Adversarial Paradox

Adversarial Paradox (Paradoks Adversarial) lahir dari konteks keberhasilan pembelajaran dalam (deep learning), yang dalam beberapa tahun terakhir mencapai kinerja mutakhir pada banyak tugas visi komputer. Keberhasilan itu mendorong pemakaiannya pada aplikasi yang menyangkut keselamatan dan keamanan, seperti sistem pengenalan biometrik dan kendaraan otonom. Seiring meluasnya pemakaian tersebut, para peneliti mulai mempertanyakan seberapa dapat diandalkan sistem-sistem ini ketika berhadapan dengan pihak yang sengaja berusaha mengelabuinya.

Kajian tentang keamanan algoritma pembelajaran terhadap penyerang sebenarnya sudah ada sebelum era pembelajaran dalam. Tinjauan sejarah bidang ini menelusuri perkembangannya selama lebih dari satu dekade, jauh sebelum jaringan saraf dalam menjadi arus utama. Perhatian luas baru muncul setelah penelitian pada awal 2010-an, antara lain oleh Szegedy dan rekan-rekannya, melaporkan sifat jaringan saraf yang tidak terduga. Laporan itu memicu perkembangan pesat cabang riset yang dikenal sebagai pembelajaran mesin adversarial (adversarial machine learning).

Istilah “paradoks adversarial” bukan nama baku. Ia muncul terutama dalam literatur survei pembelajaran mesin sebagai julukan bagi temuan yang dianggap bertentangan dengan intuisi. Karena itu entri ini memperlakukannya sebagai label deskriptif, bukan sebagai paradoks klasik seperti yang dikenal dalam logika atau teori himpunan. Topik ini penting karena menyentuh pertanyaan mendasar tentang keandalan kecerdasan buatan: apakah kinerja yang tinggi pada data uji cukup untuk menjamin bahwa sebuah sistem aman dipakai di dunia nyata.

Pengertian Adversarial Paradox

Paradoks adversarial adalah kenyataan bahwa dua sifat yang tampak saling bertentangan dapat dimiliki sekaligus oleh model pembelajaran mesin yang sama. Sifat pertama adalah akurasi tinggi: model mengklasifikasikan data yang belum pernah dilihatnya dengan benar, bahkan pada tugas tertentu menyaingi atau melampaui kemampuan manusia. Sifat kedua adalah kerapuhan: perubahan kecil yang dirancang secara cermat pada masukan dapat membuat model keliru, sering kali dengan tingkat keyakinan yang tinggi, padahal perubahan itu tidak tampak bagi manusia.

Untuk memahaminya, beberapa istilah kunci perlu dijelaskan:

• Contoh adversarial (adversarial example): masukan, misalnya citra, yang telah dimodifikasi dengan gangguan halus oleh algoritma optimasi dengan tujuan menipu pengklasifikasi.
• Gangguan (perturbation): perubahan kecil yang ditambahkan pada masukan asli. Gangguan adversarial dihitung secara terarah, sedangkan gangguan acak tidak.
• Serangan kotak putih (white-box attack): serangan ketika penyerang mengetahui parameter model sepenuhnya, sehingga dapat menghitung gradien fungsi kerugian terhadap masukan dan memakainya untuk menyusun contoh adversarial.

Pertentangan itu menjadi paradoksal karena tiga pengamatan yang tampak sulit disatukan:

• Model mengklasifikasikan data dengan benar dalam kebanyakan kasus.
• Gangguan adversarial yang sangat kecil cukup untuk mengubah keputusan model.
• Gangguan acak dengan besar yang sama biasanya tidak mengubah keputusan itu.

Pengamatan ketiga menunjukkan bahwa model tidak sekadar rapuh terhadap derau. Ia rapuh terhadap arah gangguan tertentu. Sebuah studi pracetak merumuskan pola ini sebagai paradoks stabilitas semu (paradox of apparent stability): titik data umumnya terklasifikasi dengan akurat dan sekaligus rentan terhadap gangguan adversarial kecil, tetapi gangguan acak jarang menyebabkan kesalahan klasifikasi.

Perlu ditegaskan bahwa ini bukan kontradiksi logis. Tidak ada pernyataan yang sekaligus benar dan salah. Yang bertentangan adalah intuisi kita, yang menganggap bahwa sistem yang akurat seharusnya juga cukup stabil terhadap perubahan masukan yang tidak berarti bagi manusia. Paradoks ini menunjukkan bahwa akurasi pada data uji dan ketahanan terhadap manipulasi adalah dua properti yang berbeda, dan memiliki yang pertama tidak menjamin yang kedua.

Argumen Adversarial Paradox

Asal-usul dan Cakupan Fenomena

Pembelajaran mesin adversarial bukan lahir bersama jaringan saraf dalam. Bidang ini mengkaji keamanan algoritma pembelajaran ketika berhadapan dengan penyerang yang sengaja memanipulasi input, dan tinjauan sejarahnya menelusuri perkembangannya selama lebih dari satu dekade. Namun, ledakan perhatian terjadi ketika contoh adversarial terbukti ampuh melawan model visi komputer modern.

Survei komprehensif tentang ancaman serangan adversarial pada pembelajaran dalam di bidang visi komputer memetakan beragam teknik serangan, dari yang mengandalkan akses penuh ke model hingga yang hanya mengamati keluarannya. Kajian lain merangkum serangan dan pertahanan secara lebih luas untuk pembelajaran dalam. Gambaran umumnya adalah bahwa kerentanan ini berlaku lintas arsitektur dan lintas tugas.

Penjelasan Geometris: Dimensi Tinggi dan Batas Keputusan

Beberapa hipotesis diajukan untuk menjelaskan asal paradoks ini. Hipotesis linearitas menyatakan bahwa akumulasi gangguan kecil pada banyak dimensi menghasilkan perubahan besar pada keluaran. Hipotesis lain, perspektif batas miring (boundary tilting), menolak anggapan itu dan menyatakan bahwa batas keputusan yang dipelajari berada dekat dengan manifold data pelatihan tetapi miring terhadapnya. Gambar adversarial dihasilkan dengan menggeser sampel sah menuju batas itu sampai melintasinya, dan gangguan yang diperlukan makin kecil ketika kemiringan makin kecil. Penganut hipotesis ini juga menduga bahwa efek tersebut dapat berasal dari model yang terlalu menyesuaikan diri dengan data (overfitting).

Analisis teoretis atas pengklasifikasi linear dan kuadratik memberikan dukungan formal. Penelitian itu menurunkan batas atas ketahanan yang berlaku terlepas dari algoritma pembelajarannya, dan menunjukkan bahwa ketahanan terhadap gangguan adversarial yang terukur sangat kecil pada seluruh pengklasifikasi yang diuji, termasuk ketika kedalaman jaringan bertambah.

Keberadaan Jaringan Stabil dan Hambatan Komputasi

Aspek paling menarik secara matematis adalah jarak antara apa yang mungkin ada dan apa yang dapat dihitung. Teorema aproksimasi universal menunjukkan bahwa jaringan umpan-maju dengan unit tersembunyi yang cukup dapat mendekati hampir semua fungsi dengan ketelitian yang diinginkan. Penelitian terbaru menekankan bahwa jaminan keberadaan ini juga mencakup jaringan yang stabil, tetapi metode pembelajaran dalam yang lazim tetap menderita ketidakstabilan.

Penelitian di jurnal PNAS mengkaji soal ini dan menunjukkan adanya hasil ketidakmungkinan untuk menghitung jaringan tertentu. Mereka juga menunjukkan bahwa jaringan yang dilatih pada pengukuran berderau dapat stabil terhadap gangguan terburuk tetapi tidak akurat, sedangkan jaringan yang dilatih tanpa derau dapat akurat tetapi tidak stabil. Artinya, paradoks ini bukan sekadar kelemahan rekayasa yang dapat ditutup dengan teknik pelatihan yang lebih baik, tetapi mengandung hambatan struktural pada apa yang dapat dihitung oleh algoritma.

Pertukaran antara Akurasi dan Ketahanan

Dari sudut pandang teori, kerapuhan berkaitan dengan seberapa mudah kelas-kelas data dibedakan. Analisis ketahanan menunjukkan adanya batas fundamental pada ketahanan terhadap gangguan adversarial yang dinyatakan melalui ukuran keterbedaan antarkelas. Dengan kata lain, jika dua kelas pada dasarnya mudah dibedakan oleh pengklasifikasi akurat, batas ketahanan dapat tetap rendah.

Tinjauan literatur kemudian merangkum bahwa pertukaran antara akurasi dan ketahanan telah dibahas dalam sejumlah studi, dan sebagian menyimpulkan bahwa pertukaran itu tetap ada walaupun data tak terbatas. Pandangan ini menyiratkan bahwa upaya menaikkan ketahanan sering kali harus dibayar dengan penurunan akurasi pada data bersih.

Perlombaan antara Serangan dan Pertahanan

Selama bertahun-tahun, para peneliti mengajukan banyak tindakan penanggulangan. Survei dari sudut pandang pembela mengulas kemajuan terbaru dalam pembelajaran mesin adversarial pada klasifikasi citra dan membahas bagaimana pertahanan dirancang serta dievaluasi. Sebagian pertahanan awal terbukti dapat ditembus oleh serangan yang lebih canggih, sehingga bidang ini sering digambarkan sebagai perlombaan senjata antara penyerang dan pembela.

Penelitian pada keamanan siber kota pintar juga memakai bingkai paradoks yang serupa: AI menjanjikan perlindungan, tetapi pada saat yang sama menjadi target serangan adversarial. Penulis di bidang itu menekankan pelatihan adversarial, arsitektur model yang tangguh, dan pengawasan manusia berlapis sebagai respons.

Batasan dan Kritik

Beberapa catatan perlu diingat. Pertama, istilah “paradoks adversarial” tidak baku dan tidak merujuk pada kontradiksi logis. Ia lebih tepat dipahami sebagai fenomena yang berlawanan dengan intuisi, yang dapat dijelaskan secara matematis sebagian. Kedua, penjelasan yang ada, linearitas, batas miring, dan dimensi tinggi, belum sepenuhnya disepakati. Ketiga, notasi “tidak tampak oleh manusia” bergantung pada ukuran kemiripan yang dipilih, yang tidak selalu mencerminkan persepsi manusia. Keempat, sebagian besar bukti berasal dari klasifikasi citra, sehingga generalisasi ke ranah lain seperti bahasa atau suara memerlukan kehati-hatian.

Meski begitu, paradoks ini berguna: ia menunjukkan bahwa akurasi pada data uji tidak cukup untuk menjamin keandalan, dan mendorong lahirnya riset tentang kekokohan, verifikasi, dan batas teoretis pembelajaran dalam.

Referensi

• Akhtar, N., & Mian, A. (2018). Threat of adversarial attacks on deep learning in computer vision: A survey. IEEE Access, 6, 14410–14430.
• Biggio, B., & Roli, F. (2018). Wild patterns: Ten years after the rise of adversarial machine learning. Pattern Recognition, 84, 317–331.
• Colbrook, M. J., Antun, V., & Hansen, A. C. (2022). The difficulty of computing stable and accurate neural networks: On the barriers of deep learning and Smale’s 18th problem. Proceedings of the National Academy of Sciences, 119(12), Article e2107151119.
• Fawzi, A., Fawzi, O., & Frossard, P. (2018). Analysis of classifiers’ robustness to adversarial perturbations. Machine Learning, 107(3), 481–508.
• Hornik, K., Stinchcombe, M., & White, H. (1989). Multilayer feedforward networks are universal approximators. Neural Networks, 2(5), 359–366.
• Machado, G. R., Silva, E., & Goldschmidt, R. R. (2021). Adversarial machine learning in image classification: A survey toward the defender’s perspective. ACM Computing Surveys, 55(1), Article 8.
• Yuan, X., He, P., Zhu, Q., & Li, X. (2019). Adversarial examples: Attacks and defenses for deep learning. IEEE Transactions on Neural Networks and Learning Systems, 30(9), 2805–2824.