Adversarial AI: Những hoa văn đặc biệt có thể khiến camera giám sát không còn nhìn thấy bạn?

Hãy tưởng tượng bạn bước qua một camera giám sát trong khi mặc một chiếc áo có hoa văn kỳ lạ. Trên màn hình, camera vẫn ghi lại hình ảnh của bạn rõ ràng. Con người nhìn vào video vẫn thấy một người đang đi qua. Nhưng phần mềm trí tuệ nhân tạo phía sau camera lại không vẽ khung nhận diện quanh cơ thể, thậm chí có thể kết luận rằng trong khung hình không có người.

Đó là ý tưởng cốt lõi của adversarial AI trong thị giác máy tính: thay vì làm camera “mù”, một mẫu hình được thiết kế đặc biệt có thể khiến mô hình học máy diễn giải sai những gì camera nhìn thấy. Trong nghiên cứu, các mẫu như vậy thường được gọi là adversarial patch, adversarial texture hoặc hoa văn đối kháng vật lý.

Tuy nhiên, khái niệm “áo tàng hình trước camera” dễ gây hiểu nhầm. Camera vẫn thu được ánh sáng và ghi lại hình ảnh. Thứ có thể bị đánh lừa là mô hình AI dùng để phát hiện, phân loại hoặc theo dõi con người. Hiệu quả cũng phụ thuộc mạnh vào mô hình, khoảng cách, góc quay, ánh sáng, chất lượng in và nhiều yếu tố khác.

Adversarial AI là gì?

Các mô hình thị giác máy tính hiện đại không “nhìn” giống con người. Chúng biến hình ảnh thành những đặc trưng số và dựa trên các mẫu đã học để quyết định một vùng ảnh có chứa người, ô tô, biển báo hay vật thể nào khác.

Một adversarial example là dữ liệu đầu vào được thay đổi có chủ đích để khiến mô hình đưa ra dự đoán sai. Trong môi trường số, thay đổi đôi khi rất nhỏ. Nhưng khi chuyển ra thế giới thật, nhiễu phải đủ mạnh để tồn tại sau quá trình in ấn, thay đổi ánh sáng, xoay góc, biến dạng bề mặt và quá trình camera chuyển cảnh thật thành ảnh số.

Vì vậy, các cuộc tấn công đối kháng vật lý thường sử dụng những vùng màu hoặc họa tiết khá nổi bật. Chúng không cần làm con người nhầm lẫn; mục tiêu là làm thay đổi các đặc trưng mà mạng nơ-ron sử dụng để nhận biết vật thể.

Camera không “mất khả năng nhìn thấy” bạn

Điểm quan trọng nhất là phân biệt ba lớp khác nhau trong một hệ thống giám sát:

• Cảm biến camera: thu ánh sáng và tạo ảnh hoặc video.
• Mô hình phát hiện: xác định trong ảnh có người hay vật thể nào.
• Hệ thống phía sau: theo dõi, nhận dạng, cảnh báo hoặc lưu sự kiện.

Hoa văn đối kháng chủ yếu nhắm vào lớp thứ hai. Nếu cuộc tấn công thành công, mô hình phát hiện có thể giảm điểm tin cậy xuống dưới ngưỡng cần thiết để tạo một bounding box quanh người. Nhưng dữ liệu hình ảnh thô vẫn tồn tại và một người xem video có thể nhận ra mục tiêu bình thường.

Điều này cũng có nghĩa một thiết kế đánh lừa được một bộ phát hiện cụ thể chưa chắc đánh lừa được hệ thống khác. Một mạng dùng kiến trúc khác, dữ liệu huấn luyện khác, cơ chế tiền xử lý khác hoặc kết hợp nhiều cảm biến có thể phản ứng hoàn toàn khác.

Từ miếng dán đối kháng đến “áo tàng hình” AI

Năm 2019, nhóm của Simen Thys, Wiebe Van Ranst và Toon Goedemé công bố nghiên cứu về adversarial patches để tấn công hệ thống phát hiện người. Thay vì thay đổi toàn bộ ảnh kỹ thuật số, họ nghiên cứu một miếng hình có thể xuất hiện trong cảnh thật và làm giảm đáng kể khả năng phát hiện người của mô hình.

Cùng giai đoạn đó, các nhóm khác bắt đầu đưa nhiễu đối kháng lên quần áo. Nghiên cứu Adversarial T-shirt! Evading Person Detectors in A Physical World cho thấy một mẫu in trên áo có thể tiếp tục ảnh hưởng đến bộ phát hiện khi người mặc di chuyển và vải bị biến dạng. Đây là một bước tiến quan trọng vì quần áo không phải bề mặt phẳng cố định: mỗi cử động làm thay đổi hình dạng, kích thước và góc của mẫu.

Đến CVPR 2022, nghiên cứu Adversarial Texture for Fooling Person Detectors in the Physical World mở rộng ý tưởng từ một miếng patch cục bộ sang texture có thể phủ những vùng lớn hơn trên trang phục. Mục tiêu là tăng độ bền của hiệu ứng khi góc quan sát thay đổi.

CVPR 2024 tiếp tục chứng kiến các phương pháp như Dynamic Adversarial Patch, hướng đến các họa tiết trông tự nhiên hơn và chịu được nhiều phép biến đổi trong môi trường vật lý.

Đáng chú ý, nghiên cứu tại CVPR 2026 đã mở rộng bài toán sang hệ thống kết hợp ảnh màu và ảnh nhiệt. Một số công trình nghiên cứu quần áo đối kháng hai phương thức nhằm tác động đồng thời đến detector sử dụng RGB và thermal imaging. Điều này cho thấy cuộc đua giữa tấn công và phòng thủ đang chuyển từ camera nhìn thấy thông thường sang các hệ thống cảm biến đa phương thức.

Vì sao một hoa văn có thể làm AI nhầm?

Một bộ phát hiện người thường tìm kiếm tập hợp rất lớn các tín hiệu trong ảnh: đường biên, cấu trúc cơ thể, vùng tương phản, texture, ngữ cảnh và những đặc trưng trừu tượng được hình thành qua nhiều lớp mạng nơ-ron.

Hoa văn đối kháng được tối ưu để làm thay đổi các tín hiệu này theo hướng bất lợi cho mô hình. Ở mức trực quan, thay vì chỉ “nhìn thấy chiếc áo”, mạng có thể tạo ra các phản ứng nội bộ khiến bằng chứng cho lớp person yếu đi hoặc bị phân tán sang những đặc trưng không liên quan.

Điều đáng chú ý là con người không nhất thiết cảm nhận được sự đánh lừa đó. Chúng ta vẫn nhận ra đầu, tay, chân và chuyển động của cơ thể dựa trên rất nhiều dấu hiệu ngữ nghĩa. Mô hình AI lại có thể phụ thuộc vào những mối tương quan thống kê mà con người không để ý, vì vậy một mẫu hình tưởng như vô nghĩa có thể gây ảnh hưởng lớn hơn dự kiến.

Vậy mặc một chiếc áo đặc biệt có thể đi qua mọi camera mà không bị phát hiện?

Không. Những kết quả trong phòng thí nghiệm không đồng nghĩa tồn tại một chiếc áo phổ quát có thể khiến mọi hệ thống giám sát “không nhìn thấy” người mặc.

Các nghiên cứu tổng quan về physical adversarial attacks chỉ ra nhiều khoảng cách giữa thí nghiệm và môi trường thật. Hiệu quả có thể giảm mạnh khi điều kiện thay đổi, trong đó có:

• Khoảng cách từ người đến camera.
• Góc nhìn và độ cao của camera.
• Ánh sáng, bóng đổ và thời tiết.
• Độ phân giải, tiêu cự và xử lý hình ảnh của thiết bị.
• Chất liệu vải, nếp gấp và biến dạng khi cơ thể chuyển động.
• Chất lượng in hoặc sai lệch màu sắc.
• Kiến trúc và phiên bản của mô hình detector.
• Các bước resize, nén video hoặc tiền xử lý trước khi ảnh vào mô hình.

Đây là lý do một phương pháp có tỷ lệ thành công cao trong điều kiện kiểm soát không nên được diễn giải thành khả năng “tàng hình” ổn định trong thành phố, sân bay hoặc hệ thống camera thương mại.

Đánh lừa phát hiện người không giống đánh lừa nhận diện khuôn mặt

Một nhầm lẫn phổ biến khác là cho rằng nếu detector không phát hiện người thì hệ thống nhận diện khuôn mặt cũng thất bại. Hai bài toán này có liên quan nhưng không giống nhau.

Person detection tìm xem trong khung hình có người hay không và người nằm ở đâu. Face detection tìm khuôn mặt. Face recognition tiếp tục so sánh đặc trưng khuôn mặt để xác định danh tính. Trong khi đó, person re-identification có thể dùng quần áo, dáng người và các đặc trưng khác để liên kết cùng một cá nhân qua nhiều camera.

Do đó, một hoa văn tác động đến detector người không tự động vô hiệu hóa các pipeline khác. Hệ thống thực tế có thể kết hợp nhiều mô hình, nhiều frame liên tiếp và nhiều cảm biến để giảm khả năng một lỗi đơn lẻ làm mất mục tiêu.

Video khiến bài toán khó hơn một bức ảnh

Nhiều demo đối kháng gây ấn tượng vì chúng cho thấy một frame mà bounding box biến mất. Nhưng hệ thống giám sát hoạt động trên video, không chỉ một ảnh tĩnh.

Nếu detector bỏ sót một người trong một vài frame nhưng nhận ra ở những frame kế tiếp, bộ theo dõi vẫn có thể duy trì quỹ đạo. Một hệ thống cũng có thể dùng thông tin chuyển động, lịch sử vị trí hoặc kết quả từ camera khác để khôi phục mục tiêu.

Điều này khiến khả năng đánh lừa ổn định theo thời gian khó hơn nhiều so với việc tạo ra một hình ảnh đơn lẻ khiến mô hình dự đoán sai.

Camera nhiệt có phải lời giải?

Camera nhiệt không phụ thuộc vào màu sắc bề mặt giống camera RGB, vì vậy từng được xem là một lớp bổ sung hữu ích. Tuy nhiên, nghiên cứu mới cho thấy các hệ thống đa cảm biến cũng không hoàn toàn miễn nhiễm với adversarial AI.

Các công trình năm 2026 nghiên cứu phương tiện đối kháng có thể tác động đến cả nhánh nhìn thấy và nhánh nhiệt cho thấy chỉ thêm một cảm biến chưa chắc giải quyết triệt để vấn đề. Lợi thế của hệ thống đa phương thức nằm ở việc tạo thêm tín hiệu độc lập, nhưng cách fusion dữ liệu và độ robust của từng mô hình vẫn quyết định mức an toàn cuối cùng.

Các hệ thống AI có thể phòng thủ bằng cách nào?

Đối với nhà phát triển hệ thống thị giác máy tính, adversarial clothing là một bài kiểm tra quan trọng về độ tin cậy. Phòng thủ không nên dựa vào giả định rằng mọi người trong camera sẽ có ngoại hình “bình thường”.

Một số hướng phòng thủ được nghiên cứu gồm huấn luyện mô hình với dữ liệu đối kháng, phát hiện vùng ảnh bất thường, kết hợp nhiều mô hình, dùng thông tin theo thời gian và kiểm tra chéo giữa các loại cảm biến. Quan trọng hơn, các hệ thống an toàn cao cần được đánh giá trong điều kiện vật lý thật thay vì chỉ dựa trên benchmark ảnh tĩnh.

Không có biện pháp đơn lẻ nào bảo đảm miễn nhiễm. Adversarial machine learning về bản chất là một quá trình đối kháng liên tục: khi detector thay đổi, mẫu tấn công cũ có thể mất tác dụng; khi phương pháp tấn công cải tiến, lớp phòng thủ lại phải được kiểm thử lại.

Adversarial clothing là công cụ bảo vệ quyền riêng tư hay rủi ro an ninh?

Công nghệ này nằm ở giao điểm giữa quyền riêng tư và an ninh. Về mặt nghiên cứu, nó giúp chỉ ra rằng hệ thống AI giám sát có thể có điểm mù và không nên được xem như nguồn sự thật tuyệt đối. Đây là thông tin quan trọng đối với việc kiểm thử an toàn, thiết kế hệ thống đáng tin cậy và thảo luận về quyền riêng tư trong không gian công cộng.

Ở chiều ngược lại, cùng một kỹ thuật có thể bị lạm dụng để né tránh các hệ thống phát hiện trong những môi trường có yêu cầu an ninh. Vì vậy, các công bố khoa học thường được nhìn nhận không chỉ như một cách “phá” AI, mà còn là phương pháp red-team để phát hiện điểm yếu trước khi hệ thống được triển khai rộng rãi.

Điều thú vị nhất không phải là chiếc áo, mà là điểm mù của AI

Adversarial clothing gây chú ý vì hình ảnh rất trực quan: một người đứng ngay trước camera nhưng bounding box biến mất. Tuy nhiên, ý nghĩa sâu hơn nằm ở cách nó phơi bày sự khác biệt giữa nhận thức của con người và biểu diễn nội bộ của mô hình học máy.

Chúng ta thường mặc định rằng nếu AI đạt độ chính xác rất cao trên benchmark, nó sẽ hoạt động ổn định trong mọi tình huống đời thực. Physical adversarial attacks cho thấy giả định đó không luôn đúng. Một mô hình có thể mạnh trong dữ liệu thông thường nhưng vẫn tồn tại những vùng đầu vào khiến hành vi trở nên khó dự đoán.

Vì vậy, câu trả lời cho câu hỏi “hoa văn đặc biệt có thể khiến camera giám sát không còn nhìn thấy bạn không?” là: camera vẫn nhìn thấy bạn, nhưng một số hệ thống AI phía sau camera có thể bị đánh lừa trong những điều kiện nhất định. Đây là khác biệt nhỏ về câu chữ nhưng rất lớn về bản chất kỹ thuật.

Câu hỏi thường gặp

Adversarial patch có phải mã QR không?

Không. Hình dáng đôi khi trông giống một họa tiết ngẫu nhiên hoặc hình trừu tượng, nhưng mục tiêu không phải lưu dữ liệu như QR code. Nó được tối ưu để tác động đến phản ứng của mô hình học máy.

Một mẫu có thể đánh lừa mọi loại camera không?

Không có bằng chứng cho thấy tồn tại một mẫu phổ quát đáng tin cậy trước mọi camera và mọi detector. Khả năng chuyển giao giữa mô hình và thiết bị là một trong những thách thức lớn của physical adversarial attacks.

Nếu camera không phát hiện người, video có biến mất không?

Không. Video thô vẫn được ghi lại nếu hệ thống camera đang lưu hình. Thứ có thể thất bại là kết quả phân tích tự động như bounding box, cảnh báo hoặc một bước trong pipeline nhận diện.

Đây đã là công nghệ thương mại hoàn thiện chưa?

Phần lớn kết quả nổi bật vẫn đến từ nghiên cứu học thuật và môi trường thử nghiệm. Những biến động của thế giới thật khiến hiệu quả khó ổn định hơn nhiều so với demo.

Nguồn tham khảo

• Fooling automated surveillance cameras: adversarial patches to attack person detection.
• Adversarial T-shirt! Evading Person Detectors in A Physical World.
• Adversarial Texture for Fooling Person Detectors in the Physical World – CVPR 2022.
• DAP: A Dynamic Adversarial Patch for Evading Person Detectors – CVPR 2024.
• Thermally Activated Dual-Modal Adversarial Clothing against AI Surveillance Systems – CVPR 2026.
• Physical Adversarial Attack Meets Computer Vision: A Decade Survey.