[論文レビュー] Few-shot Backdoor Attacks via Neural Tangent Kernels

Jonathan Hayase, Sewoong Oh|arXiv (Cornell University)|Oct 12, 2022

Adversarial Robustness in Machine Learning被引用数 5

ひとこと要約

本稿では、最小限の汚染データで最大の攻撃成功率を達成するためにニューラルタングェントカーネル（NTKs）を用いて汚染訓練例を最適化する、少数の例でのバックドア攻撃であるNeural Tangent Backdoor Attack（NTBA）を提案する。NTKを用いて訓練動態をモデル化することで、CIFAR-10およびImageNetのサブセットでベースライン手法よりも10倍少ない例で90％の攻撃成功率を達成する、極めて効果的な汚染例を設計する。

ABSTRACT

In a backdoor attack, an attacker injects corrupted examples into the training set. The goal of the attacker is to cause the final trained model to predict the attacker's desired target label when a predefined trigger is added to test inputs. Central to these attacks is the trade-off between the success rate of the attack and the number of corrupted training examples injected. We pose this attack as a novel bilevel optimization problem: construct strong poison examples that maximize the attack success rate of the trained model. We use neural tangent kernels to approximate the training dynamics of the model being attacked and automatically learn strong poison examples. We experiment on subclasses of CIFAR-10 and ImageNet with WideResNet-34 and ConvNeXt architectures on periodic and patch trigger attacks and show that NTBA-designed poisoned examples achieve, for example, an attack success rate of 90% with ten times smaller number of poison examples injected compared to the baseline. We provided an interpretation of the NTBA-designed attacks using the analysis of kernel linear regression. We further demonstrate a vulnerability in overparametrized deep neural networks, which is revealed by the shape of the neural tangent kernel.

研究の動機と目的

• バックドア攻撃における汚染訓練例の数と攻撃成功率の根本的トレードオフを解消すること。
• 特に低データ環境下で、ランダムサンプリングよりも強力な汚染例を構築する手法を開発すること。
• ニューラルタングェントカーネル（NTKs）を活用して、深層ニューラルネットワークの訓練動態をモデル化・最適化し、バックドア攻撃の設計を促進すること。
• カーネル線形回帰解析を用いて攻撃強度の理論的解釈を提供すること。
• NTKの幾何構造を通じて、過パラメータ化された深層ニューラルネットワークに内在する脆弱性を明らかにすること。

提案手法

• 最終モデルの攻撃成功率を最大化するように汚染例を最適化する、二段階最適化問題としてバックドア攻撃を定式化する。
• ターゲットモデルの訓練動態を近似するためにニューラルタングェントカーネル（NTKs）を用い、汚染例の勾配ベース最適化を効率的に行う。
• NTKから導出されたカーネルリッジ回帰問題を解くことで汚染例を構築し、訓練中に重みがどのように変化するかをモデル化する。
• 入力空間においてクリーンデータと類似性が高く、トリガーの大きさが最小限であるように汚染例を設計することで、影響力を最大化する。
• 一般化性と脆弱性の違いを分析するために、NTKに基づく攻撃とラプラシアンカーネルに基づく攻撃を比較する。
• 合成3次元データセットを用いて、NTKが遠く離れた点に対しても強い影響を保つことを示し、強固なバックドア一般化を可能にすることを実証する。

実験結果

リサーチクエスチョン

• RQ1 ニューラルタングェントカーネルは、少ない訓練注入でより効果的なバックドア汚染例を設計するために利用可能か？
• RQ2 NTKの幾何構造は、バックドア攻撃の一般化性と強度にどのように影響するか？
• RQ3 なぜ過パラメータ化された深層ニューラルネットワークは、少数例バックドア攻撃に対して特に脆弱なのか？
• RQ4 トリガーの大きさと空間的配置が攻撃効果に果たす役割は何か？
• RQ5 NTKベースのモデルでは、1つの汚染点の影響が距離とともにどのように減少するか？他のカーネルと比較してどう異なるか？

主な発見

• NTBAは、CIFAR-10およびImageNetのサブセットで、わずか10個の汚染例を用いて90％の攻撃成功率を達成し、これはサンプリングベースラインよりも10倍の効率性を示す。
• 周期的トリガーの場合、NTBAは10個の汚染例で72％の攻撃成功率を達成するが、ベースラインでは100個の例が必要で80％の成功率であった。
• トリガーの大きさが小さくなるほど攻撃の強度が顕著に向上し、特に入力空間でクリーンデータに近い汚染例では顕著である。
• NTKベースのモデルでは、汚染例からの影響が長距離にわたり持続するため、汚染点から遠く離れたテスト例に対してもバックドア効果が一般化される。
• これに対して、ラプラシアンカーネルでは影響が距離とともに急速に減少し、数個の近隣点を超えてバックドアを一般化できない。
• 高入力値におけるNTKの斜交的漸近的挙動は、ラプラシアンカーネルと比較して、少数例バックドア攻撃に対してより大きな脆弱性を示す。