Optiksel Karşıt Saldırı Yol İşaretlerinin Anlamını Değiştirebilir

Araştırmacılar, ABD’de makine öğrenimi sistemlerinin gördüklerini doğru bir şekilde yorumlama yeteneğine karşı bir karşıt saldırı geliştirdiler – gerçek dünya nesnelerine desenli ışık照diyorlar. Bir deneyde, yaklaşım bir ‘DUR’ yol işareti anlamını ’30mph’ hız limiti işaretiyle değiştirmeyi başardı.

Bir işarete crafted ışık照diyor ve makine öğrenimi sisteminde nasıl yorumlandığını bozar. Kaynak: https://arxiv.org/pdf/2108.06247.pdf

Araştırma Optiksel Karşıt Saldırı olarak adlandırılmış ve Indiana’daki Purdue Üniversitesi’nden geliyor.

OPtical ADversarial attack (OPAD) olarak önerilen bu teknik, hedef nesnelerin görünümünü değiştirmek için yapılandırılmış aydınlatma kullanır ve yalnızca bir commodity projektör, bir kamera ve bir bilgisayar gerektirir. Araştırmacılar, bu teknik kullanarak başarılı bir şekilde hem beyaz kutu hem de siyah kutu saldırıları gerçekleştirdiler.

OPAD kurulumu ve insanların minimally algıladığı (by people) bozulmalar.

OPAD kurulumu, bir ViewSonic 3600 Lumens SVGA projektör, bir Canon T6i kamera ve bir laptop bilgisayardan oluşur.

Kara Kutu ve Hedefli Saldırılar

Beyaz kutu saldırıları, saldırganın doğrudan eğitim modeli prosedürüne veya girdi verilerine erişimi olabileceği olası senaryolardır. Kara kutu saldırıları ise genellikle makine öğrenimi sisteminin nasıl yapılandırıldığını veya en azından nasıl davrandığını çıkararak, ‘gölge’ modeller oluşturarak ve orijinal modele yönelik karşıt saldırılar geliştirerek formüle edilir.

Burada, sınıflandırıcıyı kandırmak için gerekli görsel bozulma miktarını görüyoruz.

Bu sonuncu durumda, özel erişim gerekmez, ancak bu tür saldırılar, akademik ve ticari araştırmalarda açık kaynaklı bilgisayar görme kütüphaneleri ve veritabanlarının yaygınlığıyla büyük ölçüde desteklenir.

Tüm OPAD saldırıları, ‘hedefli’ saldırılar olarak adlandırılan ve belirli nesnelerin nasıl yorumlandığını değiştirmeyi amaçlayan saldırılar olarak gerçekleştirildi. Sistem, ayrıca genel, soyut saldırılar gerçekleştirebileceğini kanıtladı, ancak araştırmacılar, gerçek bir saldırganın daha spesifik bir bozucu amacı olacağını iddia ediyorlar.

OPAD saldırısı, aslında bilgisayar görme sistemlerinde kullanılacak görüntülere gürültü enjekte etme ilkesinin sıkça araştırılan bir gerçek dünya versiyonudur. Bu yaklaşımın değeri, bir saldırganın, sınıflandırıcıyı yanıltmak için, hedef nesneye ‘projeksiyon’ करकta bozulmaları tetikleyebilmesidir, oysa ‘Trojan at’ görüntülerinin eğitim sürecine dahil edilmesi daha zordur.

‘Hız 30’ görüntüsünün anlamsal anlamını bir ‘DUR’ işareti üzerine dayatmayı başaran OPAD saldırısında, temel görüntü, nesneyi 140/255 yoğunluğunda uniform olarak aydınlatarak elde edildi. Ardından, projektörle telafi edilmiş aydınlatma, bir gradient descent attack olarak uygulandı.

OPAD sınıflandırma saldırıları örnekleri.

Araştırmacılar, projeksiyon mekanizmasını ‘aldatma’ için temiz bir şekilde ayarlamak ve kurmak için ana zorluğun projeksiyon mekanizmasının ayarlanması olduğunu gözlemliyor, çünkü açılardan, optiklerden ve diğer faktörlerden kaynaklanan zorluklar bu sömürünün önünde bir engel oluşturuyor.

Ek olarak, bu yaklaşım yalnızca geceleyin çalışmaya muhtemeldir. Aydınlatmanın ‘hack’i ortaya çıkarıp çıkarmayacağı da bir faktördür; bir nesne zaten aydınlatılmışsa, projektör bu aydınlatmayı telafi etmelidir ve yansıyan bozulma da farlara karşı dayanıklı olmalıdır. Bu, muhtemelen daha稳il çevresel aydınlatmanın olduğu kentsel ortamlarda en iyi şekilde çalışacak bir sistem gibi görünüyor.

Araştırma, esasen Columbia Üniversitesi’nin 2004 yılında nesnelerin görünümünü değiştirmek için diğer görüntüleri üzerine projeksiyon yapan bir optik deneyinin makine öğrenimi odaklı bir versiyonunu oluşturuyor – bu, OPAD’nin kötü niyetli potansiyelinden yoksun bir deney.

Testlerde, OPAD 64 saldırıdan 31’inde sınıflandırıcıyı kandırmayı başardı – %48’lik bir başarı oranı. Araştırmacılar, başarı oranının saldırıya uğrayan nesne türüne büyük ölçüde bağlı olduğunu belirtiyorlar. Beneklenmiş veya eğri yüzeyler (örneğin, bir teddy bear ve bir fincan) doğrudan yansıtma için yeterli yansıtma sağlayamıyor. Öte yandan, kasıtlı olarak yansıtıcı düz yüzeyler gibi yol işaretleri, OPAD bozulmaları için ideal ortamlardır.

Açık Kaynaklı Saldırı Yüzeyleri

Tüm saldırılar, belirli veritabanlarına karşı gerçekleştirildi: Alman Trafik İşareti Tanıma Veritabanı (GTSRB, yeni makalede GTSRB-CNN olarak adlandırılmıştır), bu veritabanı 2018’de benzer bir saldırı senaryosu için kullanılmıştı; ImageNet VGG16 veritabanı ve ImageNet Resnet-50 kümesi.

Peki, bu saldırılar yalnızca açık kaynaklı veritabanlarına yönelik olduğu için ‘salt teorik’ midir ve otonom araçlardaki özel, kapalı sistemlere değil midir? Evet, büyük araştırma kolları açık kaynaklı ekosistemine, algoritmalarına ve veritabanlarına güvenmiyorsa ve bunun yerine kapalı kaynaklı veritabanları ve şeffaf olmayan tanıma algoritmaları geliştirmek için gizlice çalışmıyorsa öyle olurdu.

Ancak genel olarak, işler böyle değil. Benchmark olarak kabul edilen önemli veritabanları, tüm ilerlemenin (ve itibarın) ölçülmesine yönelik bir referans noktası haline gelirken, YOLO serisi gibi açık kaynaklı görüntü tanıma sistemleri, ortak küresel işbirliği yoluyla, benzer ilkelerle çalışan herhangi bir kapalı sistemden daha hızlı ilerler.

FOSS Maruziyeti

Bir bilgisayar görme çerçevesindeki verilerin, geliştirme aşamasının erken aşamalarında FOSS verileriyle kalibre edilen ‘boşaltılmış’ modellerin ağırlıklarıyla değiştirileceği durumlarda bile, sonuçta oluşan sistemler, FOSS yöntemleriyle hedeflenebilir.

Ayrıca, bu tür CV sistemlerine açık kaynaklı bir yaklaşım benimsemek, özel şirketlerin diğer küresel araştırma projelerinden dallanmış yeniliklerden ücretsiz olarak yararlanmasını sağlar ve mimarinin erişilebilir kalmasını teşvik eder. Daha sonra, ticari hale getirme aşamasında sistemi yalnızca kapatabilirler, bu aşamada FOSS metriklerinin tümü sistemde derinlemesine gömülü olur.