Luận án: Đảm bảo tính chắc chắn mô hình học sâu và phòng thủ tấn công đối kháng

HÀ NỘI TRƢỜNG ĐẠI HỌC CÔNG NGHỆ CÁC PHƢƠNG PHÁP ĐẢM BẢO TÍNH CHẮC CHẮN CHO MỘT SỐ MÔ HÌNH HỌC SÂU LUẬN ÁN TIẾN SĨ KỸ THUẬT PHẦN MỀM ĐẠI HỌC .HÀ NỘI TRƢỜNG ĐẠI HỌC CÔNG NGHỆ CÁC PHƢƠNG PHÁP ĐẢM BẢO TÍNH CHẮC CHẮN CHO MỘT SỐ MÔ HÌNH HỌC SÂU Chuyên ngành: Kỹ thuật phần mềm Mã số: 9480103.01 LUẬN ÁN TIẾN SĨ KỸ THUẬT PHẦN MỀM NGƯỜI HƯỚNG DẪN KHOA HỌC: PGS. Phạm Ngọc Hùng GS. Nguyễn Lê Minh Mục lục Chƣơng 1. Mục tiêu và phạm vi nghiên cứu.

Các đóng góp chính của luận án và mối quan hệ. Cây nghiên cứu. Bố cục các chương trong luận án. Kiến thức nền tảng.

Mạng học sâu cho bài toán phân loại ảnh. Mạng học sâu. Mạng nơ-ron truyền thẳng. Mạng tích chập.

Xây dựng mô hình học sâu cho bài toán phân loại ảnh. Mạng mã hóa tự động. Mạng mã hóa tự động thưa. Mạng mã hóa tự động xếp chồng.

Mạng mã hóa tự động tích chập xếp chồng. Tấn công đối kháng. Hai loại tấn công đối kháng phổ biến. Tính chắc chắn.

Phân loại ảnh. Tính chất nhiễu. Đánh giá tính chắc chắn của mô hình học sâu. Các phương pháp tấn công đối kháng không định hướng.

Các phương pháp tấn công đối kháng có định hướng. Các phương pháp phòng thủ sử dụng mô hình mã hóa tự động. Phương pháp PuVAE. Phương pháp MagNet.

Phương pháp Defense-VAE. Tỉ lệ phát hiện để đánh giá chất lượng mô hình mã hóa tự động phòng thủ. Các bộ dữ liệu sử dụng trong thực nghiệm. Bộ giải SMT.

Tóm tắt chương. Phƣơng pháp sử dụng bộ giải phỏng đoán để tấn công đối kháng không định hƣớng mô hình nơ-ron truyền thẳng. Các nghiên cứu liên quan. Phương pháp HA4FNN.

Sinh mã nguồn từ mô hình & Chèn câu lệnh đánh dấu. Thực thi tượng trưng. Bộ giải phỏng đoán. Tóm tắt chương.

Phƣơng pháp sử dụng mô hình mã hóa tự động để tấn công đối kháng có định hƣớng mô hình tích chập. Các nghiên cứu liên quan. Phương pháp PatternAttack. ATN khái quát.

Cải thiện chất lượng ảnh đối kháng. Tóm tắt chương. Phƣơng pháp sử dụng mô hình mã hóa tự động kết hợp thuật toán tham lam để cải thiện chất lƣợng ảnh đối kháng. Các nghiên cứu liên quan.

Phương pháp QI4AE. Pha xây dựng. Pha cải thiện. Tóm tắt chương.

Phƣơng pháp sử dụng mô hình mã hóa tự động để cải thiện tính chắc chắn của mô hình tích chập. Các nghiên cứu liên quan. Phương pháp SCADefender. Sinh tập ảnh đối kháng.

Xây dựng mô hình mã hóa tự động. Tóm tắt chương. Các kết quả đạt được. Hướng phát triển tiếp theo.

119 iv Danh sách hình vẽ 1.1 Cây nghiên cứu của các phương pháp tấn công đối kháng liên quan đến luận án.2 Cây nghiên cứu của các phương pháp cải thiện chất lượng ảnh đối kháng liên quan đến luận án.3 Cây nghiên cứu của các phương pháp cải thiện tính chắc chắn (hay các phương pháp phòng thủ) liên quan đến luận án.4 Mối quan hệ giữa các chương đề xuất phương pháp trong luận án.1 Ví dụ một phần mạng nơ-ron truyền thẳng. Để cho dễ nhìn, một vài trọng số giữa các tầng bị ẩn đi.2 Kiến trúc LeNet-5 [55].3 Ví dụ mạng mã hóa tự động xếp chồng xếp chồng .4 Ví dụ về một mạng mã hóa tự động tích chập xếp chồng.5 Ví dụ ảnh đối kháng sinh bởi phương pháp tấn công đối kháng không định hướng.6 Minh họa một hệ ràng buộc sinh ra bởi DeepCheck cài đặt bởi luận án.7 Ví dụ hệ ràng buộc theo chuẩn SMT-Lib.8 Ví dụ nghiệm của hệ ràng buộc theo chuẩn SMT-Lib.1 Minh họa một mã nguồn C trước và sau khi chèn các câu lệnh đánh dấu được kí hiệu bởi marker .2 Ví dụ về cách tính giá trị nơ-ron từ các điểm ảnh tượng trưng.3 Số ảnh dự đoán đúng được thêm nhiễu đối kháng vào một điểm ảnh.4 Ví dụ một vài ảnh dự đoán đúng được thêm nhiễu đối kháng vào một điểm ảnh thành công (bên trái) và ảnh đối kháng tương ứng (bên phải).1 Tổng quan phương pháp PatternAttack .2 Ví dụ bản đồ nổi bật .3 Ví dụ mẫu bản đồ nổi bật .1 Ví dụ ảnh đối kháng sinh bởi L-BFGS trước và sau khi cải thiện.2 Tổng quan phương pháp QI4AE .3 Xu hướng của tỉ lệ thành công khi cải thiện ảnh đối kháng sinh bởi FGSM sử dụng các ngưỡng khác nhau .4 Xu hướng của tỉ lệ giảm nhiễu khi sử dụng các ngưỡng δ khác nhau.5 Ví dụ ảnh trước và sau khi loại bỏ nhiễu đối kháng trong bộ dữ liệu MNIST và CIFAR-10.1 Tổng quan phương pháp SCADefender .2 Ví dụ ảnh đối kháng từ bộ dữ liệu MNIST sinh bởi một vài phương pháp tấn công đối kháng không định hướng.3 Ví dụ ảnh sinh bởi PuVAE trên MNIST và CIFAR-10. 112 vi Danh sách bảng 2.1 Mô tả bộ dữ liệu sử dụng trong các thực nghiệm .1 Mô tả các mô hình kiểm thử .2 Thống kê ảnh dự đoán đúng dùng để kiểm tra tính chắc chắn của mô hình kiểm thử .3 So sánh tỉ lệ thành công khi thêm nhiễu đối kháng vào một điểm ảnh .4 Số ảnh dự đoán đúng thêm nhiễu đối kháng vào một điểm ảnh thành công 54 3.5 Tỉ lệ thành công của khi thêm nhiễu đối kháng vào nhiều điểm ảnh .6 Thời gian trung bình (giây) để giải một hệ ràng buộc .1 Độ chuẩn xác của mô hình kiểm thử trên tập học và tập kiểm thử.2 Kiến trúc ATN khái quát sử dụng để sinh ảnh đối kháng từ Mtrain, Mval và Mnew (MNIST) .3 Kiến trúc ATN khái quát sử dụng để sinh ảnh đối kháng từ Ctrain, Cval và Cnew (CIFAR-10) .4 Thống kê tỉ lệ thành công .5 Thống kê tỉ lệ giảm nhiễu của thuật toán tham lam.6 Hiệu năng của PatternAttack và các phương pháp khác (giây) .1 Kiến trúc của mô hình mã hóa tự động sử dụng trong thực nghiệm .2 Tỉ lệ thành công của các mô hình mã hóa tự động .3 Tỉ lệ giảm nhiễu của L0 và L2 trên Xtest .4 Hiệu năng trung bình của pha cải thiện trong QI4AE và thuật toán tham lam khử nhiễu dư thừa (giây) .1 So sánh các phương pháp mô hình mã hóa tự động phòng thủ .2 Thống kê độ chuẩn xác của mô hình kiểm thử .3 Kiến trúc của mô hình kiểm thử .4 Cấu hình của các phương pháp tấn công đối kháng không định hướng 108 6.5 Thống kê tỉ lệ thành công (SR) của các phương pháp tấn công đối kháng không định hướng, trong đó #adv là số ảnh đối kháng .6 Thống kê về tỉ lệ phát hiện của các phương pháp trên ảnh không có nhiễu 113 6.7 Thống kê tỉ lệ phát hiện của các phương pháp cải thiện tính chắc chắn cho mô hình kiểm thử M .8 Thống kê tỉ lệ phát hiện của các phương pháp cải thiện tính chắc chắn cho mô hình kiểm thử F.9 Thống kê tỉ lệ phát hiện của các phương pháp cải thiện tính chắc chắn cho mô hình kiểm thử C .10 Hiệu năng của cải thiện tính chắc chắn trên một ảnh (mili giây). 115 viii Thuật ngữ và từ viết tắt Từ viết tắt Từ tiếng Anh Ý nghĩa/Tạm dịch ATN Adversarial Transforma- Mạng biến đổi đối kháng tion Networks AST Abstract Syntax Tree Cây cú pháp trừu tượng API Application Programming Giao diện lập trình ứng dụng Interface BIM Basic Iterative Method Phương pháp lặp lại cơ bản CNN Convolutional Neural Net- Mô hình tích chập work COI Coefficient Input Đầu vào hệ số DNN Deep Neural Network Mô hình học sâu EAD Elastic-Net Attacks to Tấn công lưới đàn hồi cho mô Deep Neural Networks hình học sâu FGSM Fast Gradient Sign Phương pháp dấu đạo hàm nhanh Method FFNN Feed-Forward Neural Net- Mô hình nơ-ron truyền thẳng work HA4FNN Heuristic-based Attack for Tấn công phỏng đoán cho mô Feed-forward Neural Net- hình nơ-ron truyền thẳng work JSMA Jacobian-based Saliency Tấn công bản đồ nhô ra dựa theo Map Attack Jacobian L-BFGS Limited-memory Broy- Broyden–Fletcher–Goldfarb– den–Fletcher–Goldfarb– Shanno có bộ nhớ hữu hạn Shanno SCADefender Stacked Convolutional Phòng thủ cho mô hình học sâu Autoencoder-based De- fender MC/DC Modified Condition/Deci- Độ phủ điều kiện con (độ phủ C3) sion Coverage ix Từ viết tắt Từ tiếng Anh Ý nghĩa/Tạm dịch MI-FGSM Momentum Iterative Phương pháp dấu đạo hàm nhanh Fast Gradient Sign lặp lại có động lượng Method PatternAttack Pattern-based Attack Tấn công dựa theo mẫu thêm for Convolutional nhiễu cho mô hình tích chập Neural Network PSNR Peak Signal-to-Noise Tỷ lệ tín hiệu trên tạp âm cực đại Ratio QI4AE Quality Improvement Cải thiện chất lượng cho ảnh đối for Adversarial Exam- kháng ples SSIM Structural Similarity Độ đo chỉ số tương đồng về cấu Index Measure trúc SMT Satisfiability Modulo Lý thuyết Modulo thỏa mãn Theories x Giải thích kí hiệu Kí hiệu Mô tả A Mô hình mã hóa tự động CE Hàm cross-entropy M Mô hình kiểm thử Mi(x) Xác suất dự đoán của nhãn thứ i MIN Hàm lấy giá trị nhỏ nhất MAX Hàm lấy giá trị lớn nhất SIGN ∈ {−1, 0, 1}, là hàm trả về dấu bi Độ chênh lệch của tầng Li c Số nhãn của mô hình phân lớp d Số đặc trưng hay số điểm ảnh fi Điểm ảnh trừu tượng thứ i η Tốc độ học nij Nơ-ron thứ j của tầng thứ i θi Hàm kích hoạt của tầng Li Li Tầng thứ i của mô hình học sâu h Số tầng của mô hình học sâu x′ Ảnh đối kháng x′i Điểm ảnh thứ i của ảnh đối kháng x Ảnh đầu vào của mô hình kiểm thử xi Điểm ảnh thứ i của ảnh dự đoán đúng xout Ảnh đầu ra của mô hình mã hóa tự động ytrue Véc-tơ xác suất đúng của ảnh ytrue Nhãn đúng của ảnh y∗ Nhãn đích (sử dụng trong tấn công đối kháng có định hướng) wi,j,k Trọng số giữa nơ-ron nj và nơ-ron nk i i+1 ζ Véc-tơ nhiễu ]_ Hàm chỉ thị xi Lời cam đoan Tôi xin cam đoan đây là công trình nghiên cứu do tôi thực hiện dưới sự hướng dẫn của PGS.

Phạm Ngọc Hùng tại Bộ môn Công nghệ Phần mềm, Khoa Công nghệ Thông tin, Trường Đại học Công nghệ, Đại học Quốc gia Hà Nội và GS. Nguyễn Lê Minh tại Viện Khoa học và Công nghệ Tiên tiến Nhật Bản (JAIST). Các số liệu và kết quả trình bày trong luận án là trung thực, chưa được công bố bởi bất kỳ tác giả nào hay ở bất kỳ công trình nào khác. Tác giả Nguyễn Đức Anh xii Lời cảm ơn Trước tiên tôi xin gửi lời cảm ơn chân thành và sâu sắc đến thầy giáo, PGS.

Phạm Ngọc Hùng và GS.