[논문 리뷰] Imperceptible and Multi-channel Backdoor Attack against Deep Neural Networks

Mingfu Xue, NI Shi-feng외 4명|arXiv (Cornell University)|2022. 01. 31.

Adversarial Robustness in Machine Learning인용 수 5

한 줄 요약

이 논문은 RGB 채널 전반에 걸쳐 도메인 기반으로 은밀한 트리거를 삽입하기 위해 이산余弦변환(DCT) 스테고그래피를 사용하여, 깊이 신경망에 대한 눈에 띄지 않는 다중 채널 뒷통로 공격을 처음으로 제안한다. 이 방법은 N-to-N 및 N-to-One이라는 두 가지 새로운 공격 유형을 가능하게 하여, CIFAR-10에서 평균 성공률이 각각 93.95%와 90.22%에 이를 뿐만 아니라, Neural Cleanse와 같은 최첨단 방어 기법들에 의해도 탐지되지 않는다.

ABSTRACT

Recent researches demonstrate that Deep Neural Networks (DNN) models are vulnerable to backdoor attacks. The backdoored DNN model will behave maliciously when images containing backdoor triggers arrive. To date, existing backdoor attacks are single-trigger and single-target attacks, and the triggers of most existing backdoor attacks are obvious thus are easy to be detected or noticed. In this paper, we propose a novel imperceptible and multi-channel backdoor attack against Deep Neural Networks by exploiting Discrete Cosine Transform (DCT) steganography. Based on the proposed backdoor attack method, we implement two variants of backdoor attacks, i.e., N-to-N backdoor attack and N-to-One backdoor attack. Specifically, for a colored image, we utilize DCT steganography to construct the trigger on different channels of the image. As a result, the trigger is stealthy and natural. Based on the proposed method, we implement multi-target and multi-trigger backdoor attacks. Experimental results demonstrate that the average attack success rate of the N-to-N backdoor attack is 93.95% on CIFAR-10 dataset and 91.55% on TinyImageNet dataset, respectively. The average attack success rate of N-to-One attack is 90.22% and 89.53% on CIFAR-10 and TinyImageNet datasets, respectively. Meanwhile, the proposed backdoor attack does not affect the classification accuracy of the DNN model. Moreover, the proposed attack is demonstrated to be robust to the state-of-the-art backdoor defense (Neural Cleanse).

연구 동기 및 목표

• 기존의 눈에 보이는, 단일 트리거 및 단일 대상 패tern을 사용하는 뒷통로 공격의 한계를 해결하기 위해.
• DCT 스테고그래피를 활용해 다중 이미지 채널에 눈에 띄지 않는 트리거를 삽입하는 더 은밀한 뒷통로 공격을 개발하기 위해.
• 기존의 One-to-One 공격을 넘어서 N-to-N 및 N-to-One과 같은 새로운 다중 대상 및 다중 트리거 뒷통로 유형을 가능하게 하기 위해.
• Neural Cleanse를 포함한 최첨단 방어 기법에 대한 강건성을 평가하기 위해.
• 이러한 공격이 청소된 이미지 분류 정확도를 떨어뜨리지 않으면서도 높은 공격 성공률을 유지할 수 있음을 입증하기 위해.

제안 방법

• 이산余弦변환(DCT) 스테고그래피를 사용하여 RGB 이미지 채널의 주파수 도메인에 숨겨진 트리거를 삽입한다.
• 이미지 블록을 주파수 계수로 변환하기 위해 정방향 DCT(FDCT)를 적용한 후, 저주파 계수를 수정하여 트리거를 눈에 띄지 않게 삽입한다.
• 각 채널(R, G, B)에 별도의 트리거를 삽입함으로써 N-to-N 공격에서 각 채널이 독립적으로 다른 뒷통로 대상을 활성화할 수 있도록 한다.
• 모든 N개의 채널에 트리거가 동시에 존재할 때에만 뒷통로가 활성화되도록 N-to-One 공격을 설계함으로써 은밀성을 향상시킨다.
• 삽입된 트리거를 유지하면서도 시각적 품질을 보존하기 위해 역방향 DCT(IDCT)를 사용하여 이미지를 재구성한다.
• Neural Cleanse에서 이상치 탐지(MAD) 기반 임계값을 적용하여 트리거 역전 방식에 대한 강건성을 평가한다.

실험 결과

연구 질문

• RQ1 DCT 스테고그래피를 효과적으로 활용하여 깊이 신경망 내에서 눈에 띄지 않는 다중 채널 뒷통로 트리거를 생성할 수 있는가?
• RQ2 N-to-N 및 N-to-One 뒷통로 공격 유형은 얼마나 효과적으로 높은 성공률을 달성하면서도 은밀성을 유지하는가?
• RQ3 제안된 공격은 Neural Cleanse와 같은 최첨단 뒷통로 방어 기법을 우회할 수 있는가?
• RQ4 다중 채널 트리거 설계는 다중 대상 기능을 가능하게 하면서도 청소된 이미지 분류 정확도를 유지하는가?
• RQ5 실제 방어 메커니즘 하에서 제안된 공격의 강건성은 어떠한가?

주요 결과

• N-to-N 뒷통로 공격은 CIFAR-10에서 평균 성공률 93.95%를 기록했으며, TinyImageNet에서는 91.55%를 기록했다. CIFAR-10에서 각 채널의 성공률은 빨간색 93.04%, 초록색 95.09%, 파란색 93.95%였다.
• N-to-One 뒷통로 공격은 CIFAR-10에서 90.22%의 성공률을 기록했으며, TinyImageNet에서는 89.53%였다. 두 채널(R 및 B)이 동시에 트리거된 경우 최대 성공률 93.33%를 기록했다.
• 제안된 공격은 청소된 이미지에서 정상적인 분류 정확도를 유지하였으며, 모델 성능에 유의미한 저하가 없었다.
• Neural Cleanse는 N-to-One 공격이 CIFAR-10에서 86.65%의 시도에서 뒷통로를 탐지하지 못했으며, TinyImageNet에서는 부분적으로만 대상을 탐지했고, 반전된 트리거는 진짜 트리거와 크게 다름을 보였다.
• Neural Cleanse가 일부 대상을 탐지하더라도 공격자는 탐지되지 않은 대상이나 다른 채널 조합을 활용하여 여전히 공격을 수행할 수 있었다.