การโจมตีทางแสงเชิงกลยุทธ์สามารถเปลี่ยนความหมายของป้ายจราจร

นักวิจัยในสหรัฐฯ ได้พัฒนาเทคนิคการโจมตีเชิงกลยุทธ์แบบ Optical Adversarial Attack ที่สามารถเปลี่ยนความหมายของป้ายจราจรได้ โดยใช้แสงแบบเฉพาะเจาะจงบนป้ายจราจรในโลกแห่งความเป็นจริง ในการทดลองหนึ่ง เทคนิคนี้สามารถเปลี่ยนป้าย “หยุด” เป็นป้าย “จำกัดความเร็ว 30 ไมล์ต่อชั่วโมง” ได้สำเร็จ

การเปลี่ยนแปลงบนป้ายที่เกิดจากแสงแบบเฉพาะเจาะจง ทำให้ระบบการเรียนรู้ของเครื่องจักรตีความผิด Source: https://arxiv.org/pdf/2108.06247.pdf

การวิจัยนี้มีชื่อเรื่องว่า Optical Adversarial Attack และมาจากมหาวิทยาลัย Purdue ในรัฐอินเดียนา

เทคนิคการโจมตีแบบ OPtical ADversarial attack (OPAD) ที่เสนอในเอกสารนี้ใช้แสงแบบเฉพาะเจาะจงเพื่อเปลี่ยนแปลงรูปร่างของวัตถุเป้าหมาย และต้องใช้เครื่องฉายภาพ เครื่องถ่ายภาพ และคอมพิวเตอร์เท่านั้น นักวิจัยสามารถโจมตีได้สำเร็จทั้งแบบ white-box และ black-box โดยใช้เทคนิคนี้

การเตรียมการสำหรับ OPAD และการเปลี่ยนแปลงที่ไม่เห็นได้ชัดเจนสำหรับการจำแนกประเภทผิด.

การเตรียมการสำหรับ OPAD ประกอบด้วยเครื่องฉายภาพ ViewSonic 3600 Lumens SVGA, เครื่องถ่ายภาพ Canon T6i และคอมพิวเตอร์แล็ปท็อป

การโจมตีแบบ Black Box และการโจมตีแบบ Targeted

การโจมตีแบบ white-box เป็นสถานการณ์ที่ไม่น่าจะเกิดขึ้นซึ่งผู้โจมตีอาจมีการเข้าถึงแบบตรงไปยังกระบวนการฝึกอบรมหรือการกำกับข้อมูลการเข้า การโจมตีแบบ black-box เป็นสถานการณ์ที่มักจะถูกสร้างขึ้นโดยการอนุมานว่าระบบการเรียนรู้ของเครื่องจักรประกอบด้วยอะไร หรืออย่างน้อยก็พฤติกรรมของมัน และพัฒนาเทคนิคการโจมตีแบบ adversarial ที่ออกแบบมาเพื่อใช้กับโมเดลต้นฉบับ

การเปลี่ยนแปลงที่จำเป็นในการหลอกลวงการจำแนกประเภท.

ในกรณีหลัง ไม่ต้องการการเข้าถึงแบบพิเศษ แต่การโจมตีเหล่านี้ได้รับการช่วยเหลืออย่างมากจากความแพร่หลายของไลบรารีและฐานข้อมูลการมองเห็นแบบเปิดในงานวิจัยเชิงวิชาการและเชิงพาณิชย์ในปัจจุบัน

การโจมตีทั้งหมดที่อธิบายไว้ในเอกสารใหม่นี้เป็นการโจมตีแบบ “targeted” ซึ่งพยายามเปลี่ยนแปลงวิธีการตีความวัตถุเฉพาะอย่าง ในขณะที่ระบบยังสามารถทำการโจมตีแบบทั่วไปและแบบที่ไม่เฉพาะเจาะจงได้ แต่นักวิจัยอ้างว่าผู้โจมตีในโลกแห่งความเป็นจริงจะมีเป้าหมายที่จะสร้างความเสียหายมากกว่า

การโจมตีแบบ OPAD เป็นเพียงรูปแบบหนึ่งของหลักการในการฉีดสัญญาณรบกวนเข้าไปในภาพที่จะใช้ในระบบการมองเห็นของเครื่องจักร คุณค่าของเทคนิคนี้คือสามารถ “ฉาย” สัญญาณรบกวนลงบนวัตถุเป้าหมายเพื่อกระตุ้นให้เกิดการจำแนกประเภทผิด ในขณะที่การทำให้ภาพ “Trojan horse” เข้าไปในกระบวนการฝึกอบรมเป็นเรื่องที่ยากกว่า

ในกรณีที่ OPAD สามารถเปลี่ยนความหมายของป้าย “จำกัดความเร็ว 30” ในฐานข้อมูลลงบนป้าย “หยุด” ได้ ภาพฐานถูกได้รับจากการให้แสงแบบสม่ำเสมอด้วยความเข้ม 140/255 จากนั้นการฉายภาพแบบ projector-compensated ถูกใช้โดยการโจมตีแบบ gradient descent

ตัวอย่างการโจมตีแบบ OPAD ที่ทำให้เกิดการจำแนกประเภทผิด.

นักวิจัยสังเกตว่าความท้าทายหลักของโครงการคือการปรับและตั้งค่าเครื่องฉายภาพให้ได้ผลลัพธ์ที่ “หลอกลวง” ที่ดี เนื่องจากมุม การมองเห็น และปัจจัยอื่นๆ เป็นความท้าทายต่อการโจมตี

นอกจากนี้ เทคนิคนี้มีแนวโน้มที่จะทำงานได้เฉพาะในเวลากลางคืนเท่านั้น และหากวัตถุ เช่น ป้าย ถูกฉายแสงแล้ว เครื่องฉายภาพจะต้องชดเชยแสงการฉายนั้น และปริมาณการสะท้อนของสัญญาณรบกวนที่ต้องต้านทานแสงไฟหน้ารถด้วย ดูเหมือนว่าจะเป็นระบบที่ทำงานได้ดีที่สุดในพื้นที่เมืองที่มีการควบคุมแสงแวดล้อม

การวิจัยนี้สร้างการโจมตีแบบ ML ที่มุ่งเน้นไปที่การเปลี่ยนแปลงรูปร่างของวัตถุโดยการฉายภาพอื่นลงบนมัน ซึ่งเป็นการทดลองเชิงแสงที่ไม่มีศักยภาพในการก่อให้เกิดอันตรายเหมือนกับ OPAD

ในการทดสอบ OPAD สามารถหลอกลวงการจำแนกประเภทได้ 31 ใน 64 การโจมตี ซึ่งเป็นอัตราความสำเร็จ 48% นักวิจัยสังเกตว่าอัตราความสำเร็จขึ้นอยู่กับประเภทของวัตถุเป้าหมายมาก มีการเปลี่ยนแปลงหรือพื้นผิวที่ไม่เรียบ (เช่น ตุ๊กตาเท็ดดี้และถ้วย) ไม่สามารถให้การสะท้อนแสงได้เพียงพอในการโจมตี ในทางกลับกัน พื้นผิวที่สะท้อนแสงได้ดี เช่น ป้ายจราจร เป็นสภาพแวดล้อมที่เหมาะสมสำหรับการโจมตีแบบ OPAD

พื้นผิวการโจมตีแบบเปิด

การโจมตีทั้งหมดที่ทำในเอกสารใหม่นี้มุ่งเป้าไปที่ฐานข้อมูลที่เฉพาะเจาะจง ได้แก่ ฐานข้อมูลการรู้จำป้ายจราจรของเยอรมัน (GTSRB ซึ่งเรียกว่า GTSRB-CNN ในเอกสารใหม่) ซึ่งใช้ในการฝึกอบรมโมเดลสำหรับการโจมตีแบบคล้ายกันในปี 2018; ฐานข้อมูล ImageNet VGG16; และฐานข้อมูล ImageNet Resnet-50

การโจมตีเหล่านี้เป็นเพียงทฤษฎีหรือไม่ เนื่องจากมุ่งเป้าไปที่ฐานข้อมูลแบบเปิด และไม่ใช่ระบบปิดที่ใช้ในยานพาหนะอัตโนมัติ? มันจะเป็นเช่นนั้น หากหน่วยวิจัยหลักไม่นำฐานข้อมูลและอัลกอริทึมแบบเปิดมาใช้ และไม่พัฒนาระบบการรู้จำภาพที่ไม่โปร่งใสและปิดบัง

แต่โดยทั่วไปแล้ว มันไม่ทำงานเช่นนั้น ฐานข้อมูลที่มีชื่อเสียงกลายเป็นมาตรฐานที่วัดความก้าวหน้า (และความเคารพ) ทั้งหมด ในขณะที่ระบบการรู้จำภาพแบบเปิด เช่น ซีรีส์ YOLO ก้าวหน้าไปพร้อมๆ กับการร่วมมือระดับโลก มากกว่าระบบปิดที่พัฒนาภายในเพื่อทำงานบนหลักการเดียวกัน

การเปิดเผยของ FOSS

แม้ว่าข้อมูลในเฟรมเวิร์กการมองเห็นของเครื่องจักรจะถูกแทนที่ด้วยข้อมูลปิดทั้งหมดในขั้นตอนต่อไป น้ำหนักของโมเดลที่ “ว่าง” เหล่านี้ยังคงถูกปรับให้เหมาะสมในขั้นตอนแรกของการพัฒนาโดยใช้ข้อมูล FOSS ที่จะไม่ถูกทิ้งไปเลย ซึ่งหมายความว่าระบบที่ได้ผลลัพธ์เหล่านี้สามารถถูกโจมตีได้โดยวิธีการ FOSS

นอกจากนี้ การพึ่งพาแนวทางแบบเปิดสำหรับระบบการมองเห็นของเครื่องจักรประเภทนี้ทำให้บริษัทเอกชนสามารถใช้ประโยชน์จากนวัตกรรมที่แตกออกมาจากโครงการวิจัยระดับโลกได้ฟรี โดยเพิ่มแรงจูงใจทางการเงินในการรักษาโครงสร้างให้สามารถเข้าถึงได้ จากนั้นพวกเขาสามารถพยายามปิดระบบได้เฉพาะในจุดการค้าเท่านั้น โดยที่เมตริก FOSS ที่สามารถอนุมานได้จะฝังลึกอยู่ในระบบแล้ว