[論文レビュー] Mask and Restore: Blind Backdoor Defense at Test Time with Masked Autoencoder

Tong Sun, Lu Pang+3 more|arXiv (Cornell University)|Mar 27, 2023

Adversarial Robustness in Machine Learning被引用数 4

ひとこと要約

本稿では、モデルの重みやクリーンデータにアクセスできないテスト時防御手法である、マスクドオートエンコーダーを用いた盲目的バックドア防御（BDMAE）を提案する。BDMAEは、トークン空間におけるマスクドオートエンコーダーの再構成を活用し、構造的類似性とラベルの一貫性を用いてトリガーを検出し、リアルタイムで画像を洗練させる。これにより、多様なトリガーに対して高いクリーン精度と低い攻撃成功率を達成する。

ABSTRACT

Deep neural networks are vulnerable to backdoor attacks, where an adversary manipulates the model behavior through overlaying images with special triggers. Existing backdoor defense methods often require accessing a few validation data and model parameters, which is impractical in many real-world applications, e.g., when the model is provided as a cloud service. In this paper, we address the practical task of blind backdoor defense at test time, in particular for local attacks and black-box models. The true label of every test image needs to be recovered on the fly from a suspicious model regardless of image benignity. We consider test-time image purification that incapacitates local triggers while keeping semantic contents intact. Due to diverse trigger patterns and sizes, the heuristic trigger search can be unscalable. We circumvent such barrier by leveraging the strong reconstruction power of generative models, and propose Blind Defense with Masked AutoEncoder (BDMAE). BDMAE detects possible local triggers using image structural similarity and label consistency between the test image and MAE restorations. The detection results are then refined by considering trigger topology. Finally, we fuse MAE restorations adaptively into a purified image for making prediction. Extensive experiments under different backdoor settings validate its effectiveness and generalizability.

研究の動機と目的

• モデルパラメータやクリーンデータが入手不可である実世界のブラックボックス環境において、バックドア攻撃に対処する課題に取り組む。
• モデルの変更なしにリアルタイムで動作するテスト時防御を実現し、クラウドサービスにおける実用的導入を可能にする。
• トリガーのパターン、サイズ、モデルアーキテクチャに関する事前知識がなくても、トリガー検出と画像洗練を可能にする。
• 多様な複雑さのバックドアトリガーを効果的に無効化しつつ、クリーン画像における高い精度を維持する。
• 再訓練や検証データへのアクセスなしに、多様なトリガータイプや画像分布に一般化する。

提案手法

• マスクドオートエンコーダー（MAE）を用いて、マスクされた画像パッチを再構成し、その強力な生成能力を活用してトークン空間における異常を検出する。
• 各パッチについて2つのトリガースコアを計算する：入力とMAEによる復元画像の間の画像構造的類似性に基づくスコア、および入力と復元画像のラベル予測の一貫性に基づくスコア。
• トリガーのトポロジーを考慮したスコアの精錬を実施し、疑わしいトリガー領域をよりよくカバーするトポロジー対応MAEマスクを生成する。
• しきい値を適用したトリガースコアを用いて、複数のMAE再構成を適応的に統合し、最終予測用の洗練済み画像を生成する。
• 検出と再構成のフィードバックを繰り返し行い、スコアとマスクを段階的に精錬することで、トリガーの局所化精度を向上させる。
• 完全に盲目的な設定で動作する—モデルパラメータ、クリーンデータ、真値ラベルへのアクセスは一切不要である。

実験結果

リサーチクエスチョン

• RQ1 モデルパラメータやクリーンデータへのアクセスなしに、ブラックボックスモデルに対するテスト時防御が有効に機能するか？
• RQ2 事前知識なしに、マスクドオートエンコーダーを用いてトークン空間で多様なバックドアトリガーを検出できるか？
• RQ3 元画像と復元画像の間の構造的類似性とラベルの一貫性をどのように活用することで、トリガー検出を向上させられるか？
• RQ4 トポロジーを考慮したトリガースコアの精錬により、検出精度が向上し、誤検出が減少するか？
• RQ5 しきい値を適用した複数のMAE再構成の適応的統合により、洗練画像の耐性が向上し、意味的コンテンツが保持されるか？

主な発見

• ImageNet100における大規模トリガー設定において、BDMAEはクリーン精度（CA）76.4%、バックドア精度（BA）78.7%を達成し、PatchCleanserなどのベースラインを大きく上回った。
• 1×1カラーパターンのトリガーに対しては、CA 73.2%、BA 76.3%を維持し、トリガータイプにわたる強力な一般化性を示した。
• 最も挑戦的な大規模トリガー設定では、攻撃成功率（ASR）を0.2%まで低下させつつ、76.4%のクリーン精度を維持した。これは高い耐性を示している。
• ぼかしや縮小パディングなどの強力なデータ変換に対しても、すべてのトリガータイプおよびサイズでASRがほぼゼロ（0.1–0.2%）に抑えられ、高い耐性を示した。
• 再訓練やデータアクセスなしに、多様なデータセットやトリガーパattersにわたって高い性能を維持し、強力な一般化性を示した。
• しきい値を適用した複数のMAE再構成の適応的統合により、意味的コンテンツを保持しつつトリガーを効果的に除去する優れた画像洗練が実現した。