[論文レビュー] UNICORN: A Unified Backdoor Trigger Inversion Framework

Zhenting Wang, Kai Mei+2 more|arXiv (Cornell University)|Apr 5, 2023

Adversarial Robustness in Machine Learning被引用数 7

ひとこと要約

UNICORNは、可逆変換を用いてさまざまな入力空間における摂動としてトリガーをモデル化することにより、多様なトリガータイプに一般化する統合的バックドアトリガー逆問題フレームワークを提案する。CIFAR-10およびImageNetにおける8種類のバックドア攻撃に対して、逆問題の成功率が95％以上に達し、自己教師あり学習モデルに対しても有効であることを示している。

ABSTRACT

The backdoor attack, where the adversary uses inputs stamped with triggers (e.g., a patch) to activate pre-planted malicious behaviors, is a severe threat to Deep Neural Network (DNN) models. Trigger inversion is an effective way of identifying backdoor models and understanding embedded adversarial behaviors. A challenge of trigger inversion is that there are many ways of constructing the trigger. Existing methods cannot generalize to various types of triggers by making certain assumptions or attack-specific constraints. The fundamental reason is that existing work does not consider the trigger's design space in their formulation of the inversion problem. This work formally defines and analyzes the triggers injected in different spaces and the inversion problem. Then, it proposes a unified framework to invert backdoor triggers based on the formalization of triggers and the identified inner behaviors of backdoor models from our analysis. Our prototype UNICORN is general and effective in inverting backdoor triggers in DNNs. The code can be found at https://github.com/RU-System-Software-and-Security/UNICORN.

研究の動機と目的

• 従来のトリガー逆問題手法が静的なピクセル空間トリガーを仮定しており、フィルターや変形効果のような複雑なトリガーには一般化できないという限界に対処すること。
• 可逆変換を用いて、異なる入力空間における摂動としてバックドアトリガーを形式的に定義し、逆問題の統一的定式化を可能にすること。
• 背後にある行動的特徴として、悪意あるおよび健全な活性化ベクトルの分離を同定し、それを逆問題に活用すること。
• 攻撃固有の仮定に依存せず、データ汚染攻撃やサプライチェーン攻撃を含むさまざまな攻撃タイプのトリガーを逆問題化する汎用フレームワークを開発すること。
• 事前学習エンコーダーにおけるトリガー逆問題を可能にすることで、自己教師あり学習モデルへの適用範囲を拡張すること。

提案手法

• バックドアトリガーを変換された入力空間における摂動として形式化：$\tilde{\bm{x}} = \phi^{-1}\left((1-\bm{m})\odot\phi(\bm{x}) + \bm{m}\odot\bm{t}\right)$、ここで$\phi$は可逆変換関数である。
• 入力空間変換$\phi$、マスク$\bm{m}$、トリガーパターン$\bm{t}$を同時に探索する制約付き最適化問題を導入し、バックドアの再構築を実現する。
• 中間層における悪意ある活性化ベクトルが健全なベクトルから分離されているという観察を活用し、バックドア行動の信頼性の高い検出を可能にする。
• 勾配ベースの探索と正則化を用いて、小さな目立たないトリガーを保証するPyTorchベースのプロトタイプ、UNICORNを採用して最適化問題を解く。
• 分類損失を回避するため、参照サンプルの埋め込みとの類似度を最大化することで、自己教師ありモデルへのフレームワークの適応を図る。
• 自己教師ありモデルの評価戦略として、参照サンプルに基づくアプローチを採用し、攻撃成功率は微調整された下流分類器を用いて測定する。

実験結果

リサーチクエスチョン

• RQ1 攻撃固有の仮定に依存せず、フィルターや変形効果、パッチベースのトリガーを含む多様なトリガータイプに一般化可能な統合的トリガー逆問題フレームワークは実現可能か？
• RQ2 可逆変換を用いて異なる入力空間にトリガーをモデル化することで、トリガー逆問題の一般化性とロバスト性はどのように向上するか？
• RQ3 バックドアを仕込んだモデルにおける活性化パターンの分離度は、異なるアーキテクチャやデータセットにおいて、信頼性の高いトリガー検出と逆問題化をどの程度可能にするか？
• RQ4 提案フレームワークは、特に事前学習エンコーダーにおいて、自己教師あり学習モデルのトリガーを効果的に逆問題化できるか？
• RQ5 UNICORNの性能は、複数のデータセットおよびバックドア攻撃タイプにおいて、先行する最先端手法と比較してどの程度優れているか？

主な発見

• UNICORNは、CIFAR-10およびImageNetにおける8種類のバックドア攻撃において平均95.89％の攻撃成功率（ASR）を達成し、静的なピクセル空間トリガーを仮定する従来手法を顕著に上回っている。
• パッチ攻撃では98.95％のASRを達成し、次に優れた手法よりも10ポイント以上優れており、優れた逆問題精度を示している。
• 複雑な変形効果を用いるWaNet攻撃に対しても、91.41％のASRを達成し、非伝統的で空間的に変形されたトリガーに対しても有効であることが示された。
• 自己教師あり学習では、事前学習エンコーダーのトリガーを平均97.01％のASRで逆問題化し、埋め込みの成功率（平均97.87％）に非常に近い結果を達成した。
• Badencoderにおけるホワイトパッチパッチトリガーの逆問題では、元のトリガーと同一の空間的位置に逆問題化されたトリガーを可視化し、空間的整合性を確認した。
• UNICORNの逆問題性能は、ResNet、DenseNet、Vision Transformerを含む多様なモデルで安定しており、特定のアーキテクチャに依存しない強力な一般化性を示している。