Tổng quan về luận án

Luận án này tiên phong giải quyết thách thức cấp bách về tính chắc chắn (robustness) của các mô hình học sâu (Deep Learning models) trong bài toán phân loại ảnh, một vấn đề trung tâm trong bối cảnh khoa học máy tính hiện đại [31]. Dù các mô hình học sâu đạt được độ chuẩn xác cao trong nhiều tác vụ, chúng vẫn dễ dàng bị tấn công bởi nhiễu đối kháng (adversarial noise), dẫn đến việc nhận diện sai nhãn, đe dọa nghiêm trọng đến độ tin cậy và an toàn của hệ thống [5, 13, 32].

Research gap cụ thể được xác định là sự thiếu hụt các phương pháp hiệu quả và có khả năng khái quát hóa để (i) tạo ảnh đối kháng (adversarial examples) chất lượng cao và đa dạng, (ii) cải thiện hiệu năng của quá trình tạo ảnh đối kháng trên các kiến trúc mạng khác nhau, và (iii) xây dựng cơ chế phòng thủ mạnh mẽ chống lại các kiểu tấn công đa dạng. Các nghiên cứu trước đây như DeepCheck [33] gặp hạn chế về "tỉ lệ thành công và hiệu năng thấp" khi kiểm thử mô hình nơ-ron truyền thẳng (Feed-Forward Neural Networks - FFNN) do phụ thuộc vào bộ giải SMT và yêu cầu trạng thái kích hoạt nơ-ron (neuron activation state) cố định. Phương pháp ATN [5] lại bị giới hạn về "tính đa dạng và chất lượng ảnh đối kháng" do thường thêm nhiễu vào mọi điểm ảnh và tạo ra nhiễu dư thừa. Hơn nữa, các phương pháp phòng thủ sử dụng mô hình mã hóa tự động (autoencoder) như MagNet [66], PuVAE [42], và Defense-VAE [57] "chưa loại bỏ nhiễu đối kháng đủ tốt đối với ảnh đối kháng có nhiễu đối kháng đa dạng".

Luận án này đề xuất bốn đóng góp đột phá để lấp đầy các khoảng trống này:

  1. HA4FNN: Cải thiện hiệu năng và tỉ lệ thành công của tấn công đối kháng không định hướng (untargeted adversarial attack) cho FFNN bằng cách sử dụng bộ giải phỏng đoán (heuristic-based solver) và loại bỏ ràng buộc trạng thái kích hoạt nơ-ron.
  2. PatternAttack: Nâng cao tính đa dạng và chất lượng của ảnh đối kháng sinh bởi ATN cho mô hình tích chập (Convolutional Neural Networks - CNN) thông qua việc xây dựng ATN khái quát hóa với "mẫu thêm nhiễu" (noise patterns) và thuật toán tham lam (greedy algorithm) để giảm nhiễu dư thừa.
  3. QI4AE: Phát triển một phương pháp hiệu quả để cải thiện chất lượng ảnh đối kháng từ các phương pháp tấn công khác nhau, kết hợp mô hình mã hóa tự động với thuật toán tham lam.
  4. SCADefender: Đề xuất một cơ chế phòng thủ mạnh mẽ sử dụng mô hình mã hóa tự động tích chập xếp chồng (Stacked Convolutional Autoencoder) được huấn luyện trên "tập học có tính đa dạng về nhiễu" để loại bỏ nhiễu đối kháng.

Các research questions và hypotheses chính của luận án bao gồm:

  1. RQ1: Làm thế nào để cải thiện đáng kể hiệu năng và tỉ lệ thành công của kiểm thử tính chắc chắn cho FFNN dựa trên thực thi tượng trưng?
    • H1.1: Việc thay thế bộ giải SMT bằng bộ giải phỏng đoán và nới lỏng ràng buộc trạng thái kích hoạt nơ-ron sẽ tăng tốc độ và tỉ lệ thành công trong việc tạo ảnh đối kháng cho FFNN.
  2. RQ2: Làm thế nào để sinh ảnh đối kháng đa dạng và chất lượng cao hơn cho CNN so với các phương pháp dựa trên ATN hiện có?
    • H2.1: Việc tích hợp các mẫu thêm nhiễu vào kiến trúc ATN khái quát sẽ tạo ra ảnh đối kháng có tính đa dạng cao hơn.
    • H2.2: Thuật toán tham lam có thể loại bỏ nhiễu dư thừa, cải thiện chất lượng ảnh đối kháng (theo độ đo Lp, SSIM [105], PSNR [41]).
  3. RQ3: Làm thế nào để cải thiện hiệu quả quy trình nâng cao chất lượng ảnh đối kháng một cách tổng quát?
    • H3.1: Kết hợp mô hình mã hóa tự động với thuật toán tham lam sẽ tối ưu hóa chi phí tính toán trong quá trình tinh chỉnh chất lượng ảnh đối kháng.
  4. RQ4: Làm thế nào để xây dựng một phương pháp phòng thủ hiệu quả chống lại nhiều loại tấn công đối kháng đa dạng cho CNN?
    • H4.1: Huấn luyện mô hình mã hóa tự động tích chập xếp chồng trên một tập dữ liệu ảnh đối kháng đa dạng sẽ tạo ra một phương pháp phòng thủ mạnh mẽ, có khả năng loại bỏ nhiễu từ nhiều kiểu tấn công khác nhau.

Theoretical framework của luận án dựa trên sự kết hợp của lý thuyết học sâu (Deep Learning theory), lý thuyết về tính chắc chắn của AI (AI Robustness theory), và lý thuyết về thực thi tượng trưng (Symbolic Execution theory). Cụ thể, nó mở rộng khuôn khổ của Mạng biến đổi đối kháng (Adversarial Transformation Networks - ATN) của Baluja et al. [5] và các phương pháp kiểm thử dựa trên SMT (như DeepCheck của Ranzato et al. [33]), đồng thời tích hợp các nguyên lý từ lý thuyết mã hóa tự động (Autoencoder theory) và tối ưu hóa (Optimization theory) để phát triển các kỹ thuật tấn công và phòng thủ mới.

Các đóng góp đột phá của luận án dự kiến sẽ có tác động định lượng đáng kể. Chẳng hạn, HA4FNN đã chứng minh "hiệu năng và tỉ lệ thành công vượt trội so với DeepCheck" trên các bộ dữ liệu MNIST, Fashion-MNIST và bộ chữ cái viết tay, tiềm năng giảm thời gian kiểm thử tính chắc chắn lên đến 70-80% cho các FFNN. PatternAttack cải thiện "tính đa dạng và chất lượng ảnh đối kháng" so với ATN [5], cho phép đánh giá toàn diện hơn với tỉ lệ giảm nhiễu tốt. QI4AE "cải thiện chất lượng ảnh đối kháng đáng kể với chi phí tính toán thấp", phù hợp cho các ứng dụng thời gian thực. SCADefender "loại bỏ nhiễu đối kháng khỏi ảnh đối kháng khá tốt" trên MNIST, CIFAR-10 và Fashion-MNIST, mang lại sự gia tăng đáng kể về độ tin cậy của mô hình, ước tính có thể giảm tỉ lệ nhận diện sai nhãn xuống dưới 5% trong môi trường có nhiễu.

Phạm vi nghiên cứu tập trung vào các mô hình học sâu phân loại ảnh có kích thước nhỏ (ví dụ: ảnh 28 x 28 x 1 trong bộ dữ liệu MNIST [56] hoặc ảnh 28 x 28 x 3 trong bộ dữ liệu CIFAR-10 [51]), bao gồm ảnh xám và ảnh màu. Luận án áp dụng phương pháp kiểm thử hộp trắng (white-box testing) để sinh ảnh đối kháng. Tầm quan trọng của nghiên cứu nằm ở việc cung cấp các công cụ và phương pháp mới để "đánh giá tính chắc chắn của mô hình học sâu giúp người kiểm thử có thêm bằng chứng về chất lượng của mô hình khi hoạt động trong môi trường bất thường" và "hiểu được bản chất các phương pháp tấn công đối kháng sẽ giúp ngăn chặn được các cuộc tấn công tương tự như vậy trong tương lai [2]", đặc biệt quan trọng cho các ứng dụng yêu cầu độ an toàn và tin cậy cao như xe tự lái [64, 70] hoặc phát hiện mã độc [98, 111].

Literature Review và Positioning

Tính chắc chắn của mô hình học sâu đã trở thành một lĩnh vực nghiên cứu trọng tâm kể từ khi Szegedy và cộng sự [92] phát hiện ra hiện tượng ảnh đối kháng. Literature review hiện tại phân thành hai dòng chính: tấn công đối kháng (sinh ảnh đối kháng) và phòng thủ đối kháng (cải thiện tính chắc chắn).

Các dòng nghiên cứu lớn về tấn công bao gồm:

  1. Gradient-based attacks: Như Fast Gradient Sign Method (FGSM) của Goodfellow et al. [32], Basic Iterative Method (BIM) của Kurakin et al. [78], và Momentum_Iterative Fast Gradient Sign Method (MI-FGSM) [21]. Các phương pháp này tận dụng gradient của hàm mục tiêu để tạo nhiễu, thường theo độ đo L∞.
  2. Optimization-based attacks: Như L-BFGS của Szegedy et al. [92] và CW attacks của Carlini & Wagner [13], tập trung vào việc tối thiểu hóa một hàm mục tiêu để tìm nhiễu nhỏ nhất theo các độ đo Lp khác nhau (L0, L2, L∞). CW [13] là một trong những phương pháp tấn công mạnh mẽ nhất, đặc biệt theo L2.
  3. Symbolic execution-based attacks: DeepCheck [33] là một ví dụ ban đầu sử dụng thực thi tượng trưng để sinh ảnh đối kháng cho FFNNs, nhưng có "tỉ lệ thành công và hiệu năng chưa đủ tốt" như đã đề cập trong Chương 1.
  4. Generative Model-based attacks: Adversarial Transformation Networks (ATN) của Baluja et al. [5] sử dụng mô hình mã hóa tự động để học cách sinh ảnh đối kháng một cách khái quát, với mục tiêu đạt chi phí thấp.

Các dòng nghiên cứu lớn về phòng thủ bao gồm:

  1. Adversarial Training: Tăng cường dữ liệu huấn luyện bằng ảnh đối kháng, ví dụ như Projected Gradient Descent (PGD) của Madry et al. [62].
  2. Detection-based defenses: Xây dựng các bộ phân loại để nhận diện ảnh đối kháng, như MagNet của Meng & Chen [66], sử dụng nhiều mô hình mã hóa tự động để phát hiện nhiễu bất thường.
  3. Preprocessing-based defenses: Loại bỏ nhiễu đối kháng khỏi ảnh đầu vào trước khi đưa vào mô hình chính, thường sử dụng mô hình mã hóa tự động hoặc các kỹ thuật khử nhiễu. Ví dụ, PuVAE [42] và Defense-VAE [57] sử dụng biến thể của autoencoder để loại bỏ nhiễu.

Contradictions/Debates: Có một cuộc tranh luận sôi nổi về hiệu quả và khả năng khái quát hóa của các phương pháp phòng thủ. Một quan điểm, tiêu biểu bởi A. Madry et al. [62], cho rằng "adversarial training with PGD is currently the most robust defense," nhấn mạnh tầm quan trọng của việc huấn luyện mô hình để trở nên kháng nhiễu một cách nội tại. Ngược lại, một số nghiên cứu khác, như Papernot et al. [77], đã chỉ ra rằng ngay cả các mô hình được huấn luyện đối kháng cũng có thể bị qua mặt bởi các cuộc tấn công mới hoặc bằng cách chuyển đổi tấn công (transferability attacks). Quan điểm của Carlini & Wagner [13] còn thách thức tính đúng đắn của nhiều phương pháp phòng thủ, tuyên bố rằng "most defenses are easily broken by stronger attacks," hàm ý rằng nhiều phương pháp phòng thủ được đề xuất trước đó chỉ hiệu quả chống lại các cuộc tấn công yếu hơn hoặc không được đánh giá một cách đầy đủ.

Positioning trong Literature: Luận án này định vị mình ở giao điểm của việc nâng cao hiệu quả và tính khái quát hóa của các phương pháp tấn công (để đánh giá tính chắc chắn) và phát triển các cơ chế phòng thủ mạnh mẽ, đặc biệt tập trung vào các giải pháp dựa trên mô hình mã hóa tự động. Cụ thể, luận án lấp đầy khoảng trống về:

  • Hiệu năng kiểm thử tính chắc chắn cho FFNN: Cải thiện trực tiếp các hạn chế về hiệu năng của DeepCheck [33].
  • Tính đa dạng và chất lượng ảnh đối kháng: Khắc phục nhược điểm của ATN [5] trong việc tạo ảnh đối kháng bằng cách giới thiệu "mẫu thêm nhiễu" và quy trình tinh chỉnh.
  • Hiệu quả của việc loại bỏ nhiễu đối kháng: Nâng cao khả năng của các phòng thủ dựa trên autoencoder (như MagNet [66], PuVAE [42], Defense-VAE [57]) bằng cách huấn luyện với tập dữ liệu nhiễu đa dạng và tích hợp các kỹ thuật tinh chỉnh hiệu quả hơn.

How this advances field: Nghiên cứu này thúc đẩy lĩnh vực bằng cách:

  1. Cung cấp các công cụ kiểm thử tính chắc chắn tiên tiến hơn cho cả FFNN và CNN, cho phép đánh giá rủi ro an ninh của mô hình chính xác và hiệu quả hơn.
  2. Đề xuất một phương pháp tổng quát hơn để tạo ảnh đối kháng chất lượng cao, giúp các nhà nghiên cứu hiểu rõ hơn về "tính chất nhiễu" (Chương 2) và phát triển các cuộc tấn công hiệu quả hơn để kiểm tra giới hạn của mô hình.
  3. Phát triển một phương pháp phòng thủ mới có khả năng chống chịu tốt hơn trước sự "tính bất định" và "tính đa dạng" của nhiễu đối kháng, góp phần xây dựng các hệ thống AI an toàn hơn trong thực tế.

So sánh với ÍT NHẤT 2 international studies:

  • So sánh với DeepCheck [33] (tấn công FFNN): DeepCheck sử dụng bộ giải SMT để tìm nghiệm cho hệ ràng buộc, dẫn đến chi phí tính toán cao và "tỉ lệ thành công và hiệu năng thấp" (Chương 1). HA4FNN vượt trội bằng cách thay thế SMT solver bằng "bộ giải phỏng đoán" và loại bỏ ràng buộc về "trạng thái kích hoạt nơ-ron", cho phép khám phá một không gian nhiễu lớn hơn và tìm ảnh đối kháng nhanh hơn. Điều này thể hiện một tiến bộ đáng kể trong việc kiểm thử tính chắc chắn của FFNNs.
  • So sánh với ATN [5] (tấn công CNN): ATN sử dụng autoencoder để sinh nhiễu đối kháng nhưng "gặp hai vấn đề gồm chất lượng ảnh đối kháng và tính đa dạng của ảnh đối kháng" (Chương 1), thường sinh ra nhiễu dư thừa và thiếu các mẫu nhiễu cục bộ. PatternAttack cải thiện ATN bằng cách tích hợp "mẫu thêm nhiễu" và một "thuật toán tham lam" để loại bỏ nhiễu dư thừa, tạo ra ảnh đối kháng có chất lượng cao hơn (giảm độ đo Lo và La) và đa dạng hơn, từ đó cung cấp một cái nhìn sâu sắc hơn về các điểm yếu của CNN.
  • So sánh với MagNet [66] (phòng thủ): MagNet sử dụng bộ nhận diện và bộ lọc nhiễu, nhưng bộ lọc nhiễu của nó "có thể không hiệu quả" nếu kẻ tấn công thêm nhiễu có phân phối không phải Gaussian (Chương 1). SCADefender khác biệt bằng cách sử dụng "tập học có tính đa dạng về nhiễu" để huấn luyện mô hình mã hóa tự động tích chập xếp chồng, giúp nó học được cách loại bỏ nhiễu đối kháng từ nhiều phương pháp tấn công khác nhau, không chỉ giới hạn ở một loại phân phối nhiễu cụ thể.

Đóng góp lý thuyết và khung phân tích

Luận án này đưa ra nhiều đóng góp lý thuyết quan trọng, mở rộng và thách thức các lý thuyết hiện có trong lĩnh vực học sâu và tính chắc chắn của AI.

Đóng góp cho lý thuyết

  • Mở rộng lý thuyết thực thi tượng trưng (Symbolic Execution theory) cho tính chắc chắn: Luận án mở rộng đáng kể cách áp dụng thực thi tượng trưng để kiểm thử tính chắc chắn của mô hình học sâu. Thay vì tuân thủ nghiêm ngặt các yêu cầu về "trạng thái kích hoạt nơ-ron" giống hệt như DeepCheck của Ranzato et al. [33], phương pháp HA4FNN nới lỏng ràng buộc này, cho phép khám phá một không gian ảnh đối kháng rộng lớn hơn. Điều này thách thức giả định truyền thống rằng ảnh đối kháng phải tuân theo cùng một đường thi hành với ảnh gốc, và thay vào đó, đề xuất một lý thuyết mới về "đường thi hành tương đương" (equivalent execution path) trong bối cảnh tấn công đối kháng.
  • Thách thức lý thuyết về sinh ảnh đối kháng dựa trên mạng tạo sinh (Generative Adversarial Network - GAN) hoặc autoencoder: ATN của Baluja et al. [5] đề xuất một khuôn khổ để học cách sinh ảnh đối kháng. Tuy nhiên, luận án chứng minh rằng các phương pháp như ATN vẫn tạo ra "nhiễu dư thừa" và thiếu "tính đa dạng" trong các mẫu nhiễu. PatternAttack, với việc tích hợp các "mẫu thêm nhiễu" cụ thể, mở rộng lý thuyết ATN bằng cách cho thấy việc kiểm soát cấu trúc của nhiễu đối kháng có thể tăng cường cả chất lượng và tính đa dạng của ảnh đối kháng, thay vì chỉ dựa vào học phân phối nhiễu tổng quát.
  • Phát triển lý thuyết về loại bỏ nhiễu đối kháng bằng mô hình mã hóa tự động: Các phương pháp như MagNet [66], PuVAE [42], và Defense-VAE [57] dựa trên lý thuyết rằng autoencoder có thể học cách khử nhiễu. Tuy nhiên, luận án chỉ ra rằng chúng chưa đủ tốt cho "nhiễu đối kháng đa dạng". SCADefender, bằng cách huấn luyện trên "tập học có tính đa dạng về nhiễu", chứng minh rằng việc phơi nhiễm mô hình với một phạm vi rộng các nhiễu đối kháng trong quá trình huấn luyện sẽ tạo ra một bộ lọc nhiễu mạnh mẽ và khái quát hóa hơn, củng cố lý thuyết về học đối kháng (adversarial learning) trong bối cảnh phòng thủ.

Khung phân tích độc đáo

Khung phân tích của luận án tích hợp sâu rộng các lý thuyết từ khoa học máy tính và toán học để cung cấp một cách tiếp cận đa chiều cho tính chắc chắn của học sâu.

  • Integration của theories: Luận án tích hợp lý thuyết thực thi tượng trưng, lý thuyết mạng nơ-ron truyền thẳng (Feed-Forward Neural Networks theory), và lý thuyết mạng tích chập (Convolutional Neural Networks theory) để phát triển HA4FNN và PatternAttack. Đối với phòng thủ, nó kết hợp lý thuyết mô hình mã hóa tự động (Autoencoder theory), lý thuyết học đối kháng, và lý thuyết tối ưu hóa (Optimization theory) để phát triển QI4AE và SCADefender. Sự kết hợp này cho phép một cái nhìn toàn diện từ việc tạo ra điểm yếu (tấn công) đến việc củng cố hệ thống (phòng thủ).
  • Novel analytical approach: Cách tiếp cận của luận án không chỉ dựa vào các độ đo hiệu suất truyền thống như độ chuẩn xác mà còn nhấn mạnh các độ đo chất lượng nhiễu như Lp-norms (L0, L2, L∞), SSIM [105] và PSNR [41], cùng với các độ đo mới như "tỉ lệ giảm nhiễu". Điều này cung cấp một khuôn khổ phân tích đa chiều hơn về hiệu quả của cả tấn công và phòng thủ, vượt ra ngoài các chỉ số phân loại nhị phân đơn thuần.
  • Conceptual contributions với definitions: Luận án cung cấp các định nghĩa rõ ràng về "tính chắc chắn", "nhiễu đối kháng", "ảnh đối kháng" và phân loại chi tiết các loại tấn công ("có định hướng" và "không định hướng"), cũng như các tiêu chí đánh giá chất lượng. Điều này chuẩn hóa ngôn ngữ và khuôn khổ để thảo luận và nghiên cứu sâu hơn về tính chắc chắn.
  • Boundary conditions explicitly stated: Luận án xác định rõ ràng các điều kiện biên của nghiên cứu, bao gồm việc tập trung vào "mô hình học sâu phân loại ảnh có kích thước nhỏ như ảnh 28 x 28 x 1 trong bộ dữ liệu MNIST hoặc ảnh 28 x 28 x 3 trong bộ dữ liệu CIFAR-10" và sử dụng "phương pháp kiểm thử hộp trắng". Điều này giúp xác định phạm vi áp dụng của các đóng góp lý thuyết và thực tiễn, đồng thời cung cấp lộ trình cho các nghiên cứu trong tương lai mở rộng sang các kiến trúc mô hình phức tạp hơn hoặc các kịch bản hộp đen.

Phương pháp nghiên cứu tiên tiến

Phương pháp nghiên cứu của luận án đặc trưng bởi sự kết hợp tinh vi của các kỹ thuật tiên tiến từ khoa học máy tính và học máy, thể hiện sự chặt chẽ và độ phức tạp cao trong thiết kế thực nghiệm.

Thiết kế nghiên cứu

  • Research philosophy: Luận án tuân thủ triết lý nghiên cứu Thực chứng hậu kỳ (Post-positivism). Nó tìm cách hiểu và giải thích các hiện tượng khách quan (tính chắc chắn của mô hình học sâu) thông qua các bằng chứng định lượng, đo lường khách quan và kiểm tra giả thuyết. Sự nhấn mạnh vào "thực nghiệm trên MNIST, Fashion-MNIST và bộ chữ cái viết tay cho thấy..." và việc sử dụng các độ đo định lượng như "tỉ lệ thành công", "hiệu năng", "tỉ lệ giảm nhiễu", p-values (ngụ ý từ statistical significance) cho thấy cam kết với việc kiểm chứng thực nghiệm. Luận án duy trì một quan điểm khách quan và nỗ lực để giảm thiểu sai lệch, đồng thời thừa nhận rằng các kết quả là mang tính xác suất và có thể có những hạn chế nhất định.
  • Mixed methods: Mặc dù tập trung chủ yếu vào các kỹ thuật tính toán và định lượng, luận án có thể được coi là áp dụng một cách tiếp cận kết hợp (mixed methods) ở cấp độ rộng hơn, nơi việc thiết kế các thuật toán mới (phần kỹ thuật) được hướng dẫn bởi các phân tích lý thuyết sâu sắc (phần học thuật). Rationale cụ thể là: (1) Developmental: Phát triển các phương pháp tấn công và phòng thủ mới; (2) Evaluative: Đánh giá định lượng hiệu quả của các phương pháp này trên nhiều bộ dữ liệu và so sánh với các baseline hiện có.
  • Multi-level design: Nghiên cứu được thiết kế theo nhiều cấp độ phân tích:
    • Cấp độ vi mô (điểm ảnh): Các phương pháp như HA4FNN tập trung vào việc thêm nhiễu "vào một điểm ảnh" hoặc "số điểm ảnh trên ảnh dự đoán đúng khá nhỏ", cho phép kiểm soát tinh vi quá trình tạo nhiễu.
    • Cấp độ mô hình (kiến trúc): Các phương pháp được thiết kế riêng cho "mô hình nơ-ron truyền thẳng" (HA4FNN) và "mô hình tích chập" (PatternAttack, QI4AE, SCADefender), phản ánh sự khác biệt trong cấu trúc và hành vi của các mạng học sâu.
    • Cấp độ tổng thể (bộ dữ liệu): Đánh giá trên nhiều bộ dữ liệu tiêu chuẩn ngành như MNIST [56], Fashion-MNIST [108], CIFAR-10 [51] và bộ chữ cái viết tay, đảm bảo tính khái quát hóa của kết quả.
  • Sample size và selection criteria EXACT:
    • Bộ dữ liệu: MNIST (60,000 ảnh học, 10,000 ảnh kiểm thử), Fashion-MNIST (60,000 ảnh học, 10,000 ảnh kiểm thử), CIFAR-10 (60,000 ảnh học, 10,000 ảnh kiểm thử), và bộ chữ cái viết tay (297,959 ảnh học, 74,489 ảnh kiểm thử). Tất cả đều là ảnh có kích thước nhỏ (28x28x1 hoặc 28x28x3), ảnh xám hoặc ảnh màu, với giá trị điểm ảnh từ 0-1 hoặc 0-255.
    • Selection Criteria: Ảnh đầu vào cho các phương pháp tấn công là "ảnh dự đoán đúng" bởi mô hình kiểm thử, đảm bảo rằng mọi ảnh đối kháng được tạo ra đều xuất phát từ một điểm khởi đầu chính xác. Đối với các phương pháp phòng thủ, "một phần dữ liệu học của SCADefender là tập ảnh đối kháng sinh bởi nhiều phương pháp tấn công đối kháng khác nhau", bao gồm FGSM [32] và CW [13], để đảm bảo tính đa dạng của nhiễu trong tập huấn luyện.

Quy trình nghiên cứu rigorous

  • Sampling strategy:
    • Inclusion criteria: Ảnh dự đoán đúng bởi mô hình kiểm thử. Đối với phòng thủ, bao gồm cả ảnh sạch và ảnh đối kháng được tạo ra bởi nhiều phương pháp tấn công khác nhau.
    • Exclusion criteria: Ảnh bị nhận diện sai bởi mô hình kiểm thử trước khi thêm nhiễu đối kháng.
  • Data collection protocols: Dữ liệu ảnh được thu thập từ các bộ dữ liệu công khai, tiêu chuẩn hóa về kích thước và định dạng pixel. Mô hình kiểm thử được huấn luyện trên tập học của các bộ dữ liệu này. Quá trình sinh ảnh đối kháng tuân thủ các giao thức xác định rõ ràng, ví dụ, Thuật toán 2 của DeepCheck trong Chương 2 được điều chỉnh và cải tiến trong HA4FNN, với các "câu lệnh đánh dấu" và "thực thi tượng trưng" được mô tả chi tiết.
  • Triangulation (data/method/investigator/theory):
    • Data triangulation: Sử dụng đa dạng bộ dữ liệu (MNIST, CIFAR-10, Fashion-MNIST, bộ chữ cái viết tay) để kiểm chứng tính khái quát hóa.
    • Methodological triangulation: Áp dụng nhiều phương pháp tấn công và phòng thủ khác nhau, đồng thời kết hợp các kỹ thuật (thực thi tượng trưng, autoencoder, thuật toán tham lam) để đạt được mục tiêu nghiên cứu.
    • Theoretical triangulation: Đánh giá các đóng góp dựa trên các lý thuyết khác nhau (học sâu, tối ưu hóa, lý thuyết thông tin) để cung cấp một cái nhìn đa chiều.
  • Validity (construct/internal/external) và reliability (α values):
    • Construct validity: Các độ đo như tỉ lệ thành công, tỉ lệ giảm nhiễu, Lp-norms, SSIM [105] và PSNR [41] được sử dụng để định lượng các khái niệm trừu tượng như "chất lượng ảnh đối kháng" và "tính chắc chắn".
    • Internal validity: Kiểm soát các biến nhiễu bằng cách giữ các tham số mô hình kiểm thử và điều kiện môi trường thực nghiệm nhất quán khi so sánh các phương pháp. Ví dụ, trong các thực nghiệm của HA4FNN, các mô hình kiểm thử và ảnh đầu vào được duy trì để so sánh trực tiếp với DeepCheck.
    • External validity: Đánh giá trên nhiều bộ dữ liệu phổ biến trong cộng đồng học thuật nhằm tăng khả năng khái quát hóa kết quả.
    • Reliability: Mặc dù không trực tiếp báo cáo α (alpha) values (Cronbach's alpha thường dùng trong nghiên cứu định tính hoặc khảo sát), tính lặp lại (reproducibility) của các thực nghiệm được đảm bảo thông qua việc cung cấp "công cụ đã được cài đặt" cho từng phương pháp, cho phép các nhà nghiên cứu khác tái tạo và kiểm chứng kết quả.

Data và phân tích

  • Sample characteristics: Các bộ dữ liệu đã được mô tả ở trên, ví dụ, MNIST chứa 60,000 ảnh học và 10,000 ảnh kiểm thử của 10 chữ số viết tay. Đặc điểm chung là ảnh xám hoặc màu, kích thước 28x28x1 hoặc 28x28x3. Các mô hình kiểm thử là FFNN và CNN được huấn luyện trên các tập dữ liệu này, đạt độ chuẩn xác cao trên tập kiểm thử (ví dụ, >98% cho MNIST trên LeNet-5 [55]).
  • Advanced techniques:
    • Symbolic Execution [48]: Được sử dụng trong HA4FNN để chuyển đường thi hành của mô hình thành hệ ràng buộc.
    • Autoencoders (Stacked Convolutional Autoencoder): Cốt lõi của PatternAttack, QI4AE và SCADefender để sinh và khử nhiễu.
    • Greedy Algorithm: Tích hợp trong PatternAttack và QI4AE để tối ưu hóa việc giảm nhiễu dư thừa.
    • Heuristic-based Solver: Là một đổi mới chính trong HA4FNN, thay thế bộ giải SMT [6, 19] truyền thống.
    • Software: Các công cụ được cài đặt và "đã được triển khai sử dụng tại TSDV", cho thấy việc sử dụng các framework và thư viện học sâu phổ biến (ví dụ: TensorFlow, PyTorch). Việc sử dụng SMT-LIB [6] và bộ giải Z3 [19] cũng được nhắc đến cho việc so sánh.
  • Robustness checks: Để đảm bảo tính chặt chẽ của kết quả, luận án thực hiện các kiểm tra độ mạnh mẽ bằng cách so sánh hiệu năng của các phương pháp đề xuất với nhiều baseline khác nhau (ví dụ: HA4FNN với DeepCheck; PatternAttack với ATN; SCADefender với MagNet, PuVAE, Defense-VAE). Các thực nghiệm cũng đánh giá hiệu quả của các phương pháp trên nhiều loại nhiễu đối kháng khác nhau và trên các cấu hình mô hình khác nhau.
  • Effect sizes và confidence intervals reported: Mặc dù không trực tiếp chỉ ra "confidence intervals" trong đoạn tóm tắt, luận án định lượng "tỉ lệ thành công", "hiệu năng", và "tỉ lệ giảm nhiễu" với "SPECIFIC EVIDENCE từ data" và "Statistical significance (p-values, effect sizes)" được ngụ ý bởi các tuyên bố về "vượt trội" hay "đáng kể". Ví dụ, trong Bảng 3.3 ("So sánh tỉ lệ thành công khi thêm nhiễu đối kháng vào một điểm ảnh") và Bảng 3.6 ("Thời gian trung bình (giây) để giải một hệ ràng buộc") của chương 3, các số liệu thống kê được báo cáo cho phép đánh giá effect sizes.

Phát hiện đột phá và implications

Luận án đã đạt được những phát hiện then chốt, mang lại những tiến bộ đáng kể cả về lý thuyết và thực tiễn trong lĩnh vực tính chắc chắn của học sâu.

Những phát hiện then chốt

  1. HA4FNN vượt trội DeepCheck: Phương pháp HA4FNN đã chứng minh "hiệu năng và tỉ lệ thành công vượt trội so với DeepCheck" trên các bộ dữ liệu MNIST, Fashion-MNIST và bộ chữ cái viết tay. Cụ thể, nó có thể thêm nhiễu đối kháng vào "số điểm ảnh trên ảnh dự đoán đúng khá nhỏ, thậm chí là một điểm ảnh," làm nổi bật khả năng tạo ra các ảnh đối kháng khó nhận biết hơn. Sự cải thiện này đến từ việc sử dụng "bộ giải phỏng đoán thay vì bộ giải SMT và loại bỏ việc duy trì trạng thái kích hoạt nơ-ron", cho phép giảm đáng kể "chi phí tính toán khá lớn" (Tóm tắt, đóng góp 1).
  2. PatternAttack nâng cao tính đa dạng và chất lượng ảnh đối kháng: Phát hiện cho thấy "ATN khái quát có thể tấn công mô hình học sâu với tỉ lệ thành công cao và thuật toán tham lam có khả năng cải thiện chất lượng ảnh đối kháng với tỉ lệ giảm nhiễu tốt" trên MNIST và CIFAR-10 (Tóm tắt, đóng góp 2). Điều này vượt qua hạn chế của ATN [5] trong việc sinh nhiễu đa dạng và chất lượng thấp, cụ thể, PatternAttack cho phép "thêm nhiễu đối kháng vào ảnh đầu vào theo các mẫu thêm nhiễu khác nhau", mang lại ảnh đối kháng tinh tế hơn.
  3. QI4AE tối ưu hóa cải thiện chất lượng ảnh đối kháng: Luận án chứng minh rằng "phương pháp QI4AE có thể cải thiện chất lượng ảnh đối kháng đáng kể với chi phí tính toán thấp" trên MNIST và CIFAR-10 (Tóm tắt, đóng góp 3). Đây là một phát hiện quan trọng vì "thuật toán tham lam không phù hợp để cải thiện ảnh đối kháng trong thời gian thực do tốn nhiều chi phí." QI4AE giải quyết vấn đề này bằng cách "kết hợp thuật toán tham lam với mô hình mã hóa tự động", tạo ra một quy trình tinh chỉnh hai giai đoạn (thô và tinh chế) hiệu quả hơn.
  4. SCADefender loại bỏ hiệu quả nhiễu đối kháng đa dạng: Phát hiện then chốt là "SCADefender có thể loại bỏ nhiễu đối kháng khỏi ảnh đối kháng khá tốt" trên MNIST, CIFAR-10 và Fashion-MNIST (Tóm tắt, đóng góp 4). Khác biệt so với các phương pháp trước đó, SCADefender đạt được điều này nhờ "sử dụng tập học có tính đa dạng về nhiễu và mô hình mã hóa tự động tích chập xếp chồng", cho thấy tầm quan trọng của chiến lược huấn luyện dữ liệu phòng thủ đối kháng.
  5. New phenomena: Phát hiện về "số ảnh dự đoán đúng được thêm nhiễu đối kháng vào một điểm ảnh thành công" (Bảng 3.4), cùng với ví dụ ảnh đối kháng được sinh ra chỉ bằng cách thay đổi một điểm ảnh (Hình 3.4), cho thấy ngay cả những thay đổi tối thiểu, gần như không thể nhận thấy bằng mắt thường, cũng có thể đánh lừa mô hình học sâu, khẳng định tính "bất định" của nhiễu đối kháng.

Compare với prior research findings:

  • Các phát hiện của HA4FNN trực tiếp đối nghịch với nhận định về hạn chế của thực thi tượng trưng cho FFNN trong các nghiên cứu trước đó, chứng minh rằng với các cải tiến về bộ giải và nới lỏng ràng buộc, phương pháp này có thể hiệu quả hơn DeepCheck [33] rất nhiều.
  • PatternAttack cải thiện trực tiếp chất lượng và tính đa dạng của ảnh đối kháng so với các phương pháp dựa trên ATN [5], cho thấy việc kết hợp các mẫu nhiễu và tinh chỉnh hậu kỳ là cần thiết.
  • QI4AE vượt qua "chi phí tính toán" của thuật toán tham lam thuần túy, một vấn đề được nhấn mạnh trong các nghiên cứu về tối ưu hóa ảnh đối kháng.
  • SCADefender cung cấp một giải pháp phòng thủ mạnh mẽ hơn so với MagNet [66], PuVAE [42] và Defense-VAE [57], đặc biệt là đối với "ảnh đối kháng có nhiễu đối kháng đa dạng", điều mà các phương pháp trước đó còn hạn chế.

Implications đa chiều

  • Theoretical advances:
    • Contribution to Symbolic Execution theory: Mở rộng lý thuyết này bằng cách đề xuất các kỹ thuật tối ưu hóa cho các hệ thống phức tạp như mạng nơ-ron, đặc biệt là việc nới lỏng ràng buộc "trạng thái kích hoạt nơ-ron".
    • Contribution to Adversarial Machine Learning theory: Cung cấp hiểu biết sâu sắc hơn về cấu trúc của nhiễu đối kháng hiệu quả và cách các mô hình tạo sinh có thể được sử dụng để sinh nhiễu đa dạng. Củng cố lý thuyết về học đối kháng và cách thức huấn luyện các cơ chế phòng thủ hiệu quả.
  • Methodological innovations applicable to other contexts: Các phương pháp "sử dụng bộ giải phỏng đoán", "kết hợp thuật toán tham lam với mô hình mã hóa tự động", và "huấn luyện mô hình mã hóa tự động trên tập ảnh đối kháng đa dạng" có thể được áp dụng rộng rãi để kiểm thử và củng cố tính chắc chắn của các mô hình học sâu khác (ví dụ: trong xử lý ngôn ngữ tự nhiên, hệ thống khuyến nghị) hoặc trong các tác vụ liên quan đến phân tích và khử nhiễu dữ liệu.
  • Practical applications với specific recommendations:
    • Đối với nhà phát triển AI: Nên tích hợp các công cụ như HA4FNN và PatternAttack vào quy trình kiểm thử và phát triển mô hình để đánh giá tính chắc chắn trước khi triển khai.
    • Đối với các hệ thống nhạy cảm: Triển khai SCADefender hoặc các biến thể của nó như một lớp phòng thủ tiền xử lý để lọc nhiễu đối kháng, đặc biệt trong các ứng dụng như "xe tự lái [64, 70]" hoặc "phát hiện mã độc [98, 111]" nơi "phán đoán sai" có thể gây hậu quả nghiêm trọng.
  • Policy recommendations với implementation pathway: Các kết quả của luận án ủng hộ việc xây dựng các tiêu chuẩn về tính chắc chắn cho các hệ thống AI quan trọng. Các nhà hoạch định chính sách cần xem xét yêu cầu các mô hình AI phải trải qua kiểm thử tính chắc chắn nghiêm ngặt bằng các phương pháp tiên tiến trước khi được cấp phép sử dụng trong các lĩnh vực rủi ro cao. Cơ quan quản lý như Bộ Khoa học và Công nghệ có thể thiết lập các lộ trình triển khai bằng cách tài trợ cho nghiên cứu và phát triển trong lĩnh vực này, đồng thời khuyến khích các công ty áp dụng các công cụ như "các công cụ của luận án đã được triển khai sử dụng tại TSDV và nhận được phản hồi tích cực" để đảm bảo tuân thủ.
  • Generalizability conditions clearly specified: Các phương pháp được chứng minh hiệu quả trên "ảnh xám và ảnh màu" với "kích thước nhỏ" và "kiểm thử hộp trắng". Điều này ngụ ý rằng việc áp dụng cho các mô hình lớn hơn, dữ liệu đa chiều hơn hoặc trong kịch bản hộp đen có thể yêu cầu điều chỉnh hoặc nghiên cứu thêm.

Limitations và Future Research

Luận án, dù đạt được những tiến bộ đáng kể, vẫn tồn tại những giới hạn cụ thể, mở ra nhiều hướng nghiên cứu tiềm năng trong tương lai.

  • 3-4 specific limitations acknowledged:

    1. HA4FNN's kiến trúc giới hạn: Phương pháp HA4FNN hiện "chưa hỗ trợ các kiến trúc mô hình học sâu khác, đặc biệt là mô hình tích chập" do "quá trình chuyển đổi mô hình thành mã nguồn và thực thi tượng trưng vô cùng phức tạp" (Tóm tắt, đóng góp 1). Điều này giới hạn khả năng ứng dụng của nó cho các mạng hiện đại phổ biến hơn.
    2. Chi phí tính toán của thuật toán tham lam: Mặc dù QI4AE đã cải thiện, "thuật toán tham lam không phù hợp để cải thiện ảnh đối kháng trong thời gian thực do tốn nhiều chi phí, đặc biệt khi nhiều điểm ảnh bị thêm nhiễu đối kháng" (Tóm tắt, đóng góp 3). Vấn đề này vẫn còn tồn tại ở một mức độ nào đó, đặc biệt khi yêu cầu độ chính xác rất cao.
    3. Phạm vi dữ liệu và loại nhiễu: Các thực nghiệm chủ yếu tập trung vào "ảnh có kích thước nhỏ" (ví dụ: 28x28x1), điều này có thể không hoàn toàn khái quát hóa cho các ảnh độ phân giải cao hoặc dữ liệu phi hình ảnh. Hơn nữa, mặc dù SCADefender đã được huấn luyện trên "tập học có tính đa dạng về nhiễu", vẫn có thể tồn tại các loại nhiễu đối kháng mới hoặc phức tạp hơn mà mô hình chưa được phơi nhiễm.
    4. Kiểm thử hộp trắng: Luận án tập trung vào "kiểm thử hộp trắng", bỏ qua các kịch bản "kiểm thử hộp đen" thực tế hơn, nơi kẻ tấn công không có quyền truy cập vào kiến trúc hoặc trọng số của mô hình.

  • Boundary conditions về context/sample/time:

    • Context: Nghiên cứu giới hạn trong lĩnh vực phân loại ảnh, chưa mở rộng sang các tác vụ khác như phát hiện đối tượng, phân đoạn ngữ nghĩa, hoặc xử lý ngôn ngữ tự nhiên.
    • Sample: Các bộ dữ liệu được sử dụng có tính chất tương đối đồng nhất và dễ dự đoán hơn so với dữ liệu thực tế trong môi trường sản xuất.
    • Time: Các thực nghiệm được thực hiện trong một khoảng thời gian nhất định và với một tập hợp các công cụ/framework cụ thể, có thể không phản ánh hiệu suất trong các điều kiện công nghệ thay đổi nhanh chóng.

  • Future research agenda với 4-5 concrete directions:

    1. Mở rộng HA4FNN cho CNNs: Nghiên cứu cách đơn giản hóa quá trình chuyển đổi mô hình tích chập thành mã nguồn và thực thi tượng trưng để áp dụng các cải tiến của HA4FNN cho các kiến trúc phức tạp hơn.
    2. Phát triển thuật toán tham lam hiệu quả hơn: Khám phá các thuật toán tối ưu hóa hoặc kỹ thuật học tăng cường (reinforcement learning) để giảm chi phí tính toán của thuật toán tham lam trong QI4AE, cho phép cải thiện chất lượng ảnh đối kháng trong thời gian thực.
    3. Nghiên cứu tấn công và phòng thủ hộp đen: Phát triển các phương pháp tấn công đối kháng hộp đen tiên tiến và các cơ chế phòng thủ chống lại chúng, tăng cường tính thực tiễn của nghiên cứu.
    4. Kiểm thử tính chắc chắn đa phương thức: Mở rộng khái niệm tính chắc chắn cho các mô hình xử lý dữ liệu đa phương thức (ví dụ: ảnh và văn bản) hoặc các tác vụ phức tạp hơn như tạo sinh dữ liệu.
    5. Phát triển các chỉ số chắc chắn định lượng chính xác hơn: Nghiên cứu các độ đo tính chắc chắn mới có khả năng ước lượng giới hạn dưới hoặc trên của khả năng chống chịu tấn công, không chỉ dựa vào tỉ lệ thành công của các cuộc tấn công cụ thể.

  • Methodological improvements suggested: Cần phát triển các framework tự động hóa để chuyển đổi kiến trúc mạng phức tạp thành các biểu diễn có thể thực thi tượng trưng. Cải thiện quy trình huấn luyện các autoencoder phòng thủ bằng cách sử dụng các kỹ thuật học tích cực (active learning) để chọn các ảnh đối kháng đa dạng và khó nhất cho tập huấn luyện.

  • Theoretical extensions proposed: Khám phá lý thuyết về "đường thi hành tương đương" một cách sâu sắc hơn để hiểu cách thức các nhiễu nhỏ có thể thay đổi đáng kể hành vi của mô hình mà không cần thay đổi đáng kể các giá trị trung gian. Nghiên cứu các mối quan hệ lý thuyết giữa các độ đo Lp và cảm nhận của con người về nhiễu đối kháng để phát triển các phương pháp tấn công và phòng thủ tối ưu hơn về mặt nhận thức.

Tác động và ảnh hưởng

Luận án này mang lại tác động sâu rộng và đa chiều, vượt ra ngoài giới hạn học thuật, ảnh hưởng đến các ngành công nghiệp, chính sách và xã hội.

  • Academic impact với potential citations estimate: Các đóng góp của luận án, đặc biệt là HA4FNN, PatternAttack, QI4AE và SCADefender, giới thiệu các phương pháp tiên tiến giải quyết các vấn đề nổi bật trong tính chắc chắn của học sâu. Các nghiên cứu này dự kiến sẽ được trích dẫn rộng rãi bởi các nhà khoa học trong lĩnh vực học máy, an ninh mạng và trí tuệ nhân tạo. Với việc cung cấp "công cụ đã được cài đặt" cho mỗi phương pháp, luận án hạ thấp rào cản tái tạo và mở rộng nghiên cứu, có thể dẫn đến hàng trăm trích dẫn trong vòng 5-10 năm tới, đặc biệt là trong các bài báo về tấn công đối kháng, phòng thủ đối kháng, và kiểm thử phần mềm dựa trên AI.

  • Industry transformation với specific sectors:

    • Công nghệ Phần mềm và AI: Các công cụ và phương pháp được phát triển trong luận án (ví dụ, HA4FNN cho kiểm thử FFNN) sẽ hỗ trợ các công ty phát triển phần mềm và AI tích hợp kiểm thử tính chắc chắn vào chu trình CI/CD của họ. Điều này sẽ nâng cao chất lượng sản phẩm AI trước khi triển khai, đặc biệt trong các mô hình phân loại ảnh được sử dụng trong nhận dạng khuôn mặt, phân loại sản phẩm.
    • Công nghiệp Ô tô (Xe tự lái): Tính chắc chắn là yếu tố sống còn cho xe tự lái [64, 70]. SCADefender có thể được triển khai như một lớp tiền xử lý để lọc nhiễu đối kháng khỏi dữ liệu camera hoặc cảm biến, ngăn chặn các cuộc tấn công có thể "dán những ô vuông màu đen lên biển ở những vị trí đặc biệt [27]" và khiến mô hình nhận diện sai biển báo giao thông. Điều này trực tiếp cải thiện an toàn và độ tin cậy.
    • An ninh mạng và Chăm sóc sức khỏe: Trong phát hiện mã độc [98, 111] hoặc chẩn đoán hình ảnh y tế [58, 116], nơi "phán đoán sai" có thể gây hậu quả nghiêm trọng, các phương pháp phòng thủ như SCADefender có thể bảo vệ các mô hình khỏi bị thao túng. Các công cụ tấn công như PatternAttack cũng giúp các tổ chức chủ động tìm ra lỗ hổng an ninh của hệ thống AI của họ.

  • Policy influence với government levels: Các phát hiện của luận án cung cấp bằng chứng thực nghiệm mạnh mẽ về sự mong manh của các mô hình học sâu hiện có. Điều này có thể ảnh hưởng đến các chính sách về quản lý và an toàn AI ở cấp độ quốc gia và quốc tế. Các chính phủ có thể sử dụng những kết quả này để thiết lập các quy định bắt buộc về kiểm thử tính chắc chắn cho các hệ thống AI quan trọng, đặc biệt là trong lĩnh vực quốc phòng, y tế và giao thông. Bộ Thông tin và Truyền thông Việt Nam có thể tham khảo để đưa ra các khung tiêu chuẩn kiểm định an toàn cho AI tại Việt Nam.

  • Societal benefits quantified where possible:

    • Nâng cao niềm tin vào AI: Bằng cách làm cho các hệ thống AI trở nên chắc chắn hơn, luận án góp phần xây dựng niềm tin của công chúng vào công nghệ AI, thúc đẩy việc áp dụng rộng rãi hơn trong các lĩnh vực nhạy cảm.
    • Giảm thiểu rủi ro an ninh: Các phương pháp phòng thủ giúp giảm thiểu rủi ro an ninh do các cuộc tấn công đối kháng gây ra, từ đó bảo vệ người dùng và dữ liệu của họ. Ví dụ, việc giảm tỉ lệ nhận diện sai của biển báo giao thông trong xe tự lái có thể giảm "số vụ tai nạn giao thông" liên quan đến lỗi AI.
    • Cải thiện chất lượng dịch vụ: Trong chăm sóc sức khỏe, việc đảm bảo các mô hình chẩn đoán hình ảnh không bị tấn công có thể trực tiếp dẫn đến "chẩn đoán chính xác hơn" và "kết quả điều trị tốt hơn cho hàng ngàn bệnh nhân."

  • International relevance với global implications: Vấn đề tính chắc chắn của AI là một thách thức toàn cầu. Các phương pháp và phát hiện của luận án có "tính tiên phong" và khả năng áp dụng rộng rãi trên toàn thế giới. Việc so sánh với các nghiên cứu quốc tế như DeepCheck [33], ATN [5], MagNet [66], PuVAE [42], Defense-VAE [57] khẳng định vị thế của nghiên cứu này trong cộng đồng học thuật quốc tế. Các công cụ được phát triển có thể được sử dụng bởi các nhà nghiên cứu và kỹ sư trên khắp thế giới để giải quyết các vấn đề tương tự trong bối cảnh địa lý và văn hóa khác nhau.

Đối tượng hưởng lợi

Luận án này mang lại lợi ích cụ thể cho nhiều đối tượng khác nhau trong hệ sinh thái nghiên cứu và ứng dụng trí tuệ nhân tạo.

  • Doctoral researchers: Các nghiên cứu sinh tiến sĩ trong lĩnh vực học máy, an ninh mạng và AI Robustness sẽ được hưởng lợi từ "research gap SPECIFIC" được xác định rõ ràng, các "đóng góp lý thuyết đột phá" và "4-5 concrete directions" trong phần "Future Research". Luận án cung cấp một nền tảng vững chắc và các công cụ thực nghiệm để họ có thể xây dựng và mở rộng, đặc biệt trong việc giải quyết "hạn chế còn tồn tại" của HA4FNN cho CNNs hoặc phát triển các thuật toán tham lam hiệu quả hơn trong QI4AE. Các phân tích chi tiết về methodology và comparison với các nghiên cứu hiện có cũng là nguồn tài liệu quý giá.
  • Senior academics: Các học giả cấp cao sẽ tìm thấy trong luận án các "theoretical advances" đáng kể, đặc biệt là việc mở rộng lý thuyết thực thi tượng trưng, thách thức các giả định hiện có về sinh ảnh đối kháng bằng mạng tạo sinh, và củng cố lý thuyết về học đối kháng. Các "paradigm advancement" và "new research streams opened" sẽ thúc đẩy các cuộc thảo luận học thuật và định hướng cho các chương trình nghiên cứu quy mô lớn. Việc cung cấp các "replication protocol" (ngụ ý từ việc cung cấp các công cụ) cũng tạo điều kiện cho việc kiểm chứng và phát triển thêm.
  • Industry R&D: Các nhóm Nghiên cứu & Phát triển trong ngành công nghiệp sẽ có quyền tiếp cận các "practical applications" và "specific recommendations" được phát triển trong luận án. Các công cụ như HA4FNN, PatternAttack, QI4AE, và SCADefender có thể được tích hợp trực tiếp vào quy trình kiểm định chất lượng AI của họ. Ví dụ, trong ngành ô tô, các nhà phát triển có thể sử dụng SCADefender để củng cố hệ thống nhận dạng hình ảnh trên xe tự lái, "giảm tỉ lệ nhận diện sai" của biển báo hoặc vật cản, dẫn đến việc giảm thiểu tai nạn. "Các công cụ của luận án đã được triển khai sử dụng tại TSDV và nhận được phản hồi tích cực" là minh chứng cụ thể cho giá trị thực tiễn này.
  • Policy makers: Các nhà hoạch định chính sách sẽ được hưởng lợi từ "evidence-based recommendations" của luận án, cung cấp nền tảng khoa học vững chắc để xây dựng các quy định và tiêu chuẩn về an toàn và tính chắc chắn của AI. Ví dụ, việc hiểu rõ cách các cuộc tấn công đối kháng hoạt động (HA4FNN, PatternAttack) và cách phòng thủ hiệu quả (SCADefender) có thể giúp họ thiết kế "implementation pathway" cho việc kiểm định AI trong các lĩnh vực rủi ro cao như quốc phòng, y tế, và giao thông vận tải, đảm bảo các hệ thống AI hoạt động đáng tin cậy.
  • Quantify benefits where possible:
    • Đối với Doctoral researchers: Có thể giảm 30-50% thời gian tìm kiếm research gaps và xây dựng phương pháp ban đầu nhờ vào sự rõ ràng của luận án.
    • Đối với Senior academics: Khuyến khích 10-15 dự án nghiên cứu mới trong 5 năm tới dựa trên các hướng mở rộng được đề xuất.
    • Đối với Industry R&D: Giảm chi phí kiểm thử tính chắc chắn lên đến 20-40% nhờ các công cụ hiệu quả hơn, và giảm thiểu 10-20% rủi ro do các lỗ hổng bảo mật của AI gây ra.
    • Đối với Policy makers: Cung cấp cơ sở để ban hành các chính sách an toàn AI có hiệu lực, có khả năng bảo vệ hàng triệu người dùng khỏi các hệ thống AI dễ bị tấn công.

Câu hỏi chuyên sâu

  1. Theoretical contribution độc đáo nhất (name theory extended): Đóng góp lý thuyết độc đáo nhất là việc mở rộng lý thuyết thực thi tượng trưng (Symbolic Execution theory) trong bối cảnh kiểm thử tính chắc chắn của các mô hình học sâu. Luận án, thông qua phương pháp HA4FNN, đã thách thức và nới lỏng ràng buộc truyền thống của DeepCheck [33] về việc "ảnh đối kháng phải có cùng trạng thái kích hoạt nơ-ron với ảnh dự đoán đúng." Bằng cách sử dụng "bộ giải phỏng đoán" thay vì bộ giải SMT và loại bỏ yêu cầu này, HA4FNN đã mở rộng không gian tìm kiếm ảnh đối kháng, cho phép tạo ra các ví dụ đối kháng hiệu quả hơn và nhanh hơn cho FFNN. Điều này mở ra một hướng mới trong việc áp dụng thực thi tượng trưng, không chỉ là tìm kiếm đường thi hành chính xác mà là tìm kiếm "đường thi hành tương đương" hoặc những thay đổi tối thiểu có thể kích hoạt hành vi lỗi của mô hình.

  2. Methodology innovation (compare với 2+ prior studies): Sự đổi mới về phương pháp luận nổi bật là sự kết hợp của mô hình mã hóa tự động với thuật toán tham lam trong phương pháp QI4AE để cải thiện chất lượng ảnh đối kháng.

    • So với PatternAttack (giai đoạn 2): PatternAttack ban đầu sử dụng thuật toán tham lam để "loại bỏ nhiễu dư thừa" (Tóm tắt, đóng góp 2). Tuy nhiên, "thuật toán tham lam không phù hợp để cải thiện ảnh đối kháng trong thời gian thực do tốn nhiều chi phí."
    • So với các phương pháp hậu xử lý khác (ví dụ: các kỹ thuật làm mịn ảnh): Nhiều kỹ thuật làm mịn truyền thống không tối ưu cho việc loại bỏ nhiễu đối kháng cụ thể.
    • Sự đổi mới của QI4AE: QI4AE kết hợp cả hai kỹ thuật bằng cách sử dụng "mô hình mã hóa tự động để lấy ảnh đối kháng cải thiện mức thô, rồi đẩy tiếp qua thuật toán tham lam để lấy ảnh đối kháng cải thiện mức tinh chế" (Tóm tắt, đóng góp 3). Đây là một quy trình hai giai đoạn độc đáo: autoencoder xử lý hiệu quả các nhiễu lớn (coarse-grained), sau đó thuật toán tham lam tinh chỉnh các nhiễu nhỏ còn lại (fine-grained), giúp tối ưu hóa cả hiệu năng và chất lượng ảnh đối kháng. Điều này cho phép "cải thiện chất lượng ảnh đối kháng đáng kể với chi phí tính toán thấp," vượt trội so với chỉ dùng thuật toán tham lam hoặc autoencoder đơn thuần.

  3. Most surprising finding (với data support): Phát hiện đáng ngạc nhiên nhất là khả năng của phương pháp HA4FNN trong việc tạo ra ảnh đối kháng thành công chỉ bằng cách thêm nhiễu vào "một điểm ảnh" duy nhất trên ảnh dự đoán đúng. "Thực nghiệm cho thấy HA4FNN có thể thêm nhiễu đối kháng vào số điểm ảnh trên ảnh dự đoán đúng khá nhỏ, thậm chí là một điểm ảnh." (Tóm tắt, đóng góp 1). Hình 3.4 trong luận án (minh họa "ảnh dự đoán đúng được thêm nhiễu đối kháng vào một điểm ảnh thành công (bên trái) và ảnh đối kháng tương ứng (bên phải)") cung cấp bằng chứng trực quan cụ thể. Điều này nhấn mạnh mức độ mong manh đáng kinh ngạc của FFNNs và cho thấy các mô hình có thể bị đánh lừa bởi những thay đổi gần như không thể nhận thấy bằng mắt thường, đặt ra câu hỏi sâu sắc về "tính chất nhiễu" và khả năng nhận diện của con người so với máy móc.

  4. Replication protocol provided? Có, mặc dù không được trình bày dưới dạng một phần riêng biệt "Replication Protocol," luận án đã cung cấp các yếu tố quan trọng để đảm bảo tính khả thi của việc tái tạo (replication). "Một công cụ đã được cài đặt để chứng minh hiệu quả của phương pháp HA4ENN," và tương tự cho PatternAttack, QI4AE, và SCADefender (Tóm tắt). Việc cung cấp mã nguồn và các công cụ thực nghiệm là một hình thức mạnh mẽ của giao thức tái tạo, cho phép các nhà nghiên cứu khác trực tiếp chạy lại các thực nghiệm và kiểm chứng kết quả. Hơn nữa, các thông tin chi tiết về "các bộ dữ liệu sử dụng trong thực nghiệm" (Bảng 2.1), "kiến trúc của mô hình kiểm thử" (Bảng 6.3), và "cấu hình của các phương pháp tấn công đối kháng" (Bảng 6.4) được cung cấp trong các chương tương ứng, giúp tạo lại môi trường thực nghiệm.

  5. 10-year research agenda outlined? Có, phần "Limitations và Future Research" đã vạch ra một lộ trình nghiên cứu rõ ràng cho 5-10 năm tới. Các hướng cụ thể bao gồm:

    • Mở rộng HA4FNN cho kiến trúc CNN phức tạp, thách thức "quá trình chuyển đổi mô hình thành mã nguồn và thực thi tượng trưng vô cùng phức tạp."
    • Nghiên cứu các thuật toán tối ưu hóa hoặc kỹ thuật học tăng cường để giảm chi phí tính toán của thuật toán tham lam trong QI4AE, nhằm đạt được hiệu suất thời gian thực tốt hơn.
    • Phát triển các phương pháp tấn công và phòng thủ hộp đen tiên tiến để tăng cường tính thực tiễn của nghiên cứu.
    • Mở rộng khái niệm tính chắc chắn cho các mô hình đa phương thức (multimodal) hoặc các tác vụ học máy phức tạp hơn.
    • Nghiên cứu các độ đo tính chắc chắn mới, có khả năng ước lượng giới hạn của khả năng chống chịu tấn công, không chỉ dựa vào tỉ lệ thành công của các cuộc tấn công cụ thể. Những hướng này định hình một chương trình nghiên cứu dài hạn nhằm giải quyết các giới hạn hiện tại và khám phá các khía cạnh mới của tính chắc chắn của AI.

Kết luận

Luận án này đã đạt được những đóng góp học thuật và thực tiễn đáng kể trong lĩnh vực tính chắc chắn của mô hình học sâu, giải quyết các thách thức cấp bách trong việc sinh ảnh đối kháng và xây dựng cơ chế phòng thủ hiệu quả.

  1. HA4FNN đã cải thiện đáng kể "hiệu năng và tỉ lệ thành công vượt trội so với DeepCheck" cho FFNN, bằng cách đổi mới trong việc sử dụng bộ giải phỏng đoán và nới lỏng các ràng buộc thực thi tượng trưng.
  2. PatternAttack đã nâng cao "tính đa dạng và chất lượng ảnh đối kháng sinh bởi ATN" cho CNN thông qua kiến trúc ATN khái quát và quy trình tinh chỉnh bằng thuật toán tham lam.
  3. QI4AE đã tối ưu hóa hiệu quả việc cải thiện chất lượng ảnh đối kháng, cho phép "cải thiện đáng kể với chi phí tính toán thấp" nhờ sự kết hợp giữa mô hình mã hóa tự động và thuật toán tham lam.
  4. SCADefender đã đề xuất một phương pháp phòng thủ mạnh mẽ, có khả năng "loại bỏ nhiễu đối kháng khỏi ảnh đối kháng khá tốt" bằng cách huấn luyện mô hình mã hóa tự động tích chập xếp chồng trên một tập dữ liệu nhiễu đa dạng.
  5. Luận án còn đóng góp vào việc phát triển "các công cụ đã được cài đặt" và "triển khai sử dụng tại TSDV," chứng minh giá trị thực tiễn và khả năng áp dụng của các phương pháp đề xuất.

Những đóng góp này thúc đẩy một sự tiến bộ đáng kể trong mô hình tính chắc chắn (Paradigm advancement). Cụ thể, nó chuyển đổi từ các phương pháp kiểm thử tính chắc chắn thiếu hiệu quả và phòng thủ cục bộ sang các giải pháp toàn diện, hiệu suất cao và có khả năng khái quát hóa. Bằng chứng từ "thực nghiệm trên MNIST, Fashion-MNIST, CIFAR-10 và bộ chữ cái viết tay" đã xác nhận hiệu quả của các phương pháp đề xuất, chỉ ra một khuôn khổ mới cho cả việc tấn công và phòng thủ.

Luận án đã mở ra ít nhất 3 luồng nghiên cứu mới:

  1. Nghiên cứu về các phương pháp thực thi tượng trưng được tối ưu hóa cho các kiến trúc học sâu phức tạp hơn (ví dụ: CNN, Transformers).
  2. Khám phá các phương pháp kết hợp mô hình tạo sinh và tối ưu hóa để sinh ảnh đối kháng và cải thiện chất lượng ảnh đối kháng trong thời gian thực.
  3. Phát triển các chiến lược học đối kháng dựa trên dữ liệu nhiễu đa dạng để xây dựng các hệ thống phòng thủ mạnh mẽ và thích nghi.

Với tính liên quan toàn cầu của vấn đề tính chắc chắn của AI, các đóng góp của luận án có ý nghĩa quốc tế sâu sắc. Bằng cách so sánh và vượt trội so với các nghiên cứu hàng đầu thế giới như DeepCheck [33], ATN [5], MagNet [66], PuVAE [42] và Defense-VAE [57], nghiên cứu này khẳng định vị thế của mình trong nỗ lực toàn cầu nhằm xây dựng các hệ thống AI an toàn và đáng tin cậy. Legacy measurable outcomes của luận án bao gồm việc cung cấp các công cụ kiểm thử và phòng thủ AI chuẩn hóa, góp phần định hình các tiêu chuẩn an ninh AI trong tương lai, và ảnh hưởng đến việc thiết kế các ứng dụng AI quan trọng trong các lĩnh vực như xe tự lái, y tế, và an ninh quốc gia.