Επιθέσεις και Άμυνες σε Βαθιά Νευρωνικά Δίκτυα

Abstract

Η πληθώρα δεδομένων που παρατηρείται στις μέρες μας καθώς και η εξέλιξη που έχει σημειωθεί τα τελευταία χρόνια στις κάρτες γραφικών δίνουν τη δυνατότητα ανάπτυξης ισχυρών δικτύων βαθιάς μηχανικής μάθησης. Τα βαθιά νευρωνικά δίκτυα, ως δίκτυα πολλαπλών κρυφών επιπέδων, αποτελούν υλοποιήσεις αλγορίθμων βαθιάς μηχανικής μάθησης που εφαρμόζονται σε διάφορους τομείς με κυριότερους την αναγνώριση εικόνας, κειμένου και ήχου. Συχνά, βαθιά νευρωνικά δίκτυα χρησιμοποιούνται και σε εφαρμογές υψηλού κινδύνου σε περίπτωση σφάλματος όπως στα συστήματα ανίχνευσης οικονομικών απατών ή στα αυτόνομα οχήματα.

Παρά την αποτελεσματικότητα και την ευρεία χρήση αυτών των δικτύων, έχει αποδειχθεί ότι τα βαθιά νευρωνικά δίκτυα είναι ευάλωτα σε κακόβουλες επιθέσεις. Τα κίνητρα καθώς και οι γνώσεις γύρω από το μοντέλο που μπορεί να διαθέτει ένας εισβολέας έχουν απασχολήσει σε βάθος την επιστημονική κοινότητα. Συγχρόνως έχουν αναπτυχθεί διάφορες στρατηγικές άμυνας χωρίς όμως να υπάρχει κάποια καθολική λύση για την αντιμετώπιση των επιθέσεων. Οι έρευνες εστιάζουν στην ενδελεχή μελέτη πιθανών επιθέσεων καθώς και στις τεχνικές αντιμετώπισης τους με απώτερο σκοπό τη δημιουργία εύρωστων πολυεπίπεδων νευρωνικών δικτύων που θα είναι σε θέση να αναγνωρίζουν και να διαχειρίζονται τυχόν επιθέσεις.

Στην παρούσα διπλωματική εργασία - εστιάζοντας στον τομέα της αναγνώρισης εικόνας - σε πρώτη φάση μελετήσαμε την one-pixel επίθεση σε συνδυασμό με την τεχνική ανίχνευσης αντιφατικών παραδειγμάτων PCA-whitening. Πιο συγκεκριμένα, εφαρμόζοντας την one-pixel επίθεση στα σύνολα δεδομένων MNIST και CIFAR10, δημιουργήσαμε αντιφατικά παραδείγματα με στόχο την παραπλάνηση του προεκπαιδευμένου VGG16 δικτύου. Στη συνέχεια, εφαρμόσαμε τον PCA-whitening ανιχνευτή στο σύνολο των καλοηθών και αντιφατικών παραδειγμάτων των δύο συνόλων δεδομένων, διεξάγοντας συμπεράσματα τόσο ως προς την ισχύ της one-pixel επίθεσης όσο και ως προς την αποτελεσματικότητα του δεδομένου ανιχνευτή.

Σε δεύτερη φάση, επεκτείνοντας την παραπάνω έρευνα, εφαρμόσαμε την FGSM επίθεση συνδυαστικά με την one-pixel δημιουργώντας νέα αντιφατικά παραδείγματα. Εισάγοντας στη συνέχεια τα κακόβουλα αυτά παραδείγματα στον PCA-whitening ανιχνευτή, μελετήσαμε τη δική του απόδοση στη συνδυαστική αυτή επίθεση. Τέλος, πειραματιστήκαμε με μια δεύτερη τεχνική ανίχνευσης, την squeezing color bits, και με τον συνδυασμό της με την PCA-whitening, εφαρμόζοντάς τες στις παραπάνω επιθέσεις.