Multi-Task Consistency-based Detection of Adversarial Attacks

Stellen Sie sich vor, Sie fahren ein Auto, das die Welt durch eine Kamera sieht, nicht nur durch Augen. Dieses Auto nutzt ein spezielles Computergehirn namens Deep Neural Network (DNN), um zu verstehen, was es sieht. Es muss Ampeln erkennen, Schilder lesen und andere Autos finden, um sicher zu fahren. Aber der knifflige Teil ist: Diese Computergehirne können getäuscht werden. Wenn jemand einen winzigen, fast unsichtbaren „Rausch“-Punkt zu einem Bild hinzufügt – wie ein paar verschobene Pixel auf eine ganz bestimmte Weise – könnte das Computergehirn glauben, ein Stoppschild sei ein Tempolimit-Schild, oder es würde einen Fußgänger gar nicht erst sehen. Dies wird als „adversarial attack“ (gegnerischer Angriff) bezeichnet, und es ist wie ein Zaubertrick der Magier für Computer. Da diese Tricks sehr leicht passieren können, sind Ingenieure verzweifelt auf der Suche nach einem Sicherheitssystem, das erkennt, wenn jemand versucht, das Computergehirn zu täuschen, bevor es einen gefährlichen Fehler macht.

Dieses Paper stellt einen cleveren neuen Sicherheitswächter für genau diese selbstfahrenden Autos vor. Anstatt zu versuchen, das Computergehirn unzerstörbar zu machen (was schwierig und teuer ist), schlagen die Autoren einen „Teamwork“-Ansatz vor. Sie haben bemerkt, dass es zwei verschiedene Computermodelle gibt, wenn man sie bittet, dasselbe Bild anzusehen – eines, das darauf trainiert ist, Boxen um Objekte zu zeichnen (Object Detection), und ein anderes, das darauf trainiert ist, die exakte Form dieser Objekte auszumalen (Instance Segmentation) – und diese normalerweise perfekt übereinstimmen. Aber wenn ein hinterlistiger Angreifer versucht, sie mit einem Trick zu täuschen, fangen die beiden Modelle an, zu streiten. Das eine sieht vielleicht ein Auto, während das andere nichts sieht, oder sie sind sich uneinig darüber, wo sich das Auto befindet. Die Autoren haben ein System gebaut, das diesem Streit zuhört. Wenn die beiden Modelle zu stark voneinander abweichen, schreit das System: „Hey, dieses Bild wurde manipuliert!“ und stoppt das Auto davor, diese schlechten Daten zu verwenden.

Die Forscher testeten diese Idee mit einem massiven Datensatz von Fahrszenen namens BDD100k. Sie erstellten tausende von hinterlistigen, „vergifteten“ Bildern mit einer leistungsstarken Angriffsmethode namens PGD (Projected Gradient Descent) und beobachteten, wie ihr neues System reagierte. Sie fanden heraus, dass ihr „Disagreement Detector“ (Unstimmigkeits-Detektor) seinen Job unglaublich gut machte. Als sie ihr System gegen die Angreifer antreten ließen, identifizierte es die getäuschten Bilder zu 99,9 % der Zeit erfolgreich. Das ist ein gewaltiger Wert, was bedeutet, dass das System fast nie getäuscht wird.

Was das Ganze noch interessanter macht, ist die Art und Weise, wie sie herausgefunden haben, welche Modelle am besten zusammenarbeiten. Sie testeten viele verschiedene Kombinationen, wie etwa die Paarung eines Modells mit einem „ResNet50“-Gehirn gegen eines mit einem „ResNet101“-Gehirn. Sie entdeckten, dass die besten Paare tatsächlich Modelle sind, die sich im Inneren sehr ähnlich sehen. Das klingt seltsam, oder? Man würde denken, dass zwei unterschiedliche Modelle besser wären, aber das Paper zeigt, dass, wenn zwei ähnliche Modelle angegriffen werden, sie dazu neigen, sich auf unterschiedliche Weise zu verwirren, was zu einem lauten, offensichtlichen Streit führt, der leicht zu erkennen ist. Wenn die Modelle zu verschieden sind, ignorieren sie den Angriff vielleicht einfach beide oder scheitern auf die gleiche Weise, was es schwieriger macht, zu erkennen, ob etwas nicht stimmt.

Das Team versuchte auch, seinen eigenen Detektor auszutricksen. Sie erschufen einen super-intelligenten „adaptiven Angreifer“, der versuchte, beide Modelle gleichzeitig zu täuschen und sie gleichzeitig dazu zu bringen, sich auf die falsche Antwort zu einigen. Selbst mit dieser fortgeschrittenen Trickkiste funktionierte der Detektor immer noch und entlarvte den Angriff in 95 % der Fälle. Dies deutet darauf hin, dass Angreifer zwar versuchen können, ihre Tricks zu koordinieren, die natürlichen Unterschiede in der Art und Weise, wie Modelle Informationen verarbeiten, es jedoch sehr schwer machen, das ganze Team zu täuschen.

Im Vergleich zu anderen Sicherheitsmethoden ist dieser Ansatz eher wie ein leichter, schnell laufender Wächter statt eines schweren, langsamen Panzers. Andere Methoden erfordern oft das komplette Umschulen des gesamten Computergehirns oder das Hinzufügen massiver Mengen an zusätzlichem Code, was das Auto verlangsamt. Die Autoren verglichen ihr System mit einem berühmten Schutz namens „RobustDet“. Während RobustDet das Modell zwar etwas schwerer täuschbar machte, war es riesig (643 MB) und langsam (11 Bilder pro Sekunde). Der neue Detektor hingegen war viel kleiner (350 MB) und doppelt so schnell (20 Bilder pro Sekunde), während er fast jeden einzelnen Angriff abfing.

Kurz gesagt: Dieses Paper behauptet nicht, einen unzerstörbaren Schild gebaut zu haben. Stattdessen bietet es eine kluge, effiziente Methode, um nach den Rissen in der Rüstung zu lauschen. Indem es auf Inkonsistenzen zwischen zwei verschiedenen Arten, die Welt zu sehen, achtet, kann das System erkennen, wenn die Realität digital verändert wurde. Die Autoren legen nahe, dass diese Methode ein Schlüsselstück des Puzzles sein könnte, um selbstfahrende Autos sicherer zu machen, und beweisen, dass es manchmal die beste Art ist, einen Lügner zu überführen: indem man ihn mit jemand anderem reden lässt.