[논문 리뷰] BEAGLE: Forensics of Deep Learning Backdoor Attack for Better Defense

Siyuan Cheng, Guanhong Tao외 9명|arXiv (Cornell University)|2023. 01. 16.

Adversarial Robustness in Machine Learning인용 수 4

한 줄 요약

BEAGLE는 딥러닝 백도어 공격을 위한 새로운 포렌식 프레임워크로, 트로이 복합 입력을 자동으로 정상 입력과 트리거로 분해하고, 유사한 공격을 군집화하여 분류하며, 새로운 동일 유형의 백도어를 탐지할 수 있는 일반화된 스캐너를 합성한다. 이는 기존 스캐너보다 뛰어나며, 예측되지 않은 WaNet 공격에 대해 93%의 정확도를 달성했고, 데이터 편향과 적응형 공격에 대해서도 강건함을 입증했다.

ABSTRACT

Deep Learning backdoor attacks have a threat model similar to traditional cyber attacks. Attack forensics, a critical counter-measure for traditional cyber attacks, is hence of importance for defending model backdoor attacks. In this paper, we propose a novel model backdoor forensics technique. Given a few attack samples such as inputs with backdoor triggers, which may represent different types of backdoors, our technique automatically decomposes them to clean inputs and the corresponding triggers. It then clusters the triggers based on their properties to allow automatic attack categorization and summarization. Backdoor scanners can then be automatically synthesized to find other instances of the same type of backdoor in other models. Our evaluation on 2,532 pre-trained models, 10 popular attacks, and comparison with 9 baselines show that our technique is highly effective. The decomposed clean inputs and triggers closely resemble the ground truth. The synthesized scanners substantially outperform the vanilla versions of existing scanners that can hardly generalize to different kinds of attacks.

연구 동기 및 목표

• 자율주행과 같은 안전이 중요한 시스템에 심각한 영향을 줄 수 있는, 기존 사이버 공격을 모방하는 딥러닝 백도어 공격의 증가하는 위협에 대응한다.
• 기존 사이버 공격 포렌식과 유사한 방식으로 백도어 공격의 근본 원인을 규명할 수 있는 종합적인 포렌식 워크플로우를 개발한다.
• 기존 방법들이 개별 입력의 탐지 또는 정제에만 집중하고 일반화나 분류 기능이 부족한 한계를 극복한다.
• 트로이 복합 입력에 접근하지 않더라도, 동일한 백도어 유형의 새로운 모델에 대해 일반화된 스캐너를 자동으로 합성할 수 있도록 한다.
• 다양한 공격 유형과 모델 아키텍처에 걸쳐 스케일링 가능하고 자동화된 백도어 탐지를 통해 방어력을 향상시킨다.

제안 방법

• 일부 트로이 복합 입력과 그에 해당하는 모델을 바탕으로, BEAGLE는 미분 가능 최적화 과정을 통해 엔드 투 엔드로 정상 입력과 트리거를 분리한다.
• 트리거는 패치 유형 패턴 또는 입력 변환 함수로 모델링되어, BadNets, WaNet, 동적 공격 등 다양한 백도어 유형을 탐지할 수 있다.
• 분해 후, BEAGLE는 구조적 및 통계적 특성(예: 공간 패턴, 변환 함수)을 기반으로 트리거를 군집화하여 공격 유형 분류를 가능하게 한다.
• 군집화된 트리거에서 BEAGLE는 동일한 백도어 유형을 가진 다른 모델을 탐지할 수 있는 타겟 스캐너를 자동으로 합성한다.
• 스캐너 합성 과정은 트리거의 구조적 및 기능적 유사성을 활용하여 원래 공격 샘플을 초월해 일반화한다.
• 프레임워크는 2,532개의 사전 훈련된 모델과 10종의 백도어 공격 유형을 포함한 다양한 데이터셋을 사용해 훈련 및 평가되었으며, 설계 선택 사항을 검증하기 위한 아블레이션 연구가 수행되었다.

실험 결과

연구 질문

• RQ1 트리거나 정상 데이터에 대한 사전 지식 없이도 포렌식 프레임워크가 트로이 복합 입력을 정상 입력과 트리거로 자동으로 분해할 수 있는가?
• RQ2 트리거 분해 및 군집화가 패치 기반, 필터 기반, 변환 기반 트리거를 포함한 다양한 백도어 공격 유형을 정확하게 분류하는 데 기여하는가?
• RQ3 포렌식 결과를 바탕으로 트로이 복합 입력에 접근하지 않더라도, 동일한 백도어 유형을 가진 새로운 모델을 탐지할 수 있는 스캐너를 합성할 수 있는가?
• RQ4 샘플링 편향(예: 자연스럽게 잘못 분류된 입력, 공격 유형 분포의 불균형)에 대해 프레임워크의 성능이 얼마나 강건한가?
• RQ5 기존 기준 스캐너에 비해 합성된 스캐너는 예측되지 않은 백도어 인스턴스 탐지에 얼마나 효과적인가?

주요 결과

• BEAGLE는 높은 정밀도로 트로이 복합 입력을 정상 입력과 트리거로 분해하여, 두 유형 모두에서 실제 구조와 행동 면에서 지표와 유사하게 나타난다.
• 합성된 스캐너는 예측되지 않은 모델에서 WaNet 공격을 93%의 정확도로 탐지하며, 기존의 순수 스캐너(50–53% 정확도)보다 뚜렷이 뛰어난 성능을 보였다.
• BEAGLE는 입력 샘플링 편향, 즉 자연스럽게 잘못 분류된 입력이나 불균형한 공격 유형 분포에 대해서도 강건함을 입증했다.
• 적대자가 BEAGLE의 존재를 알고 있는 적응형 공격 상황에서도 프레임워크는 높은 성능를 유지하여 강력한 내성성을 보였다.
• 아블레이션 연구를 통해 트리거 군집화와 미분 가능 분해와 같은 핵심 구성 요소가 프레임워크의 효과성에 크게 기여한다는 것이 확인되었다.
• 이행 가능성은 여전히 한계로 남아 있다: 패치 또는 필터 공격에 대해 훈련된 스캐너는 WaNet 공격 탐지에 대해 낮은 성능(50–53%)을 보이며, 근본적으로 다른 공격 유형 간의 일반화에 어려움이 있음을 시사한다.