4.2.1. FGSM és változatai

Hogyan lehet a legegyszerűbben és leggyorsabban becsapni egy neurális hálót? A válasz meglepően intuitív: keressük meg azt az irányt, amerre a modell a legérzékenyebb, és tegyünk egy apró, de határozott lépést abba az irányba. Ezt a gondolatot formalizálja az egyik legelső és legbefolyásosabb ellenséges támadási módszer, a Fast Gradient Sign Method (FGSM).

Mi az az FGSM és miért alapvető?

Az FGSM a „white-box” támadások „Helló, világ!”-programja. Nem a legkifinomultabb, de a mögötte lévő elv szinte minden későbbi, bonyolultabb módszerben visszaköszön. Ian Goodfellow és kollégái 2014-es cikkükben mutatták be, és ezzel gyakorlatilag elindították az ellenséges gépi tanulás kutatási területét.

A kulcsgondolat a modell gradiensének kihasználása. Normál esetben a gradienst a modell súlyainak frissítésére használjuk a tanítás során (a veszteség csökkentésére). Az FGSM megfordítja ezt: a gradienst nem a súlyokra, hanem a bemeneti adatra (pl. egy képre) vonatkozóan számoljuk ki. Ez a gradiens megmutatja, hogy a bemeneti képpontok értékét milyen irányba kell megváltoztatni ahhoz, hogy a veszteség a lehető leggyorsabban növekedjen. Ha a veszteség nő, a modell egyre bizonytalanabbá válik, és végül téves döntést hoz.

Képzeld el, hogy egy domb (a veszteségi függvény felszíne) alján állsz, és a lehető leggyorsabban szeretnél feljutni a csúcsra. Ösztönösen a legmeredekebb emelkedőt keresnéd. A gradiens pontosan ezt a legmeredekebb irányt adja meg. Az FGSM tesz egyetlen, határozott lépést ebbe az irányba.

Hogyan működik a gyakorlatban?

A támadás matematikailag rendkívül egyszerű. Az ellenséges példát (x_adv) az eredeti bemenet (x) módosításával kapjuk:

Bontsuk le az elemeket:

• x_adv: Az új, ellenséges bemenet, ami nagyon hasonlít az eredetire, de a modell már félreosztályozza.
• x: Az eredeti, tiszta bemenet (pl. egy kép pixelmátrixa).
• ε (epszilon): Egy kicsi skalár érték, ami a perturbáció (zavar) mértékét szabályozza. Ez dönti el, mekkora „lépést” teszünk. Minél nagyobb az epszilon, annál erősebb a támadás, de annál észrevehetőbb is a változás.
• J(θ, x, y): A modell veszteségfüggvénye, ahol θ a modell paramétereit, x a bemenetet, y pedig a helyes címkét jelöli.
• ∇_x: A gradiens operátor a bemenetre (x) vonatkozóan. Ez a képlet lelke.
• sign(): Az előjelfüggvény. Ez a lépés adja a módszer nevében a „Sign” (előjel) szót. A gradiensvektor minden elemét +1-re, -1-re vagy 0-ra cseréli az elem előjelétől függően. Ezzel a lépéssel a perturbáció iránya megmarad, de a nagysága mindenhol egységesen ε lesz. Ez teszi a módszert rendkívül „gyorssá” (Fast).

Nézzünk egy egyszerűsített kódrészletet, ami bemutatja a folyamatot:

def fgsm_attack(kep, epszilon, adat_grad):
 # A gradiens elemeinek előjelét vesszük
 elojel_grad = adat_grad.sign()
 
 # Létrehozzuk a perturbált képet a képlet alapján
 perturbált_kep = kep + epszilon * elojel_grad
 
 # Biztosítjuk, hogy a pixelértékek a [0,1] tartományban maradjanak
 perturbált_kep = torch.clamp(perturbált_kep, 0, 1)
 
 return perturbált_kep

Korlátok és továbbfejlesztések

Az FGSM ereje az egyszerűségében és sebességében rejlik, de ez egyben a legnagyobb gyengesége is. Mivel csak egyetlen, nagy lépést tesz, gyakran „túllő a célon” vagy egy nem optimális ponton landol a döntési felületen. A robusztusabb, védelemmel ellátott modellek (pl. ellenséges tanítással tréneltek) könnyedén kivédik az ilyen naiv támadásokat.

Ezen korlátok miatt születtek meg az FGSM iteratív változatai, amelyek finomabb és hatékonyabb támadásokat tesznek lehetővé.

Basic Iterative Method (BIM) vagy I-FGSM

Ahelyett, hogy egy nagy lépést tennénk ε mérettel, a BIM sok apró lépést tesz α mérettel, ahol α < ε. Minden lépés után újra kiszámolja a gradienst, és a végeredményt az eredeti kép ε-sugarú környezetén belül tartja. Ez olyan, mintha a dombra nem egyetlen nagy ugrással, hanem óvatos, kis lépésekkel másznánk fel, folyamatosan a legmeredekebb utat keresve. Ez a módszer sokkal nagyobb eséllyel talál egy valódi ellenséges példát. A következő fejezetben tárgyalt PGD (Projected Gradient Descent) ennek egy továbbfejlesztett változata.

Momentum Iterative Fast Gradient Sign Method (MI-FGSM)

Ez a variáns a „momentum” koncepcióját veszi át a mélytanuló modellek optimalizálásából. Minden iterációban a gradiens nemcsak az aktuális pontban számított iránytól függ, hanem egyfajta „tehetetlenséget” is örököl az előző lépésekből. Ez segít a támadásnak kikerülni a rossz lokális maximumokat (ahol a veszteség növekedése elakadna) és stabilabb, jobban általánosítható (transzferálható) ellenséges példákat generál. Képzeld el, hogy a dombra mászó emberünk már lendületben van, így egy kisebb gödrön vagy buckán könnyedén átlendül.

Összefoglalás táblázatban

Az alábbi táblázat gyors áttekintést nyújt az FGSM és legfontosabb iteratív változatai között.

Bár az FGSM önmagában ma már ritkán jelent komoly fenyegetést a modern védelmi mechanizmusokra, megértése elengedhetetlen. A gradiens-alapú támadások alapköve, amelyre a kifinomultabb és veszélyesebb módszerek épülnek.