x, t')$), mô hình $f$ được tối ưu để vẫn nhận diện đúng nhãn gốc $y$ của $x$. Điều này làm cho trigger trở nên bất đồng bộ: chỉ có trigger sinh đúng từ ảnh $x$ mới có khả năng kích hoạt cửa sau trên ảnh $x$.

4. Nguyên nhân nào khiến phương pháp phòng thủ Neural Cleanse thất bại trước dạng tấn công này?

Neural Cleanse hoạt động dựa trên giả định rằng kẻ tấn công sử dụng một trigger tĩnh chung cho toàn bộ một lớp nhãn, do đó thuật toán cố gắng tối ưu hóa ngược để tìm ra một mặt nạ $m$ kích thước nhỏ nhất có thể kích hoạt sai lệch trên mọi ảnh. Do phương pháp đề xuất tạo ra trigger biến thiên theo từng ảnh, không tồn tại một trigger tĩnh toàn cục nào để Neural Cleanse có thể khôi phục, dẫn đến chỉ số Anomaly Index luôn nằm dưới ngưỡng phát hiện ($\tau < 2$).

Kết luận

Đồ án tốt nghiệp của sinh viên Nguyễn Tuấn Anh đã giải quyết thấu đáo vấn đề bảo mật trong mạng học sâu phân loại ảnh thông qua việc đề xuất phương pháp tấn công cửa sau động phụ thuộc đầu vào (Input-Aware Dynamic Backdoor Attack). Bằng cách kết hợp mạng sinh mã Encoder-Decoder, hàm mục tiêu ràng buộc tính đa dạng và cơ chế huấn luyện kiểm tra chéo, nghiên cứu đã khắc phục triệt để điểm yếu của các phương pháp trigger tĩnh truyền thống. Kết quả thực nghiệm trên các bộ dữ liệu MNIST, CIFAR-10 và GTSRB đã chứng minh phương pháp đạt tỷ lệ tấn công thành công xấp xỉ 100% trong khi vô hiệu hóa hoàn toàn các cơ chế phòng thủ hiện đại như Neural Cleanse và Fine-pruning. Công trình không chỉ khẳng định năng lực nghiên cứu xuất sắc của tác giả mà còn đóng góp một nghiên cứu giá trị, đặt nền móng cho việc xây dựng các giải pháp phòng thủ AI thế hệ mới.