Zo maak je vliegtuigen onzichtbaar

Kunstmatige intelligentie Met drones kan je militaire vliegvelden bespioneren. Hoe kan je vliegtuigen daar tegen beschermen? Stickers plakken lijkt een optie.

Franse gevechtsvliegtuigen op een basis op Corsica, duidelijk te zien voor overvliegende drones.
Franse gevechtsvliegtuigen op een basis op Corsica, duidelijk te zien voor overvliegende drones. Foto Charles Platiau/REUTERS

Hoe houd je gevechtsvliegtuigen op een militaire basis verborgen voor een surveillance-drone? Camouflage is een simpele, traditionele zet: vermom je zodat de vijand je niet ziet, ga zoveel mogelijk op in de omgeving. Maar het is lastiger om grote objecten te verbergen. Nu drones vanuit de lucht en in real-time beelden kunnen terugsturen naar de vijand, wordt verstoppen nog moeilijker. Een verkennende studie van de Nederlandse Organisatie voor toegepast-natuurwetenschappelijk onderzoek (TNO) toont aan dat zulke herkenningsdrones in verwarring kunnen worden gebracht door kleine stickers met verwarrende patronen op de militaire objecten te plakken.

Ajaya Adhikari (Data Science) en Richard den Hollander (Intelligent Imaging) onderzochten de toepassing van zogeheten adversarial attacks. Bij zo’n ‘aanval’ zorgt een kleine manipulatie van een ingevoerd beeld ervoor dat een algoritme een object niet herkent. „Het meest bekende voorbeeld is van een computer die zich vergiste bij het automatisch vinden van kattenplaatjes”, schetst Den Hollander. „Het systeem herkende kat na kat, maar nadat in het plaatje een onopvallend ruispatroon was aangebracht, zag het ineens een hond.”

Aanvallen op herkenningsalgoritmes zijn een bekend fenomeen bij AI-onderzoekers. Sinds de doorbraak van deep learning werd het onderzoek ernaar een beetje een sport, zegt Jan van Gemert, die aan de TU Delft leiding geeft aan het Computer Vision Lab. „Als je weet dat de machine kan leren objecten te herkennen, is het ook interessant te zien wanneer dat niet lukt.” De verstoring ontstaat doordat „neurale netwerken dingen niet ‘zien’ zoals mensen doen”, zegt hij. In plaats van te ‘kijken’, leert een algoritme plaatjes te categoriseren. Een kleine oneffenheid kan ervoor zorgen dat het getoonde object niet voldoet aan de criteria.

Manipulatie

De TNO-wetenschappers onderzochten of de fysieke manipulatie van objecten – dus niet de pixels – ook een adversarial attack veroorzaakt. Geïnspireerd door bekend onderzoek dat aantoonde dat stickers persoonsdetectie verstoren, ontwikkelden ze ‘patches’. In een simulatie werden die op geparkeerde militaire vliegtuigen geplaatst. In diezelfde gesimuleerde omgeving werden de jets inderdaad veel minder herkend door een overvliegende drone, die foto’s maakte van jets-met-patch. „Zelfs bij een kleine verandering: een poster die ongeveer 10 procent van de jets bedekte, zorgde ervoor dat de detectiekans 60 procent kleiner was”, vertelt Adhikari.

Een sticker plakken zou veel makkelijker zijn dan het gehele vliegtuig bedekken met een camouflagenet. Adhikari: „We zouden het graag overdoen en echte posters uitprinten, die op vliegtuigen plakken en daar een drone overheen laten vliegen.” Er moet nog veel vervolgonderzoek worden gedaan naar die praktijk en naar variabelen als vorm, kleur en plaatsing van de verstorende posters. TNO richtte zich bovendien op maar één AI-systeem (YOLO). Meer over de ontwikkeling van de drone-oorlogen: het interview met de VN-rapporteur

Ingebruikname is nog niet aan de orde, stelt Den Hollander: „Nee, dat contact met Defensie is er nog niet.” Hoewel veel legers drones in de lucht hebben voor surveillance en het afleveren van bommen, is de automatische detectie van doelwitten nog niet zo ver. „Bij de ontwikkeling is defensie vaak wat later”, weet Van Gemert van de TU Delft. „Voor de toepassing van een nieuw systeem in een oorlogssituatie moet zekerheid zijn natuurlijk, dus zij gebruiken liever een systeem dat al helemaal is getest.”

Weerbaar

De automatische selectie van doelwitten roept ook veel ethische vragen op. Zo pleiten mensenrechtenorganisaties ervoor om zoveel mogelijk menselijke controle te houden bij die afweging, in plaats van selectie helemaal van het AI-systeem van de drone af te laten hangen.

De ontwikkelingen naar machine learning gaan nu heel snel, zeggen de TNO-wetenschappers en de baas van het TU Delft-centrum. Het is daardoor moeilijk te zeggen hoe lang dit gebruik van ruis-patches effectief is. Ondertussen wordt ook al onderzocht of neurale netwerken weerbaar gemaakt kunnen worden tegen aanvallen, weet Van Gemert. De meest gangbare methode is om het AI-systeem te trainen op patches: „In de training laat je het systeem foto’s zien mét en zonder ruis, zodat het aanleert het object ongeacht patch te herkennen.”

Maar ook met die kennis blijft verwarring mogelijk, want de machine herkent alleen wat is getraind. „Er blijven telkens mogelijkheden over voor de patches. Wie een adversarial attack opzet, kan eigenlijk altijd wel een andere vorm of grootte daarvan bedenken, waarop het systeem niet is voorbereid.”