ऑप्टिकल एडवर्सेरियल अटैक रोड साइन के अर्थ को बदल सकता है

यूएस में शोधकर्ताओं ने मशीन लर्निंग सिस्टम की क्षमता के खिलाफ एक एडवर्सेरियल अटैक विकसित किया है जो सही ढंग से व्याख्या कर सकता है कि वे क्या देखते हैं – जिसमें मिशन-क्रिटिकल आइटम जैसे रोड साइन शामिल हैं – वास्तविक दुनिया की वस्तुओं पर पैटर्न वाले प्रकाश को चमकाकर। एक प्रयोग में, इस दृष्टिकोण ने ‘स्टॉप’ रोडसाइड साइन के अर्थ को ’30mph’ स्पीड लिमिट साइन में बदलने में सफलता प्राप्त की।

प्रतिबिंबों पर एक साइन, जो एक मशीन लर्निंग सिस्टम में इसकी व्याख्या को विकृत करता है। स्रोत: https://arxiv.org/pdf/2108.06247.pdf

इस शोध का शीर्षक ऑप्टिकल एडवर्सेरियल अटैक है, और यह इंडियाना में पुर्ड्यू विश्वविद्यालय से आया है।

एक ओपीथल एडवर्सेरियल अटैक (ओपीएडी), जैसा कि पेपर में प्रस्तावित है, संरचित प्रकाश व्यवस्था का उपयोग करके लक्ष्य वस्तुओं की उपस्थिति को बदलने के लिए किया जाता है, और इसके लिए केवल एक कमोडिटी प्रोजेक्टर, एक कैमरा और एक कंप्यूटर की आवश्यकता होती है। शोधकर्ताओं ने सफलतापूर्वक इस तकनीक का उपयोग करके व्हाइट बॉक्स और ब्लैक बॉक्स दोनों हमलों को अंजाम दिया।

ओपीएडी सेटअप, और मानव द्वारा कम से कम ध्यान देने योग्य विकृतियाँ जो एक मिस्क्लासिफिकेशन का कारण बनती हैं।

ओपीएडी सेटअप में एक व्यूसोनिक 3600 लुमेन्स एसवीजीए प्रोजेक्टर, एक कैनन टी6आई कैमरा और एक लैपटॉप कंप्यूटर शामिल हैं।

ब्लैक बॉक्स और लक्षित हमले

व्हाइट बॉक्स हमले असंभावित परिदृश्य हैं जहां एक हमलावर को सीधे प्रशिक्षण मॉडल प्रक्रिया या इनपुट डेटा के शासन तक पहुंच प्राप्त हो सकती है। ब्लैक बॉक्स हमले, इसके विपरीत, आमतौर पर मशीन लर्निंग की संरचना का अनुमान लगाकर या कम से कम इसके व्यवहार को बनाकर, ‘शैडो’ मॉडल बनाकर और मूल मॉडल पर काम करने के लिए डिज़ाइन किए गए एडवर्सेरियल हमलों को विकसित करके बनाए जाते हैं।

यहाँ हम क्लासिफायर को धोखा देने के लिए आवश्यक दृश्य विकृति की मात्रा देख सकते हैं।

बाद के मामले में, विशेष पहुंच की आवश्यकता नहीं है, हालांकि ऐसे हमले वर्तमान शैक्षणिक और व्यावसायिक अनुसंधान में खुले स्रोत कंप्यूटर दृष्टि पुस्तकालयों और डेटाबेस की सर्वव्यापकता से बहुत मदद प्राप्त करते हैं।

ओपीएडी में वर्णित सभी हमले ‘लक्षित’ हमले हैं, जो विशिष्ट वस्तुओं की व्याख्या को बदलने का प्रयास करते हैं। हालांकि प्रणाली ने सामान्यीकृत, अमूर्त हमलों को प्राप्त करने में भी सक्षम होने का प्रदर्शन किया है, शोधकर्ता तर्क देते हैं कि एक वास्तविक दुनिया के हमलावर के पास एक अधिक विशिष्ट विघटनकारी उद्देश्य होगा।

ओपीएडी हमला कंप्यूटर दृष्टि प्रणालियों में उपयोग की जाने वाली छवियों में शोर को इंजेक्ट करने के सिद्धांत का एक वास्तविक दुनिया का संस्करण है। इस दृष्टिकोण का मूल्य यह है कि किसी को केवल लक्ष्य वस्तु पर विकृतियों को ‘प्रोजेक्ट’ करने की आवश्यकता होती है ताकि मिस्क्लासिफिकेशन को ट्रिगर किया जा सके, जबकि ‘ट्रोजन हॉर्स’ छवियों को प्रशिक्षण प्रक्रिया में समाप्त करना अधिक कठिन है।

उस मामले में जहां ओपीएडी ‘स्टॉप’ साइन पर ‘स्पीड 30’ छवि के हैश्ड अर्थ को लागू करने में सक्षम था, बेसलाइन छवि 140/255 तीव्रता पर वस्तु को समान रूप से प्रकाशित करके प्राप्त की गई थी। फिर प्रोजेक्टर-मुआवजे वाली प्रकाश व्यवस्था को परियोजना के रूप में ग्रेडिएंट डिसेंट हमले के रूप में लागू किया गया था।

ओपीएडी मिस्क्लासिफिकेशन हमलों के उदाहरण।

शोधकर्ताओं का निरीक्षण है कि परियोजना का मुख्य चुनौती प्रोजेक्टर तंत्र को कैलिब्रेट और सेट करना है ताकि यह एक साफ ‘धोखा’ प्राप्त करे, क्योंकि कोण, ऑप्टिक्स और कई अन्य कारक इस शोषण के लिए एक चुनौती हैं।

इसके अलावा, यह दृष्टिकोण केवल रात में काम करने की संभावना है। यदि एक वस्तु जैसे साइन पहले से ही प्रकाशित है, तो प्रोजेक्टर को उस प्रकाश व्यवस्था के लिए मुआवजा देने की आवश्यकता है, और परावर्तित विकृति को हेडलाइट्स के प्रतिरोधी होने की आवश्यकता है। यह एक ऐसी प्रणाली लगती है जो शहरी वातावरण में सबसे अच्छा काम करेगी, जहां पर्यावरणीय प्रकाश व्यवस्था अधिक स्थिर होने की संभावना है।

इस शोध ने कोलम्बिया विश्वविद्यालय के 2004 के शोध का एक एमएल-उन्मुख संस्करण बनाया है जो वस्तुओं की उपस्थिति को बदलने के लिए उन पर अन्य छवियों को प्रोजेक्ट करने में है – एक ऑप्टिक्स-आधारित प्रयोग जो ओपीएडी की अप्रिय संभावना से रहित है।

परीक्षण में, ओपीएडी 64 हमलों में से 31 को धोखा देने में सक्षम था – 48% की सफलता दर। शोधकर्ताओं का नोट है कि सफलता दर हमले किए जा रहे वस्तु के प्रकार पर बहुत अधिक निर्भर करती है। मोटली या घुमावदार सतहें (जैसे कि क्रमशः टेडी बियर और मग) पर्याप्त प्रत्यक्ष प्रतिबिंब नहीं दे सकती हैं ताकि हमला किया जा सके। दूसरी ओर, जानबूझकर परावर्तित समतल सतहें जैसे रोड साइन ओपीएडी विकृति के लिए आदर्श वातावरण हैं।

ओपन सोर्स हमले के क्षेत्र

सभी हमले विशिष्ट डेटाबेस के खिलाफ किए गए थे: जर्मन ट्रैफिक साइन रिकग्निशन डेटाबेस (जीटीएसआरबी, जिसे नए पेपर में जीटीएसआरबी-सीएनएन कहा जाता है), जिसका उपयोग 2018 में एक समान हमले परिदृश्य के लिए मॉडल को प्रशिक्षित करने के लिए किया गया था; इमेजनेट वीजीजी16 डेटासेट; और इमेजनेट रेसनेट-50 सेट।

तो क्या ये हमले ‘केवल सैद्धांतिक’ हैं, क्योंकि वे खुले स्रोत डेटाबेस पर लक्षित हैं, और स्वायत्त वाहनों में प्रोप्राइटरी, बंद प्रणालियों पर नहीं? वे होंगे, अगर प्रमुख अनुसंधान हथियार खुले स्रोत इकोसिस्टम, एल्गोरिदम और डेटासेट पर निर्भर नहीं करते हैं, और इसके बजाय बंद-स्रोत डेटासेट और अपारदर्शी पहचान एल्गोरिदम का उत्पादन करने के लिए गुप्त रूप से काम करते हैं।

लेकिन一般 यह नहीं है कि यह कैसे काम करता है। लैंडमार्क डेटासेट उन बेंचमार्क के रूप में बन जाते हैं जिनके खिलाफ सभी प्रगति (और प्रतिष्ठा / प्रशंसा) को मापा जाता है, जबकि खुले स्रोत छवि पहचान प्रणाली जैसे योलो श्रृंखला सामान्य वैश्विक सहयोग के माध्यम से किसी भी आंतरिक रूप से विकसित, बंद प्रणाली से आगे निकल जाती है जो समान सिद्धांतों पर काम करती है।

द फॉस एक्सपोजर

यहां तक कि जहां कंप्यूटर दृष्टि फ्रेमवर्क में डेटा अंततः पूरी तरह से बंद डेटा से बदल दिया जाएगा, विकास के शुरुआती चरणों में खुले स्रोत डेटा द्वारा ‘खाली’ मॉडल के वजन अक्सर अभी भी कैलिब्रेटेड होते हैं – जिसका अर्थ है कि परिणामी प्रणाली संभावित रूप से खुले स्रोत विधियों द्वारा लक्षित की जा सकती है।

इसके अलावा, इस प्रकार की सीवी प्रणालियों में खुले स्रोत दृष्टिकोण पर निर्भर करना निजी कंपनियों को अन्य वैश्विक अनुसंधान परियोजनाओं से शाखाओं के नवाचारों का लाभ उठाने की अनुमति देता है, जो वास्तुकला को सुलभ रखने के लिए एक वित्तीय प्रोत्साहन जोड़ता है। इसके बाद वे केवल व्यावसायीकरण के बिंदु पर प्रणाली को बंद करने का प्रयास कर सकते हैं, जिस समय तक पूरी श्रृंखला के फॉस मेट्रिक्स पहले से ही इसमें गहराई से निहित हो जाते हैं।