Εντοπισμός Επιθετικών Παραδειγμάτων σε Συνελικτικά Νευρωνικά Δίκτυα

Abstract

Τα εντυπωσιακά αποτελέσματα που επιτυγχάνονται με την χρήση βαθιών νευρωνικών δικτύων, έχουν ως αποτέλεσμα την μεγάλη εξάπλωση της χρήσης τους σε πολλές εφαρμογές μηχανικής μάθησης. Τα συστήματα αυτά όμως είναι ευάλωτα σε ειδικά κατασκευασμένες εισόδους, τα επιθετικά παραδείγματα, τα οποία ενώ δεν γίνονται εύκολα αντιληπτά από ανθρώπινους παρατηρητές, οδηγούν τα νευρωνικά δίκτυα σε λανθασμένα συμπεράσματα. Η εργασία αυτή εκτελεί ανάλυση των βασικών χαρακτηριστικών των επιθετικών παραδειγμάτων για συνελικτικά νευρωνικά δίκτυα τα οποία χρησιμοποιούνται σε εφαρμογές αναγνώρισης εικόνων, δίνοντας ιδιαίτερη βαρύτητα στα επιθετικά παραδείγματα που παράγονται από την Fast Gradient Sign Method, ενώ παράλληλα προτείνει τρεις νέες μεθόδους οι οποίες στοχεύουν στον εντοπισμό πιθανών επιθετικών παραδειγμάτων. Η πρώτη από τις προτεινόμενες μεθόδους βασίζεται στην ομαλοποίηση του διανύσματος χαρακτηριστικών που παράγει σαν έξοδο το νευρωνικό δίκτυο, προκειμένου να εντοπίσει πιθανά επιθετικά παραδείγματα. Η δεύτερη μέθοδος κάνει χρήση των ιστογραμμάτων των τιμών των εξόδων των ενδιάμεσων επιπέδων του νευρωνικού δικτύου, για να συμπεράνει αν η είσοδος του δικτύου αποτελεί επιθετικό παράδειγμα. Τα ιστογράμματα αυτά συγκροτούν ένα διάνυσμα χαρακτηριστικών το οποίο εισάγεται σαν είσοδος σε ένα SVM που ταξινομεί την αρχική είσοδο είτε ως επιθετικό παράδειγμα είτε ως πραγματική είσοδο. Τέλος για την τρίτη μέθοδο παρουσιάζουμε την έννοια τη υπολειπόμενης εικόνας, η οποία περιέχει πληροφορία σχετικά με τα μέρη του προτύπου εισόδου τα οποία αγνοούνται από το νευρωνικό δίκτυο. Η μέθοδος αυτή στοχεύει στον εντοπισμό πιθανών επιθετικών εικόνων, χρησιμοποιώντας την πληροφορία που παρέχει η υπολειπόμενη εικόνα και ενισχύοντας τα μέρη του προτύπου εισόδου που αγνοούνται από το νευρωνικό δίκτυο. Για τις τρεις μεθόδους που προτείνονται, παρουσιάζονται τα αποτελέσματα εντοπισμού επιθετικών παραδειγμάτων σε ένα νευρωνικό δίκτυο εκπαιδευμένο στο MNIST σύνολο δεδομένων. Επίσης για την τρίτη μέθοδο παρουσιάζονται αποτελέσματα εντοπισμού επιθετικών παραδειγμάτων και σε ένα νευρωνικό δίκτυο εκπαιδευμένο στο CIFAR-10 σύνολο δεδομένων. Τέλος παρουσιάζεται η δυνατότητα συνδυασμού των μεθόδων για περαιτέρω ενίσχυση των αποτελεσμάτων εντοπισμού.