[論文レビュー] Label Poisoning is All You Need

Rishi D. Jha, Jonathan Hayase+1 more|arXiv (Cornell University)|Oct 29, 2023

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

この論文は、入力画像を変更せずに訓練ラベルのみを汚染することで、モデルを汚染する新しいラベル専用のバックドア攻撃であるFLIPを紹介している。CIFAR-10では2%のラベル汚染で99.4%の攻撃成功率を達成し、クリーン精度はわずか1.8%低下する。この手法は、データセット蒸留で開発された軌道マッチングを活用し、特定のラベルパターンとターゲットクラスの関連付けを学習するモデルを訓練する。

ABSTRACT

In a backdoor attack, an adversary injects corrupted data into a model's training dataset in order to gain control over its predictions on images with a specific attacker-defined trigger. A typical corrupted training example requires altering both the image, by applying the trigger, and the label. Models trained on clean images, therefore, were considered safe from backdoor attacks. However, in some common machine learning scenarios, the training labels are provided by potentially malicious third-parties. This includes crowd-sourced annotation and knowledge distillation. We, hence, investigate a fundamental question: can we launch a successful backdoor attack by only corrupting labels? We introduce a novel approach to design label-only backdoor attacks, which we call FLIP, and demonstrate its strengths on three datasets (CIFAR-10, CIFAR-100, and Tiny-ImageNet) and four architectures (ResNet-32, ResNet-18, VGG-19, and Vision Transformer). With only 2% of CIFAR-10 labels corrupted, FLIP achieves a near-perfect attack success rate of 99.4% while suffering only a 1.8% drop in the clean test accuracy. Our approach builds upon the recent advances in trajectory matching, originally introduced for dataset distillation.

研究の動機と目的

• 攻撃者が入力画像を変更できない状況で、ラベルのみを制御できる場合にバックドア攻撃が可能かどうかを調査すること。
• 訓練画像がクリーンであるが、ラベルが信頼できない第三者から提供される場合に、モデルがバックドアから安全であるという仮定を疑問視すること。
• 高いクリーン精度を維持しながら、ほぼ完璧な攻撃成功率を達成できる実用的で効果的なラベル専用バックドア攻撃を開発すること。
• SPECTRE、k-means、PCAを含む最先端の防御対策に対するFLIPの耐性を評価すること。
• 微調整により、大規模なビジョントランスフォーマーにFLIP攻撃の転送性を示すこと。

提案手法

• FLIPは、元々データセット蒸留のために開発された軌道マッチングを用い、望ましいラベル分布に一致するモデル重みの系列を学習する。
• 各例がクリーン画像と汚染ラベルのペアである合成データセット上でモデルを訓練し、ラベルパターンとターゲットクラスの関連付けを促す。
• ラベル汚染は、画像コンテンツを変更せずに、事前に定義されたパターン（例：正弦波、周期的、Turnerトリガー）に従ってラベルの一部をターゲットクラスに再割り当てすることで実装される。
• 攻撃は、汚染された例に対してモデルの予測軌道がターゲットラベルに収束するよう促す損失関数を用いて最適化され、クリーンデータの性能は維持される。
• 一般化性と転送性を評価するために、複数のアーキテクチャ（ResNet-32、ResNet-18、VGG-19、ビジョントランスフォーマ）とデータセット（CIFAR-10、CIFAR-100、Tiny-ImageNet）でFLIPを評価する。
• 微調整のシナリオでも検証され、事前学習済みViTをResNetやVGG-19モデルが生成したFLIPラベルで微調整することで、強力な転送性が示された。

実験結果

リサーチクエスチョン

• RQ1 入力画像を変更せずにラベルのみを汚染することで、バックドア攻撃を成功させることは可能か？
• RQ2 FLIP攻撃は、ほぼ完璧な汚染攻撃成功率を達成しながらも、高いクリーンテスト精度を維持できるか？
• RQ3 SPECTRE、k-means、PCAといった最先端のバックドア防御に対して、FLIPはどの程度効果を示すか？
• RQ4 微調整によって、事前学習済みモデルから大規模なビジョントランスフォーマーにFLIP生成ラベル汚染を効果的に転送できるか？
• RQ5 強力な攻撃性能を達成するために必要な最小のラベル汚染数はどれくらいか？

主な発見

• CIFAR-10のラベルのわずか2%を汚染しただけで、FLIPは汚染テスト精度（PTA）が99.4%に達し、クリーンテスト精度（CTA）はわずか1.8%低下した。
• FLIPは、[18]のマルチラベル攻撃と内積ベースラインと比較して、特に低汚染率の条件下でもPTAとCTAのトレードオフにおいて優れている。
• SPECTRE防御はFLIPに対して非常に効果的であり、全トリガータイプでPTAをほぼゼロにまで低下させるが、k-meansおよびPCA防御は攻撃を緩和できなかった。
• FLIPは強力な転送性を示した：ResNet-32またはVGG-19で学習したラベルは、ImageNet1Kで微調整されたビジョントランスフォーマーを効果的にバックドア化し、1,500個の汚染ラベルで94%以上のPTAを達成した。
• FLIPにおけるℓ₁正則化の使用は性能向上をもたらさず、これはコア手法がすでにラベル効率性と耐性の観点で最適化されていることを示している。
• SPECTREのような強力な防御がある状況でも、画像がクリーンだがラベルが信頼できない環境（例：クラウドソーシングによるアノテーション、知識蒸留）では、FLIPが依然として脅威であることが示された。