人工智慧路还长熊猫＋线虫被误认为长臂猿？骗过视觉辨识真的不难

人工智慧的发展一日千里，但是包括视觉辨识、自动驾驶其实都离完美还有很大一段路要走。

这则《七分钟用监视器抓到嫌犯》的新闻你一定不陌生。中国早已透过大数据，建立起可即时追踪每个人面孔的社会监控系统；而这也是机器学习用在视觉辨识威力最强，却也最令人恐惧的应用之一。

但有的读者也应该知道，就连Google的视觉辨识也犯过把黑人误认成黑猩猩这种尴尬又敏感的错误。机器学习已经全面进入我们的生活，却看似万能却有时又是显得如此不可靠，这是怎么回事？我们真能把我们的一切全交给机器学习吗？

下面就以科普角度，从原理开始跟大家讨论这个话题。

让我们先用几张简单的图，介绍机器学习用于视觉辨识的原理吧！首先第一张图是假设我们「A 是苹果」、「B 不是苹果」，然后图中实线的长椭圆形，代表我们人类在视觉上判别「这东西是不是苹果」的界线。

好，接下来我们找出八张图片，其中圈内的四张标注这是苹果，另外圈外的四张标注这不是苹果，设定好演演算法让机器学习辨别什么是苹果，什么不是苹果，就可以得到一个自动辨认「这东西是不是苹果」的模型了，是不是很方便啊？

但问题就来了，我们用这八张图片用机器学习学到的模型，可能反而是长成图中虚线的横椭圆形，跟我们人类认知的苹果范围大异其趣；你也不能说它错，因为它是依照你所提供的资料画出的模型。

所以你就知道为什么很多时候机器学习训练出的模型会发生误认了。

当然这只是原理解说，现实的机器学习训练过程比上述简单的图例复杂多了；理论上只要资料越多，就帮助电脑画出的模型越趋于人类视觉判别的那条线，这也是大家常常听到为什么只要资料越多，机器学习算出的模型就会越精准的原因。

但资料再多，目前还有另一大问题：很多时候机器学习画出的模型还不是这么工整的椭圆形，而是坑坑洞洞，歪七扭八。

先看看下面这张知名图例，最左边是很明显是一张熊猫，机器学习也以57.7% 判别率辨认出这是只熊猫，但加了中间肉眼难以辨认杂讯以后，模型反而以99.3%的判别率辨认这是只长臂猿。

这就是漏洞之一：要攻击一个模型，找出漏洞让它造成错认，要比训练方算出完美模型简单得多。这张图是研究员Ian Goodfellow在论文里发表的「对抗范例（adversarial examples）」攻击案例之一。

另外下面几张图也是另一个避开视觉辨识的好例子：这种特殊化妆干扰这些脸部识别技术，隐藏人们在镜头下的身份。另一位来自柏林的艺术家Adam Harvey 把这种技术称为CV Dazzle。其原理是目前的脸部识别技术都仰赖人脸的眼睛或鼻梁特征，进一步辨认它们的相对位置、对称性，肤色色调和皮肤纹理是否相符合；换句话说，只要能破坏人脸特征的延续性，其实就能破解这类脸部识别技术。

另一个在技术上更高超的破解案例，则是去年MIT AI实验室LabSix成功可产生不管2D或3D图像皆能混淆Google InceptionV3的全新模型。图中这只用3D列印出的玩具乌龟在经过特殊花纹处理后，不管前看后看上看下看，GoogleInceptionV3都会以极高比例辨认它是把步枪。那训练方有没有应对方式呢？当然有，目前已经有Reluplex验证法了（详情请见连结）。但纵使验证法可以进一步提升模型的验算精准度，理论上还是无法达到「100%完全掌握模型」的境界。

从上述例子，我们可以清楚感受到一件事：就连现在发展最成熟的视觉辨识，都存在太多问题，也十分容易被攻击、破解；显然机器学习目前并未像许多人想象中可靠。另外这篇《AlphaGo使用的强化学习是人工智慧新星？让专家告诉你为什么这不是通用解方》也清楚点出，深度神经网路还非常不稳定，也没有想象中通用。

AI 有我们想像中那么安全吗？

那这会产生什么问题？第一，人身安全直接相关（如自动驾驶）等领域要运用机器学习，是否距离还比想象遥远的多？别误会，这个提问不是要否定Google Waymo、TESLA或是各大车厂对自动驾驶所投入的努力，但再看一次，这张光一点杂讯就能把STOP标志、时速80变30公里，右转变直走的下图（论文请见连结）。

事实上，现在汽车、飞机或船舶交通工具，或是其他直接跟人身安全有关的电子控制系统都需经过非常严谨的形式化验证（Formal Verification）；但现在发展最迅速、产值最大也跟大家生命最息息相关的自驾车，却没有相对应的严谨形式化验证，不是会让人捏一把冷汗吗？

上个月发生的UBER 自驾车致死车祸，就是最血淋淋的案例；这起事件缘起为车载软体识别敏感度设定过低，导致无法正确判断物体，也无法判定突然从路口另一侧走出的人是否会造成碰撞意外，酿成悲剧。

这就是为什么需要形式化验证的原因。

而且虽然世上没有完美无缺的系统，自动驾驶非常十分具有商业潜力，而且目前以机器学习为主的模型虽然在某个很专精、特定领域可发挥极大能力（例如AlphaGO）；但只要应用环境复杂一点，机器学习模型所产生不可预期的漏洞或攻击法还是太多了。

这延伸到第二个规模更大的问题：电脑科学与人工智慧，只有深度学习与类神经网路这条路吗？2012 年Alex Krizhevsky 以GPU 分散式运算开启了新一波人工智慧热潮，但这一两年是不是成了过热的Buzzword，是否让许多新进工程师、产品经理、创投或大众只关注深度学习与类神经网路，而忽略了其他演算法？

机器学习与类神经网路很强，但距离人类把全部生活，甚至生命安全交给在他们手上的日子，或许还早了点。