[論文レビュー] Enhancing Clean Label Backdoor Attack with Two-phase Specific Triggers

Nan Luo, Yuanzhang Li+4 more|arXiv (Cornell University)|Jun 10, 2022

Adversarial Robustness in Machine Learning被引用数 5

ひとこと要約

本稿では、U-Netオートエンコーダーを用いて、クリーンラベルバックドア攻撃の効果を向上させるための2段階で画像固有のトリガーを生成する手法を提案する。ターゲット画像、ノンターゲット画像、および知覚的損失を組み合わせた損失関数でトリガー生成器を訓練することで、5%の汚染率で98.98%の攻撃成功率を達成するとともに、高い隠蔽性と防御対策に対する耐性を維持する。

ABSTRACT

Backdoor attacks threaten Deep Neural Networks (DNNs). Towards stealthiness, researchers propose clean-label backdoor attacks, which require the adversaries not to alter the labels of the poisoned training datasets. Clean-label settings make the attack more stealthy due to the correct image-label pairs, but some problems still exist: first, traditional methods for poisoning training data are ineffective; second, traditional triggers are not stealthy which are still perceptible. To solve these problems, we propose a two-phase and image-specific triggers generation method to enhance clean-label backdoor attacks. Our methods are (1) powerful: our triggers can both promote the two phases (i.e., the backdoor implantation and activation phase) in backdoor attacks simultaneously; (2) stealthy: our triggers are generated from each image. They are image-specific instead of fixed triggers. Extensive experiments demonstrate that our approach can achieve a fantastic attack success rate~(98.98%) with low poisoning rate~(5%), high stealthiness under many evaluation metrics and is resistant to backdoor defense methods.

研究の動機と目的

• 従来のクリーンラベルバックドア攻撃には、高解像度データセットでは失敗し、固定された不自然なトリガーが使われるという限界があるため、それらを解消すること。
• バックドアの埋め込み段階と活性化段階を同時に向上させることで、攻撃効果を強化すること。
• 固定パターンではなく画像固有のトリガーを生成することで、隠蔽性を向上させること。
• データ拡張やSTRIPなどの一般的な防御手法に対しても耐性を確保すること。
• 最小限の汚染率で高い攻撃成功率を達成し、クリーンデータに対する精度低下を最小限に抑えること。

提案手法

• U-Netオートエンコーダーを訓練して、入力画像から画像固有のトリガーを生成する。損失関数にはカスタム損失関数を適用する。
• ターゲット画像損失、ノンターゲット画像損失、および知覚的損失を組み合わせたマルチコンポonent損失関数を設計し、効果性と隠蔽性のバランスをとる。
• 事前学習済みのトリガー生成器を用いて、バックドア埋め込み段階で汚染された訓練データを生成する。
• 推論段階でのバックドア活性化のために、同じトリガー生成器を用いて悪意のある入力を生成する。
• $l_{infty}$制約を変化させながらトリガー生成を最適化し、隠蔽性と攻撃成功率のバランスをとる。
• データ拡張およびSTRIP防御に対する耐性を評価するため、クリーンモデルおよび汚染済みモデルのFRおよびASRを測定する。

実験結果

リサーチクエスチョン

• RQ1 画像固有のトリガーは、高解像度データセットにおけるクリーンラベルバックドア攻撃の成功率を向上させることができるか？
• RQ2 画像固有のトリガーは、バックドアの埋め込み段階と活性化段階の両方において、どの程度効果的か？
• RQ3 固定トリガーと比較して、画像固有のトリガーはどの程度隠蔽性を向上させるか？
• RQ4 データ拡張やSTRIPなどの一般的な防御手法に対して、提案手法のトリガーはどの程度耐性を示すか？
• RQ5 提案手法において、トリガー強度（$l_{infty}$）と隠蔽性のトレードオフはどのようなものか？

主な発見

• 提案手法は、わずか5%の汚染率で98.98%の攻撃成功率を達成し、先行研究のクリーンラベル攻撃を大きく上回っている。
• 本手法は、クリーンモデルと比較して0.34%の低下にとどまる97.98%の良性精度を維持しており、性能低下が最小限であることが示された。
• $l_{infty} = 15/255$の条件下で、攻撃成功率は85.47%に達し、高い隠蔽性を維持している。データ拡張下でもASRの低下は0.0214にとどまり、優れた耐性を示した。
• STRIP防御に対しても耐性を示しており、トリガ付き画像のエントロピー分布がクリーン画像と類似していることから、高い隠蔽性が裏付けられた。
• データ拡張下でも攻撃は効果的であり、ASRの低下は2.14%にとどまり、CLBAの4.49%低下やGTRBAの22.04%上昇と比較して優れた性能を示した。
• トリガー生成器は、同じ$l_{infty}$制約下で、汚染済みモデルのFRおよびASRがクリーンモデルよりも高いことから、バックドアの埋め込みを効果的に促進していることが実証された。