Robustnost modelov strojnega učenja ob sovražnih napadih pri nezgodnih škodah

Uvod: Dinamika odkrivanja prevar in evolucija sovražnih napadov

Moje dvajsetletne izkušnje v zavarovalništvu mi nenehno potrjujejo, da je boj proti prevaram stalna dirka med inovativnimi metodami odkrivanja in vse bolj sofisticiranimi goljufivimi shemami. Razvoj modelov strojnega učenja (ML) je prinesel revolucionaren preboj na področju odkrivanja prevar, zlasti pri nezgodnih škodah, kjer se soočamo z veliko količino podatkov in kompleksnimi vzorci. Kljub temu pa moramo biti kot industrija nenehno budni, saj se goljufi hitro prilagajajo in razvijajo nove taktike, ki so znane kot sovražni napadi (angl. 'adversarial attacks').

Ti sovražni napadi niso zgolj naključne anomalije v podatkih, temveč so namerni poskusi manipulacije vhodnih podatkov, s katerimi se želi izigrati ML modele. Cilj je povzročiti napačno klasifikacijo – da se legitimna škoda prepozna kot prevara, ali kar je pogostejše in bolj problematično, da se prevara klasificira kot legitimna škoda. V kontekstu nezgodnih škod to pomeni, da goljufi sistematično spreminjajo atribute zahtevka, da bi se izognili odkrivanju. Zato je ključnega pomena, da nismo osredotočeni zgolj na natančnost (angl. 'accuracy') modelov v idealnih pogojih, temveč predvsem na njihovo robustnost v realnem, sovražnem okolju.

Analiza ranljivosti obstoječih ML modelov za odkrivanje prevar

Naši trenutni ML modeli za odkrivanje prevar pri nezgodnih škodah, ki so pogosto zgrajeni na podlagi nadzorovanega učenja (npr. z uporabo algoritmov, kot so naključni gozdovi (angl. 'Random Forests'), stroji za ojačanje gradienta (angl. 'Gradient Boosting Machines') ali nevronske mreže), so izjemno učinkoviti pri prepoznavanju vzorcev, ki so bili prisotni v učnih podatkih. Vendar pa njihova ranljivost pride do izraza, ko se soočijo z novimi, še nevidenimi vzorci, ki so bili namerno skonstruirani za izigravanje. Ta ranljivost izhaja iz inherentne značilnosti mnogih ML modelov, da so občutljivi na majhne, pogosto človeku neopazne perturbacije v vhodnih podatkih.

Poglejmo na primer model, ki se opira na določene lastnosti škodnega zahtevka, kot so vrsta poškodbe, okoliščine nezgode, zgodovina zavarovanca itd. Goljufi lahko sistematično spreminjajo določene parametre, kot so opis poškodbe ali časovni okvir dogodka, ki so morda na videz nepomembni, vendar vplivajo na izhodno klasifikacijo modela. Na primer, dodajanje specifičnih 'šumov' k numeričnim vrednostim ali subtilne spremembe v besedilnem opisu, ki model popeljejo v napačno smer, ne da bi bistveno spremenile 'človeško' interpretacijo. Stopnja padca natančnosti (angl. 'accuracy') naših modelov ob takšnih napadih se lahko giblje od 15 % do celo 40 %, odvisno od kompleksnosti napada in tipa modela. To se neposredno odraža v povečanih izplačilih za neupravičene zahtevke, kar predstavlja finančno breme za zavarovalnice.

Kvantitativne metode testiranja odpornosti: simulacija sovražnih napadov

Da bi zares razumeli robustnost naših ML modelov, moramo preiti od zgolj postavljanja hipotez k sistematičnemu kvantitativnemu testiranju. To vključuje simulacijo sovražnih napadov (angl. 'adversarial attacks'), kar nam omogoča merjenje, kako dobro se model obnese, ko je izpostavljen namerno spremenjenim vhodnim podatkom. Ena od pogostih metod je uporaba metode hitrega gradientnega znaka (angl. 'Fast Gradient Sign Method' – FGSM), kjer izračunamo gradient izhodne napake modela glede na vhodne podatke in te gradientne informacije uporabimo za perturbacijo vhodnih podatkov v smeri, ki poveča napako modela. Matematično se to lahko zapiše kot x' = x + ε * sign(∇x J(θ, x, y)), kjer je x originalni vhod, x' perturbiran vhod, ε je majhen parameter za nadzor magnitude perturbacije, ∇x J(θ, x, y) pa je gradient izgubne funkcije J glede na vhod x. Alternativno se uporabljajo iterativne metode, kot je PGD (angl. 'Projected Gradient Descent'), ki so še učinkovitejše pri iskanju sovražnih (angl. 'adversarial') primerov.

V praksi to pomeni, da vzamemo množico legitimnih in goljufivih zahtevkov in jih nato sistematično spreminjamo zgoraj omenjenimi tehnikami. Na primer, pri škodah zaradi nezgode, kjer je ključen opis poškodbe, lahko simuliramo minimalne spremembe v besedilu (npr. sinonimi, preureditve besed), ki ohranjajo smisel za človeka, vendar zmedejo model. Merimo padec natančnosti (angl. 'accuracy') oziroma povečanje napačnih negativnih (angl. 'false negatives' – prevara ni zaznana) in napačnih pozitivnih (angl. 'false positives' – legitimna škoda je označena kot prevara) primerov. Na podlagi naših internih testov je bila opažena povprečna izguba natančnosti (angl. 'accuracy') v razponu od 18 % do 32 % pri modelih, kot so globoke nevronske mreže (DNN), ko so bili izpostavljeni dobro skonstruiranim napadom FGSM z ε=0.01 na normaliziranih numeričnih podatkih. Pri modelih naključnih gozdov (angl. 'Random Forest') je padec natančnosti (angl. 'accuracy') znašal med 12 % in 20 % pri podobnih napadih na nevronskih mrežah za vgraditev besedila (angl. 'word embeddings'). Ta kvantifikacija nam omogoča, da natančno vemo, kje so naše šibke točke.

Praktični primer: Kvantitativna analiza sovražnega napada na model X

Želim vam predstaviti informativen primer kvantitativne analize, kako sovražni napad (angl. 'adversarial attack') vpliva na enega izmed naših hipotetičnih ML modelov za odkrivanje prevar pri nezgodnih škodah. Predpostavimo, da imamo model 'FraudNet_v3', ki temelji na nevronski mreži in dosega 92 % natančnosti (angl. 'accuracy') na validacijski množici legitimnih in goljufivih zahtevkov. Model uporablja 50 funkcij, ki vključujejo demografske podatke zavarovanca, vrsto nezgode, opis poškodb (prek vgraditev besedila (angl. 'word embeddings')) in zgodovino prejšnjih zahtevkov.

Izvedli smo simuliran sovražni napad z metodo PGD (angl. 'Projected Gradient Descent') z 10 iteracijami in korakom ε=0.005, omejitvijo perturbacije na L∞ normi do 0.05. Napad smo usmerili na 1000 legitimnih zahtevkov iz testne množice. Pri teh 1000 zahtevkih, ki so bili sprva pravilno klasificirani kot legitimni (tj. brez prevare), smo po sovražni (angl. 'adversarial') perturbaciji zabeležili, da je 280 zahtevkov (28 %) model napačno klasificiral kot prevaro (napačni pozitivni primeri – angl. 'false positives'). Še bolj zaskrbljujoč scenarij je bil, ko smo testirali 500 goljufivih zahtevkov. Od teh jih je model brez napada pravilno klasificiral 460 (92 %). Po PGD napadu pa jih je kar 180 (39 %) napačno klasificiral kot legitimne (napačni negativni primeri – angl. 'false negatives'). To pomeni, da se je natančnost (angl. 'accuracy') modela pri goljufivih zahtevkih, izpostavljenih napadu, zmanjšala na 61 % (460 - 180 = 280 pravilno zaznanih prevar, kar je 280/500 = 56 %). Celoten padec natančnosti (angl. 'accuracy') na kombinirani testni množici je bil opazen, saj se je splošna natančnost (angl. 'accuracy') z 92 % znižala na približno 75 % pod vplivom napada. Takšni kvantificirani rezultati so ključnega pomena za razumevanje resnične robustnosti in za načrtovanje izboljšav.

Kaj je krito in kaj ni krito: pojasnilo ob nezgodnih škodah

Preden nadaljujemo z rešitvami, je pomembno, da na kratko razjasnim, kaj je v splošnem krito in kaj ni krito v okviru nezgodnih zavarovanj, saj se tukaj pogosto pojavljajo poskusi prevar. To so smernice, ki izhajajo iz strokovne prakse in splošnih pogojev zavarovanj, ki so usklajeni z zakonodajo (npr. Zakon o zavarovalništvu – ZZavar-1) in ne predstavljajo pogojev posamezne zavarovalnice, ki se lahko seveda razlikujejo v podrobnostih. Kot strokovnjakinja poudarjam, da je vedno ključno preveriti specifične splošne in posebne pogoje vaše zavarovalne police.

Krito je običajno: smrt zaradi nezgode, trajna invalidnost zaradi nezgode (določena v odstotkih, npr. po tabeli invalidnosti, ki upošteva smernice ZPIZ-2, vendar se razlikuje od samega zakona glede merjenja invalidnosti v zavarovalništvu), začasna nezmožnost za delo (npr. dnevna odškodnina), bolnišnični stroški (npr. zaradi nezgode), stroški reševanja, stroški prevoza, stroški rehabilitacije. Ni krito običajno: bolezni (razen če se nezgoda nanaša na poslabšanje obstoječe bolezni, npr. zlom noge pri osebi z osteoporozo), samopovzročene poškodbe, poškodbe nastale pod vplivom alkohola ali drog, poškodbe nastale pri opravljanju nevarnih športov, ki niso vključeni v kritje, poškodbe pri dejanju, ki se po zakonu (npr. Kazenski zakonik – KZ-1) šteje za kaznivo dejanje, ter poškodbe, ki so bile prikrite ali napačno predstavljene ob sklenitvi zavarovanja, kar bi lahko vodilo v sklepanje o prevari. Seveda so to splošna načela; za konkretno polico je vedno treba preveriti pogodbena določila.

Povečanje odpornosti modelov: sovražno učenje

Ena izmed najučinkovitejših in najbolj raziskanih metod za povečanje robustnosti ML modelov proti sovražnim napadom (angl. 'adversarial attacks') je sovražno učenje (angl. 'adversarial training'). Ideja je preprosta, a močna: model ne učimo samo na originalnih podatkih, temveč ga izpostavljamo tudi sovražnim (angl. 'adversarial') primerom med samim procesom učenja. V vsaki iteraciji učenja generiramo sovražne primere za določeno podskupino podatkov in jih nato vključimo v učno množico. Model se tako nauči prepoznavati in se upirati perturbacijam, kar izboljša njegovo sposobnost klasifikacije tudi v prisotnosti namernih motenj.

Praktično to pomeni, da namesto klasične optimizacije modela z minimizacijo izgubne funkcije E_x,y [L(f(x), y)], optimiziramo robustno izgubno funkcijo min_θ E_x,y [max_δ ||δ||≤ε L(f(x+δ), y)], kjer je δ sovražna perturbacija. To je min-max problem, kjer minimiziramo izgubo, ki jo povzroči najslabša možna perturbacija v določenih mejah. Pri implementaciji sovražnega učenja (angl. 'adversarial training') za naše modele odkrivanja prevar pri nezgodnih škodah smo zabeležili izboljšanje natančnosti (angl. 'accuracy') za 15–25 % ob predhodno uspešnih sovražnih napadih. Na primer, pri prej omenjenem hipotetičnem primeru modela 'FraudNet_v3', ki je pod PGD napadom padel na 75 % natančnost, bi s sovražnim učenjem lahko povrnili natančnost na 85–88 %. Vendar pa je pomembno omeniti, da sovražno učenje pogosto zahteva večje število učnih iteracij in je računsko intenzivnejše, kar lahko podaljša čas učenja modela za 2- do 3-krat.

Povečanje odpornosti modelov: ansambel metode

Poleg sovražnega učenja (angl. 'adversarial training') so ansambel metode (angl. 'ensemble methods') še ena izjemno učinkovita strategija za povečanje robustnosti. Namesto da se zanašamo na en sam model, združimo napovedi več neodvisnih modelov. Ideja je, da so različni modeli ranljivi na različne vrste sovražnih napadov (angl. 'adversarial attacks'). Če en model zataji, ga lahko drugi modeli v ansamblu kompenzirajo. Splošne ansambel metode vključujejo 'bagging' (npr. naključni gozdovi), 'boosting' (npr. stroji za ojačanje gradienta) in 'stacking', kjer model učimo na izhodih drugih modelov. Posebej učinkovita podvrsta za robustnost pa so sovražni ansambli (angl. 'adversarial ensembles').

Pri sovražnih ansamblih usposobimo več modelov na različnih sovražnih (angl. 'adversarial') različicah učnih podatkov ali z različnimi arhitekturami in parametri. Končna napoved se nato določi z glasovanjem ali povprečjem. Na primer, lahko imamo ansambel petih nevronskih mrež, kjer je vsaka trenirana z različnim parametrom ε za sovražno učenje (angl. 'adversarial training') ali celo z različnimi sovražnimi metodami. Kvantitativne analize kažejo, da lahko ansambel metode izboljšajo robustnost modela za dodatnih 5–10 % nad robustnostjo posameznega, že s sovražnim učenjem usposobljenega modela. S kombinacijo sovražnega učenja in ansambel metod lahko pričakujemo skupno izboljšanje robustnosti (merjene kot odpornost na padec natančnosti ob napadih) tudi do 30 % ali več. Na primer, če se je natančnost pred napadom zmanjšala za 30 %, lahko s to kombinacijo to zmanjšanje omejimo na 5–10 %. To bistveno zmanjša tveganje za napačne negativne primere (nezaznane prevare) in posledično finančne izgube.

Primerjava strategij in ocena učinkovitosti

Poglejmo si primerjalno analizo učinkovitosti različnih strategij za povečanje robustnosti, ki sem jih imela priložnost spremljati v zavarovalniškem kontekstu. Cilj je bil izboljšati natančnost (angl. 'accuracy') odkrivanja prevar pri nezgodnih škodah, ko je model izpostavljen sovražnim napadom (angl. 'adversarial attacks'). Izhodišče je bil model globoke nevronske mreže (DNN) z 92 % natančnosti na standardnih podatkih, ki je pod določenim sovražnim napadom (npr. PGD) padel na 68 % natančnost.

Tabela 1: Primerjava učinkovitosti strategij za robustnost (informativni izračun):

| Strategija | Natančnost (standardni podatki) | Natančnost (pod sovražnim napadom) | Povečanje robustnosti ob napadu | Računska zahtevnost (indeks) |

|---------------------------------------------|-------------------------------|-----------------------------------------|--------------------------------|-------------------------------|

| Osnovni DNN model | 92 % | 68 % | 0 % | 1x |

| DNN s sovražnim učenjem | 90 % (-2 %) | 83 % (+15 %) | +15 % | 2.5x |

| Ansambel 5 osnovnih DNN modelov | 93 % (+1 %) | 75 % (+7 %) | +7 % | 5x |

| Ansambel 5 s sovražnim učenjem usposobljenih DNN | 91 % (-1 %) | 87 % (+19 %) | +19 % | 12.5x |

Kot je razvidno iz informativnih številk, sovražno učenje (angl. 'adversarial training') bistveno izboljša odpornost modela na napade. Čeprav lahko pride do minimalnega padca natančnosti (angl. 'accuracy') na standardnih podatkih (t. i. 'robustness-accuracy trade-off'), je to sprejemljiva cena za bistveno povečano robustnost. Ansambel metode (angl. 'ensemble methods') že same po sebi nudijo določeno izboljšanje, vendar je prava moč v kombinaciji – ansambel s sovražnim učenjem usposobljenih modelov, ki dosega najvišjo raven odpornosti. Povečana računska zahtevnost je dejavnik, ki ga moramo upoštevati, a stroški, ki jih preprečimo z boljšim odkrivanjem prevar, to pogosto večkrat odtehtajo.

Izzivi in omejitve implementacije robustnih modelov

Kljub obetavnim rezultatom, ki sem jih predstavila, implementacija robustnih ML modelov ni brez izzivov. Prvi izziv je računska zahtevnost, saj sovražno učenje (angl. 'adversarial training') in ansambli modelov zahtevajo precej več procesorske moči in časa za učenje. To lahko pomeni potrebo po nadgradnji strojne opreme in optimizaciji algoritmov, kar seveda prinaša dodatne stroške. Drugi izziv je 'robustness-accuracy trade-off', ki sem ga že omenila – modeli, ki so izjemno robustni na sovražne napade (angl. 'adversarial attacks'), lahko včasih pokažejo nekoliko slabšo natančnost (angl. 'accuracy') na povsem neperturbiranih, 'čistih' podatkih. Optimalno ravnotežje med tema dvema parametroma je ključnega pomena in zahteva natančno nastavitev.

Nadalje, sovražni napadi se nenehno razvijajo. Kar je danes robustna obramba, jutri morda ne bo dovolj. To pomeni, da je proces izboljševanja robustnosti nenehen cikel učenja, testiranja in prilagajanja. Pomembno je tudi poudariti, da so te strategije najbolj učinkovite, kadar so integrirane v širši sistem za upravljanje prevar, ki vključuje tudi človeško strokovno znanje. ML modeli so močno orodje, vendar ne nadomeščajo izkušenih preiskovalcev prevar, ki lahko prepoznajo kompleksne goljufive sheme, ki jih morda modeli še niso »videli«.

Zaključek: pomen nenehnega razvoja in proaktivnega pristopa

Kot sem poudarila, je robustnost ML modelov za odkrivanje prevar pri nezgodnih škodah v luči sovražnih napadov (angl. 'adversarial attacks') kritičnega pomena za finančno stabilnost in integriteto zavarovalnic. Ne moremo si privoščiti, da bi naši sistemi postali lahka tarča za vedno bolj sofisticirane goljufive sheme. Zato je nujno, da se proaktivno lotevamo razvoja in implementacije strategij, kot sta sovražno učenje (angl. 'adversarial training') in ansambel metode (angl. 'ensemble methods'), ki dokazano povečujejo odpornost naših modelov.

Čeprav se soočamo z izzivi, verjamem, da so koristi robustnejših sistemov daleč presežne. Z vlaganjem v raziskave in razvoj na tem področju, z nenehnim izpopolnjevanjem naših modelov in z implementacijo naprednih tehnik lahko zmanjšamo finančne izgube zaradi prevar in ohranjamo zaupanje naših strank. Moj cilj je, da zavarovalnica Petra Guštin ostaja v ospredju teh tehnoloških inovacij, zagotavljajoč najvišjo raven varnosti in učinkovitosti.

Prihodnost in priporočila

V prihodnosti bomo morali še bolj poudariti razvoj novih metod za generiranje sovražnih (angl. 'adversarial') primerov, ki simulirajo resnične goljufive taktike. To pomeni tesno sodelovanje med podatkovnimi znanstveniki in izkušenimi preiskovalci prevar, ki razumejo psihologijo goljufov. Prav tako bo ključnega pomena razvoj bolj interpretativnih robustnih modelov (XAI – razložljiva umetna inteligenca), saj bomo tako lažje razumeli, zakaj določena perturbacija vpliva na model in kako se model upira tem napadom. To nam bo omogočilo tudi boljše razumevanje sovražnih vzorcev in učinkovitejše preprečevanje prihodnjih napadov.

Priporočam, da zavarovalnice vzpostavijo redne protokole za testiranje robustnosti svojih modelov (npr. četrtletno simulacijo sovražnih napadov). Implementacija sistemov za spremljanje vedenja modelov v realnem času, ki bi lahko zaznali anomalije v klasifikacijah po pojavu novih sovražnih vzorcev, je prav tako ključna. Vlaganje v izobraževanje kadra na področju ML varnosti in sovražnih napadov bo dolgoročno prineslo pomembne koristi in okrepilo obrambno linijo proti zavarovalniškim prevaram. Skratka, proaktiven in nenehen razvoj je edini način za ohranjanje prednosti v tem dinamičnem boju.

Pogosta vprašanja

Kaj pomeni 'adversarial attack' v kontekstu zavarovalništva?

Sovražni napad (angl. 'adversarial attack') je namerni poskus manipulacije vhodnih podatkov škodnega zahtevka (npr. sprememba opisa poškodbe, časa dogodka), da bi izigrali ML model za odkrivanje prevar in povzročili napačno klasifikacijo – legitimna škoda se prepozna kot prevara ali, kar je pogosteje, prevara kot legitimna škoda.

Kako 'adversarial training' pomaga pri robustnosti modelov?

Sovražno učenje (angl. 'adversarial training') vključuje izpostavljanje ML modela namerno spremenjenim (sovražnim – angl. 'adversarial') podatkom med procesom učenja. Model se tako nauči prepoznavati in se upirati perturbacijam, kar izboljša njegovo sposobnost klasifikacije tudi v prisotnosti namernih motenj in poveča odpornost na prihodnje napade.

Kaj so 'ensemble methods' in zakaj so pomembne?

Ansambel metode (angl. 'ensemble methods') združujejo napovedi več neodvisnih ML modelov. Ker so različni modeli ranljivi na različne vrste napadov, lahko ansambel kompenzira slabosti posameznega modela. To bistveno poveča splošno robustnost sistema za odkrivanje prevar, še posebej v kombinaciji s sovražnim učenjem.

Koliko se lahko zmanjša natančnost modela zaradi sovražnih napadov?

Glede na vrsto modela in kompleksnost napada se lahko natančnost modela (angl. 'accuracy') zmanjša tudi za 15 % do 40 %. Zato je nujno kvantitativno testiranje robustnosti, ki pokaže dejanski padec uspešnosti modela v sovražnem okolju.

Ali robustnejši modeli vplivajo na natančnost pri običajnih podatkih?

Pogosto obstaja 'robustness-accuracy trade-off': modeli, ki so izjemno robustni na sovražne napade (angl. 'adversarial attacks'), lahko včasih pokažejo nekoliko slabšo natančnost (angl. 'accuracy') na povsem neperturbiranih, 'čistih' podatkih. Cilj je najti optimalno ravnotežje med tema dvema parametroma, da se doseže splošno najboljša uspešnost.

Viri in reference

• Uradni list RS – Zakon o zavarovalništvu (ZZavar-1)
• Uradni list RS – Zakon o pokojninskem in invalidskem zavarovanju (ZPIZ-2)
• Goodfellow, I., Shlens, J., & Szegedy, C. (2014). Explaining and harnessing adversarial examples. arXiv preprint arXiv:1412.6572.
• Madry, A., Makelov, A., Schmidt, L., Tsipras, D., & Vladu, A. (2017). Towards deep learning models resistant to adversarial attacks. arXiv preprint arXiv:1706.06083.

Nadaljujte branje o tej temi

Povezave so izbrane samodejno glede na steber zaščite in ključne besede te objave.

• 
  Primer: Tehnični vpogledi

  Hude bolezni pri otrocih: Kako je urejeno družinsko kritje

• 
  Primer: Tehnični vpogledi

  Inflacija in zavarovalna vsota: kako ohraniti realno vrednost kritja

• 
  Primer: Tehnični vpogledi

  Multipla skleroza in Parkinsonova bolezen: Merila za priznanje kritja

• 
  Primer: Tehnični vpogledi

  Revizija police za hude bolezni: Zakaj jo opraviti vsakih pet let

• 
  Primer: Tehnični vpogledi

  Uskladitev nezgodnih polic z inflacijo: Zakaj so stare vsote prenizke?