[논문 리뷰] Backdoor Attack with Sample-Specific Triggers.

Yuezun Li, Yiming Li외 4명|arXiv (Cornell University)|2020. 12. 07.

Adversarial Robustness in Machine Learning참고 문헌 56인용 수 17

한 줄 요약

이 논문은 깊이 신경망 기반의 인코더-디코더 네트워크를 통해 악성 이미지에 공격자 정의 문자열을 임bedding하는 샘플별로 고유한, 보이지 않는 트리거를 사용하는 새로운 뒷통로 공격을 제안한다. 이 방법은 각 샘플마다 유일한 트리거를 만들어 기존 방어 기법에 의해 탐지되는 것을 회피함으로써, 방어가 적용된 모델조차도 높은 공격 성공률을 달성한다.

ABSTRACT

Recently, backdoor attacks pose a new security threat to the training process of deep neural networks (DNNs). Attackers intend to inject hidden backdoor into DNNs, such that the attacked model performs well on benign samples, whereas its prediction will be maliciously changed if the hidden backdoor is activated by an attacker-defined trigger. Existing backdoor attacks usually adopt the setting that the trigger is sample-agnostic, $i.e.,$ different poisoned samples contain the same trigger, resulting in that the attacks could be easily mitigated by current backdoor defenses. In this work, we explore a novel attack paradigm that the backdoor trigger is sample-specific. Specifically, inspired by the recent advance in DNN-based image steganography, we generate sample-specific invisible additive noises as backdoor triggers by encoding an attacker-specified string into benign images through an encoder-decoder network. The mapping from the string to the target label will be generated when DNNs are trained on the poisoned dataset. Extensive experiments on benchmark datasets verify the effectiveness of our method in attacking models with or without defenses.

연구 동기 및 목표

• 기존의 샘플에 관계없이 동일한 트리거를 사용하는 뒷통로 공격의 취약성을 해결하기 위해, 현재의 방어 기법에 쉽게 탐지되는 트리거를 사용하지 않는다.
• 딥 러닝 기반 스테고그래피를 활용해 각 샘플마다 고유하고 보이지 않는 트리거를 생성함으로써 더 은밀한 뒷통로 공격을 개발한다.
• 최신 뒷통로 방어 기법을 우회하는 데 있어 샘플별 트리거의 효과성을 평가한다.
• 샘플별 트리거가 고유성과 인지 불가능성을 유지하면서도 높은 공격 성공률을 유지를 할 수 있음을 입증한다.

제안 방법

• 학습된 인코더-디코더 네트워크를 사용해 각 정상 이미지에 비밀 문자열을 보이지 않는 추가 노이즈 패턴으로 임베딩한다.
• 암호화된 노이즈 패턴이 각 오염된 샘플마다 고유한 트리거 역할을 하며, 서로 다른 트리거를 갖는다.
• 트리거는 인간의 눈에 띄지 않으며 일반적인 이미지 변환에 대해서도 강건하도록 생성된다.
• 모델 학습 과정에서 DNN은 트리거를 통해 인코딩된 문자열을 사전에 정의된 타깃 레이블로 매핑하도록 학습한다.
• 공격 프레임워크는 인코더-디코더를 데이터 오염 파이프라인에 통합하여 각 샘플의 트리거 일관성을 보장한다.
• 딥 러닝 기반 이미지 스테고그래피의 최근 발전을 활용해 트리거가 보이지 않게 유지되면서도 강건함을 확보한다.

실험 결과

연구 질문

• RQ1 딥 스테고그래피를 통해 생성된 샘플별 트리거가 기존의 뒷통로 탐지 방어 기법을 회피할 수 있는가?
• RQ2 각 샘플마다 고유한 트리거를 사용하는 오염된 데이터로 학습된 모델에서 공격 성공률 측면에서 이 공격이 얼마나 효과적인가?
• RQ3 표준 및 방어적 학습 설정 하에서 벤치마크 데이터셋에서 제안된 방법의 성능은 어떠한가?
• RQ4 인간 관찰자에게 트리거가 얼마나 인지 불가능한가, 그리고 이미지 전처리에 대해 얼마나 강건한가?

주요 결과

• 제안된 공격은 방어 기법이 적용된 모델조차도 여러 벤치마크 데이터셋에서 거의 완벽한 공격 성공률(100%에 가까운 수준)을 달성한다.
• 트리거의 고유성과 보이지 않음으로 인해 최신 뒷통로 탐지 방법에 의해 탐지되지 않는다.
• 모델은 정상 샘플에 대해 높은 정확도를 유지하므로 추론 과정에서 신뢰할 수 있는 것처럼 보인다.
• 시각적 점검 및 인지 유사도 메트릭을 통해 인간 관찰자에게 트리거가 인지 불가능함을 확인할 수 있다.
• 다양한 이미지 전처리 및 데이터 증강 기법 하에서도 공격가 지속적으로 효과를 유지한다.
• 이 방법은 CIFAR-10 및 Tiny ImageNet을 포함한 다양한 DNN 아키텍처와 데이터셋에서 강건함을 입증한다.