ทำไมการโจมตีภาพโดยใช้เทคนิค Adversarial Image จึงไม่ใช่เรื่องตลก

การโจมตีระบบการรู้จำภาพโดยใช้ภาพที่ถูกสร้างขึ้นมาอย่างรอบคอบได้รับการพิจารณาว่าเป็นเรื่องสนุกแต่ไม่มีนัยสำคัญในระยะ 5 ปีที่ผ่านมา อย่างไรก็ตาม การวิจัยใหม่จากออสเตรเลียชี้ให้เห็นว่าการใช้เซตข้อมูลภาพที่มีชื่อเสียงอย่างแพร่หลายสำหรับโครงการ AI 상업อาจสร้างปัญหาความปลอดภัยใหม่ที่ยั่งยืน

เป็นเวลาหลายปีที่นักวิชาการที่มหาวิทยาลัยแห่งหนึ่งในออสเตรเลียพยายามอธิบายสิ่งที่สำคัญมากเกี่ยวกับอนาคตของระบบการรู้จำภาพที่ใช้ AI

เป็นสิ่งที่จะยาก (และแพงมาก) ที่จะแก้ไข ทันที และซึ่งจะไม่เหมาะสมที่จะแก้ไขเมื่อเทรนด์ในปัจจุบันในการวิจัยการรู้จำภาพได้ถูกพัฒนาเป็นการใช้งานเชิงพาณิชย์และอุตสาหกรรมภายใน 5-10 ปีข้างหน้า

ก่อนที่เราจะเข้าสู่เรื่องนี้ มาทำความรู้จักกับดอกไม้ที่ถูกจำแนกเป็นบารัค โอบามา จากหนึ่งในหกวิดีที่ทีมได้เผยแพร่บน หน้าโครงการ:

Source: https://www.youtube.com/watch?v=Klepca1Ny3c

ในภาพด้านบน ระบบการรู้จำใบหน้าที่รู้จักบารัค โอบามาได้ถูกหลอกให้เชื่อว่าชายที่ไม่ทราบตัวตนที่ถือภาพดอกไม้ที่ถูกสร้างขึ้นมาเป็นภาพโจมตี Adversarial คือบารัค โอบามา ระบบไม่สนใจว่า ‘ใบหน้าปลอม’ อยู่บนหน้าอกของชายคนนั้น แทนที่จะอยู่บนไหล่

แม้ว่าจะน่าประทับใจที่นักวิจัยสามารถทำได้ แต่การโจมตี Adversarial เหล่านี้ดูเหมือนจะเกิดขึ้นบ่อยๆ ในการวิจัยด้านความปลอดภัยเกี่ยวกับการมองเห็นคอมพิวเตอร์ เช่น แว่นตาที่มีลวดลายที่สามารถหลอกระบบการรู้จำใบหน้า ในปี 2016 หรือภาพโจมตี Adversarial ที่ พยายามเขียนสัญญาณถนนใหม่

หากคุณสนใจ โมเดล Convolutional Neural Network (CNN) ที่ถูกโจมตีในตัวอย่างด้านบนคือ VGGFace (VGG-16) ที่ถูกฝึกฝนโดยใช้เซตข้อมูล PubFig ของมหาวิทยาลัยโคลัมเบีย โมเดลโจมตีอื่นๆ ที่นักวิจัยพัฒนาขึ้นใช้ทรัพยากรที่แตกต่างกันในหลายๆ การรวมกัน

A keyboard is re-classed as a conch, in a WideResNet50 model on ImageNet. The researchers have also ensured that the model has no bias towards conches. See the full video for extended and additional demonstrations at https://www.youtube.com/watch?v=dhTTjjrxIcU

การรู้จำภาพเป็นเวกเตอร์การโจมตีที่เกิดขึ้นใหม่

การโจมตี Adversarial ที่น่าประทับใจหลายๆ อย่างที่นักวิจัยอธิบายและแสดงให้เห็นไม่ใช่การวิพากษ์วิจารณ์เกี่ยวกับเซตข้อมูลหรือโครงสร้างการเรียนรู้ของเครื่องจักรที่เฉพาะเจาะจง แต่เป็นการแสดงให้เห็นถึง จุดอ่อนที่สำคัญ ในโครงสร้างการรู้จำภาพ AI ทั้งหมด ซึ่งอาจทำให้ระบบการรู้จำภาพในอนาคตหลายๆ ระบบตกอยู่ในสถานการณ์ที่อ่อนแอและต้องเผชิญกับการโจมตีจากผู้โจมตี

ลองนึกถึงการโจมตี Adversarial ใหม่ๆ (เช่น ดอกไม้ในตัวอย่างด้านบน) ที่ถูกเพิ่มเข้าไปในระบบความปลอดภัยของอนาคต เช่นเดียวกับวิธีการอัปเดตคำจำกัดความของไวรัสในระบบต่อต้านมัลแวร์และแอนตี้ไวรัสในปัจจุบัน

ความเป็นไปได้ในการโจมตี Adversarial ใหม่ๆ จะไม่มีที่สิ้นสุด เนื่องจากโครงสร้างพื้นฐานของระบบไม่ได้คาดการณ์ปัญหาในอนาคต เช่นเดียวกับที่เกิดขึ้นกับ อินเทอร์เน็ต บั๊กปี 2000 และ หอศิลป์ปิซา

การได้รับข้อมูลสำหรับการโจมตี

ภาพ Adversarial เช่นตัวอย่าง ‘ดอกไม้’ ข้างต้นถูกสร้างขึ้นโดยการเข้าถึงเซตข้อมูลที่ใช้ในการฝึกโมเดล คุณไม่จำเป็นต้องมีการเข้าถึงข้อมูลการฝึกหรือโครงสร้างการเรียนรู้ของเครื่องจักรโดยตรง เนื่องจากเซตข้อมูลที่มีชื่อเสียงที่สุดและโมเดลที่ฝึกฝนแล้วหลายๆ โมเดลสามารถเข้าถึงได้อย่างกว้างขวางในระบบการแบ่งปันไฟล์ที่มีการอัปเดตอย่างต่อเนื่อง

ตัวอย่างเช่น เซตข้อมูล ImageNet ที่มีชื่อเสียงที่สุดในด้านการมองเห็นคอมพิวเตอร์สามารถเข้าถึงได้ทาง ระบบการแบ่งปันไฟล์ ทั้งหลายๆ การอัปเดต โดยไม่ต้องผ่าน ข้อจำกัด ที่กำหนดไว้ และสามารถเข้าถึงองค์ประกอบสำคัญอื่นๆ เช่น เซตการตรวจสอบ

Source: https://academictorrents.com

หากคุณมีข้อมูล คุณสามารถ ‘reverse-engineer’ เซตข้อมูลที่มีชื่อเสียงได้ เช่น CityScapes หรือ CIFAR

ในกรณีของ PubFig ซึ่งเป็นเซตข้อมูลที่ทำให้ ‘ดอกไม้โอบามา’ ในตัวอย่างด้านบนเป็นไปได้ มหาวิทยาลัยโคลัมเบียได้กล่าวถึงการกระจายเสียงลิขสิทธิ์ที่เพิ่มขึ้นโดยการบอกนักวิจัยวิธีการ สร้าง เซตข้อมูลผ่านลิงก์ที่จัดทำขึ้นมาใหม่ แทนที่จะเผยแพร่เซตข้อมูลโดยตรง โดยกล่าวว่า ‘นี่ดูเหมือนจะเป็นวิธีที่ฐานข้อมูลขนาดใหญ่บนเว็บอื่นๆ กำลังพัฒนา’

ในกรณีส่วนใหญ่ ไม่จำเป็นต้องทำเช่นนั้น Kaggle ประมาณการว่าเซตข้อมูลภาพที่มีชื่อเสียงที่สุด 10 อันดับแรกในด้านการมองเห็นคอมพิวเตอร์คือ CIFAR-10 และ CIFAR-100 (ทั้งสองสามารถดาวน์โหลดได้จาก ที่นี่); CALTECH-101 และ 256 (ทั้งสองสามารถเข้าถึงได้ และสามารถดาวน์โหลดได้จาก ที่นี่); MNIST (สามารถดาวน์โหลดได้จาก ที่นี่); ImageNet (ดูข้างต้น); Pascal VOC (สามารถเข้าถึงได้จาก ที่นี่); MS COCO (สามารถเข้าถึงได้จาก ที่นี่); Sports-1M (สามารถเข้าถึงได้จาก ที่นี่); และ YouTube-8M (สามารถเข้าถึงได้จาก ที่นี่)

ความพร้อมใช้งานนี้ยังเป็นตัวแทนของชุดข้อมูลการมองเห็นคอมพิวเตอร์ที่มีอยู่อื่นๆ เนื่องจากความไม่ค่อยมีคนรู้จักคือความตายใน文化การพัฒนาที่เปิดกว้าง

การวิพากษ์วิจารณ์ทั่วไปเกี่ยวกับวิธีการโจมตีภาพ Adversarial

การวิพากษ์วิจารณ์ที่พบบ่อยที่สุดเกี่ยวกับวิธีการโจมตีภาพ Adversarial คือว่าการโจมตีนั้น เฉพาะเจาะจงสำหรับเซตข้อมูลหรือโมเดลที่เฉพาะเจาะจง หรือทั้งสองอย่าง และไม่สามารถใช้ได้กับระบบอื่นๆ

การวิพากษ์วิจารณ์ที่พบบ่อยที่สุดเป็นอันดับสองคือว่าการโจมตี Adversarial ต้องใช้ ‘กล่องขาว’ ซึ่งหมายความว่าคุณต้องมีการเข้าถึงโดยตรงไปยังสภาพแวดล้อมการฝึกหรือข้อมูล ซึ่งเป็นสถานการณ์ที่ไม่น่าจะเกิดขึ้นในหลายๆ กรณี

ดีเอ็นเอในระยะยาวของเซตข้อมูลการมองเห็นคอมพิวเตอร์ที่มีชื่อเสียง

เกี่ยวกับการวิพากษ์วิจารณ์แรก เราควรพิจารณาไม่เพียงแต่ว่าเซตข้อมูลการมองเห็นคอมพิวเตอร์ที่มีชื่อเสียงเพียงไม่กี่ชุดเท่านั้นที่ครอบงำอุตสาหกรรมในแต่ละปี แต่ยังรวมถึงเซตข้อมูลเหล่านั้นเป็น ‘แพลตฟอร์มเอจนóst’ และสามารถถ่ายโอนได้ง่าย

ขึ้นอยู่กับความสามารถของโครงสร้างการเรียนรู้ของเครื่องจักร เซตข้อมูล ImageNet จะพบคุณลักษณะบางอย่างของวัตถุและคลาสในเซตข้อมูลได้ โครงสร้างการเรียนรู้ของเครื่องจักรบางอย่างอาจพบคุณลักษณะมากกว่าโครงสร้างอื่นๆ หรือสร้างการเชื่อมต่อที่มีประโยชน์มากกว่าโครงสร้างอื่นๆ แต่ ทั้งหมด ควรพบคุณลักษณะระดับสูงที่สุดได้

ImageNet data, with the minimum viable number of correct identifications – ‘high level’ features.

คุณลักษณะระดับสูงเหล่านั้นเป็นตัวกำหนดและ ‘ลายนิ้วมือ’ ของเซตข้อมูล และเป็น ‘จุดยึด’ ที่เชื่อถือได้สำหรับการโจมตี Adversarial ระยะยาวที่สามารถข้ามระบบต่างๆ และเติบโตไปพร้อมกับเซตข้อมูล ‘เก่า’ เมื่อเซตข้อมูลนั้นถูกใช้ซ้ำในผลิตภัณฑ์และการวิจัยใหม่ๆ

การโจมตี Adversarial บนโมเดลที่ถูก ‘ลบ’ และพรี-เทรน

สิ่งที่เกิดขึ้นเมื่อคุณดาวน์โหลดโมเดลที่พรี-เทรนแล้วและให้ข้อมูลใหม่แก่มัน

โมเดลนั้นได้รับการฝึกฝนจาก ImageNet แล้ว และที่เหลืออยู่คือ น้ำหนัก ซึ่งอาจใช้เวลาหลายสัปดาห์หรือหลายเดือนในการฝึกฝน และพร้อมที่จะช่วยให้คุณจำแนกวัตถุและคลาสที่คล้ายกับวัตถุและคลาสที่มีอยู่ในข้อมูลเดิม (ที่ไม่มีอยู่แล้ว)

With the original data removed from the training architecture, what’s left is the ‘predisposition’ of the model to classify objects in the way that it originally learned to do, which will essentially cause many of the original ‘signatures’ to reform and become vulnerable once again to the same old Adversarial Image Attack methods.

น้ำหนักเหล่านั้นมีค่า แต่หากไม่มีข้อมูลหรือน้ำหนัก คุณจะมีโครงสร้างการเรียนรู้ของเครื่องจักรที่ว่างเปล่าและไม่มีข้อมูล คุณจะต้องฝึกฝนใหม่จากศูนย์โดยใช้เวลาและทรัพยากรการประมวลผลที่มากขึ้น เช่นเดียวกับที่ผู้สร้างโมเดลเดิมทำไว้ (อาจใช้ฮาร์ดแวร์ที่มีประสิทธิภาพมากกว่าและงบประมาณที่มากกว่าที่คุณมี)

ไม่ต้องการกล่องขาว

เกี่ยวกับการวิพากษ์วิจารณ์ที่สองที่พบบ่อยที่สุดเกี่ยวกับการโจมตี Adversarial ผู้เขียนของเอกสารใหม่พบว่าการหลอกลวงระบบการรู้จำภาพด้วยภาพที่สร้างขึ้นมาอย่างรอบคอบสามารถถ่ายโอนไปยังหลายๆ โครงสร้างได้

ในขณะที่สังเกตว่าวิธีการ TnT ของพวกเขาเป็นวิธีแรกที่ใช้ภาพที่รู้จักได้ (ไม่ใช่เพียงการรบกวนแบบสุ่ม) เพื่อหลอกลวงระบบการรู้จำภาพ ผู้เขียนยังระบุด้วยว่า ‘[TnTs] มีประสิทธิภาพในการโจมตีหลายๆ ระบบที่มีการจัดอันดับสูงสุด ตั้งแต่ WideResNet50 ในงาน Large-Scale Visual Recognition ของ ImageNet ไปจนถึง VGG-face ในงานการรู้จำใบหน้าของ PubFig ในทั้งการโจมตีที่มีเป้าหมายและไม่มีเป้าหมาย’

‘TnTs สามารถมีคุณสมบัติ i) ความเป็นธรรมชาติที่สามารถทำได้ [ด้วย] การกระตุ้นที่ใช้ในวิธีการโจมตีแบบโทรจัน และ ii) การทั่วไปและความสามารถในการถ่ายโอนไปยังเครือข่ายอื่นๆ’

‘สิ่งนี้ทำให้เกิดความกังวลเกี่ยวกับความปลอดภัยและความมั่นคงเกี่ยวกับ DNN ที่ได้รับการใช้งานแล้วและ DNN ที่จะถูกใช้งานในอนาคต โดยที่ผู้โจมตีสามารถใช้ปะที่วัตถุธรรมชาติที่ไม่ดึงดูดความสนใจเพื่อหลอกลวงระบบการเรียนรู้ของเครื่องจักรโดยไม่ต้องแก้ไขโมเดลและเสี่ยงต่อการถูกจับได้’

ผู้เขียนแนะนำว่ามาตรการป้องกันทั่วไป เช่น การลดความแม่นยำของโมเดล อาจให้การป้องกันบางอย่าง แต่ ‘TnTs ยังคงสามารถหลบหลีกการป้องกันนี้ได้โดยใช้วิธีการป้องกันที่ดีที่สุด โดยที่ระบบส่วนใหญ่ที่ป้องกันสามารถบรรลุความแข็งแกร่ง 0%’

วิธีแก้ปัญหาที่เป็นไปได้อื่นๆ รวมถึง การเรียนรู้แบบกระจาย โดยที่ต้นกำเนิดของภาพที่มีส่วนร่วมได้รับการคุ้มครอง และวิธีการใหม่ที่สามารถ ‘เข้ารหัส’ ข้อมูลในระหว่างการฝึกฝนได้ เช่น วิธีการที่ แนะนำ โดยมหาวิทยาลัย Nanjing University of Aeronautics and Astronautics

สรุป

การโจมตี Adversarial กำลังเป็นไปได้ไม่เพียงแต่จากการเรียนรู้ของเครื่องจักรแบบเปิดเท่านั้น แต่ยังรวมถึงวัฒนธรรมการพัฒนา AI ขององค์กรที่มีแรงจูงใจในการใช้เซตข้อมูลการมองเห็นคอมพิวเตอร์ที่มีชื่อเสียงสำหรับหลายๆ เหตุผล

นอกจากนี้ ในหลายกรณีที่ข้อมูลไม่ใช่ของต้นฉบับ (ไม่เหมือน CityScapes) ภาพถูกเก็บเก็บก่อนที่จะมีการถกเถียงเกี่ยวกับประเด็นความเป็นส่วนตัวและแนวปฏิบัติในการรวบรวมข้อมูล ซึ่งทำให้เซตข้อมูลเก่าเหล่านี้อยู่ในสถานะ ‘พื้นที่กลาง’ ที่ดูเหมือนจะเป็น ‘ท่าเรือที่ปลอดภัย’ จากมุมมองของบริษัท

TnT Attacks! Universal Naturalistic Adversarial Patches Against Deep Neural Network Systems เป็นผลงานร่วมของ Bao Gia Doan, Minhui Xue, Ehsan Abbasnejad, Damith C. Ranasinghe จาก University of Adelaide ร่วมกับ Shiqing Ma จาก Department of Computer Science ที่ Rutgers University.

อัปเดต 1st ธันวาคม 2021, 7:06am GMT+2 – corrected typo.