A YOLO (You Only Look Once) objektumlokalizációs rendszereket áttörésnek tartják a korábban alkalmazott módszerekhez képest, amelyek vagy a kamerafelvételek egyes részleteit elemezték sorban egymás után, vagy eleve meghatározták, hogy a képek mely részletei tartalmazhatják a keresett objektumokat, és azokat értékelik a megfelelő szempontok alapján. A konvolúciós neurális háló alkalmazásával egyetlen lépésben lehet feldolgozni a teljes képet, figyelembe véve a kontextusokat is, ami nem csak a rendszer betanításának problémáit küszöböli ki, de sokkal gyorsabb eredményeket tesz lehetővé, reagálva a közel valós idejű lokalizáció igényére.

A Leuveni Katolikus Egyetem (KU Leuven) kutatói által a múlt héten közzétett kutatás egy olyan eljárást mutat be, amely adott körülmények között látványosan átveri a személyek érzékelésére fejlesztett mélytanuló rendszereket – egész pontosan a Darknet nevű, nyílt forrású neurálisháló-keretrendszert, amely támogatja a tesztben alkalmazott YOLOv2 mélytanuló algoritmust is. Átverés alatt persze a "személyeket érzékelő rendszer hatékonyságának jelentős csökkentését" kell érteni, ami valós helyzetekben is alkalmazható, de még további finomításra szorul – mindenesetre ez lehet az első sikeres kísérlet a meglehetősen összetett feladat megoldására.

Miért akkora probléma láthatatlanná válni?

A kutatók ebben az esetben is olyan "ellentmondó mintákat" (adversarial patch) használnak, amelyekkel már többen is eredményesen próbálkoztak a képfeldolgozó algoritmusok összezavarására. Ahogy mi is írtunk róla, az önvezető autók jelfelismerő rendszereinek esetében például kritikus probléma lehet, hogy az emberi szemlélő számára észrevehetetlen vizuális módosításokkal meg lehet hekkelni az útmenti táblákat. Ennek pedig már a legkevésbé kreatív alkalamzásai is ijesztőek: elég elképzelni, amikor az autonóm járművek teljesen váratlanul 130 km/h sebességről 30-ra fékeznek, mert korlátozó táblának néznek egy KFC logót.

A mostani kísérlet mindehhez képest annyiba jelent újdonságot, hogy az eddigi módszerek jellemzően olyan osztályokat céloztak, amelyek nem rendelkeznek lényeges osztályon belüli változékonysággal, mint amilyenek mondjuk a közlekedési táblák is. Könnyű azonban belátni, hogy az élő személyek felismerése ennél sokkal összetettebb dolog, így a lokalizációs algoritmusokat sem lehet annyival elintézni, hogy felteszünk egy napszemüveget. A bemutatott megoldás viszont ennél nem sokkal bonyolultabb: úgy veri át a megfigyelő rendszert, hogy a kísérletben szereplő behatoló egy alig 40 centis, nyomtatott kartonpapírt tart maga előtt.
 

Ahogy a fenti felvételen, az objektumokat körülhatároló téglalapok megjelenéséből is látszik, a valószínűséget értékelő lokalizációs rendszer ebben az esetben nem tud mit kezdeni a kis táblát maguk elé tartó emberekkel. A feladat nehézségét az adja, hogy a fentiek értelmében egy élő személy sokféleképpen nézhet ki, sokféle ruhát viselhet, és különböző pózokban szerepelhet a felvételeken. A megfelelő mintát a patch folyamatos változtatásával és az értékelések feldolgozásával keresték, a pixelek változtatásának visszaterjesztéseivel pedig egyre csökkentették a még azonosított objektumok pontszámait.

A dokumentumból kiderül, hogy a minták kialakításához igazából a megfigyelő rendszerre sincs szükség, ha rendelkezésre ál az az adatkészlet, amelyre a szóban forgó rendszert tanították. Ez azonban azt is jelenti, hogy az egyes technikák nagyban kapcsolódnak az aktuálisan felhasznált képekhez, így a kutatások irányát innentől az határozza meg, hogy olyan robusztus adatkészletet építsenek fel, amely csökkenti a kidolgozott technika érzékenységét. Itt tulajdonképpen a módszer generalizálásáról van szó, hogy az a YOLO mellett más hálózati architektúrák (Faster R-CNN stb.) eseténben is hatékony legyen.

Össze-vissza ugrálni még nem lehet vele

Ebben a speciális esetben mindenesetre jól működik a dolog, amennyiben a tesztalanyok pontosan maguk előtt tartják a nyomtatott lapot, és a kamerarendszer azt teljes egészében látja. Ehhez kapcsolódik a vizsgálatok másik fontos iránya, vagyis hogy a minta akkor is funkcionális maradjon, ha mozgás közben változtatják a betekintési szöget. A black-box felállásokat (vagyis amikor a támadó nincs vele tisztában, hogy pontosan milyen algoritmus ellen intézi a támadást) így még közel sem sikerült kipipálni, amelyeket a hagyományos gépi tanuló algoritmusok esetében már 90 százalék fölötti hatékonysággal demóznak.

A szakemberek egyébként az algoritmusok célzott felkészítését javasolják az ellentmondó mintákra, ezért a mostani kutatás lényege sem a támadók, sokkal inkább a védekezés támogatása a szükséges minták legyártásához és feldolgozásához. Ezen keresztül az előbb említett 90 százalékos arány néhány százalékosra szorítható le: bár maga a probléma nem szüntethető meg, a hatások mindenképpen mérsékelhetők. A kísérletek másik érdekessége nyilván az az egyre jobban ismert jelenség, hogy amikor az algoritmusok hibáznak, akkor azt emberi szemmel nehezen magyarázható módon teszik, vagyis úgy tévednek, ahogy egy ember soha nem tenné – a felhasználás sikeressége tehát azon is múlik, hogy tisztában legyünk vele, mikor mondanak csütörtököt a szóban forgó technológiák.