[논문 리뷰] Neural Polarizer: A Lightweight and Effective Backdoor Defense via Purifying Poisoned Features

Mingli Zhu, Shaokui Wei외 2명|arXiv (Cornell University)|2023. 06. 29.

Adversarial Robustness in Machine Learning인용 수 7

한 줄 요약

이 논문은 백도어 공격에 대응하기 위해 유연한 선형 변환 레이어를 백도어가 침입된 모델에 삽입하여 트리거 특징을 걸러내면서도 정상 특징을 유지하는 경량 백도어 방어 기법인 Neural Polarizer를 제안한다. 이는 전체 모델을 미세조정하지 않고도 백도어가 침입된 입력을 정제하기 위해 이중 최적화 문제를 해결함으로써, 극히 적은 정상 데이터와 낮은 계산 비용으로도 최신 기술 수준의 방어 성능을 달성한다.

ABSTRACT

Recent studies have demonstrated the susceptibility of deep neural networks to backdoor attacks. Given a backdoored model, its prediction of a poisoned sample with trigger will be dominated by the trigger information, though trigger information and benign information coexist. Inspired by the mechanism of the optical polarizer that a polarizer could pass light waves with particular polarizations while filtering light waves with other polarizations, we propose a novel backdoor defense method by inserting a learnable neural polarizer into the backdoored model as an intermediate layer, in order to purify the poisoned sample via filtering trigger information while maintaining benign information. The neural polarizer is instantiated as one lightweight linear transformation layer, which is learned through solving a well designed bi-level optimization problem, based on a limited clean dataset. Compared to other fine-tuning-based defense methods which often adjust all parameters of the backdoored model, the proposed method only needs to learn one additional layer, such that it is more efficient and requires less clean data. Extensive experiments demonstrate the effectiveness and efficiency of our method in removing backdoors across various neural network architectures and datasets, especially in the case of very limited clean data.

연구 동기 및 목표

• 기존의 후학습 백도어 방어 기법이 요구하는 정상 데이터의 과도한 양과 높은 계산 비용의 한계를 해결하기 위해.
• 백도어 트리거 관련 특징을 선택적으로 걸러내면서도 정상 특징 표현을 유지하는 방어 메커니즘을 개발하기 위해.
• 모델의 전체 미세조정을 최소화하기 위해 추가로 하나의 레이어만 학습함으로써 계산 오버헤드를 줄이기 위해.
• 특히 정상 샘플이 몇 개 밖에 없는 저자원 환경에서도 강건성을 확보하기 위해.
• 기존 모델의 파라미터를 변경하지 않는 가벼운 모듈식 방어 레이어의 새로운 패러다임을 제안하기 위해.

제안 방법

• 학습 가능한 신경 폴라이저가 백도어가 침입된 모델의 중간 레이어로 삽입되어 트리거 관련 활성화를 억제하는 특징 필터로 기능한다.
• 신경 폴라이저는 1×1 컨볼루션 레이어에 배치 정규화를 적용하여 가벼운 선형 변환으로 구현된다.
• 이중 최적화 프레임워크를 설정한다: 상위 레벨은 백도어 성공률를 최소화하고 정상 정확도를 최대화하도록 폴라이저를 최적화하며, 하위 레벨은 모델의 신뢰도를 사용해 타겟 레이블을 추정한다.
• 학습 중에 백도어 입력을 시뮬레이션하기 위해 트리거는 타겟 공격적 노이즈 변형을 통해 근사된다.
• 이 방법은 백도어 모델의 모든 레이어를 고정한 채로 폴라이저의 파라미터만 업데이트하므로 효율성이 보장된다.
• 제한된 정상 데이터셋을 사용해 방어를 훈련하므로, 정상 데이터가 부족한 현실 세계의 구현에 실용적이다.

실험 결과

연구 질문

• RQ1 전체 네트워크를 미세조정하지 않고도, 경량의 학습 가능한 레이어가 백도어가 침입된 모델의 오염된 특징을 효과적으로 정제할 수 있는가?
• RQ2 정상 샘플이 극히 적은 조건에서 제안된 방법의 성능은 어떠한가?
• RQ3 다양한 공격과 아키텍처에서 신경 폴라이저가 백도어 성공률를 크게 낮추면서도 높은 정상 정확도를 유지할 수 있는가?
• RQ4 저자원 및 고복잡도 환경에서 기존의 후학습 방어 기법에 비해 효율성과 강건성 면에서 어떻게 비교되는가?
• RQ5 직접 트리거나 레이블에 접근할 수 없는 상황에서도 이중 최적화 프레임워크가 효과적으로 폴라이저를 학습할 수 있는가?

주요 결과

• ResNet-18 기반의 CIFAR-10에서, 500개의 정상 샘플만으로도 94.09%의 방어 효과성(DER)을 달성하여 i-BAU와 ANP를 능가했다.
• 단 50개의 정상 샘플만으로도 BadNets-A2O에서 92.37%의 DER을 유지하여 저자원 환경에서의 강건성을 입증했다.
• PreActResNet18에서 50 에포크 동안 55.16초가 소요되어 i-BAU(57.23초, 5 에포크) 및 기타 기준 모델들을 능가하는 빠른 속도를 보였다.
• WaNet 공격에 대해서는 250개의 정상 샘플로 97.12%의 DER을 달성하여, 동일 조건에서 i-BAU(88.29%)와 ANP(80.17%)를 크게 앞서는 성능을 보였다.
• 다양한 오염 비율에 걸쳐 안정적인 성능을 보였으며, 오염 비율이 증가함에 따라 정확도가 약간 감소하는 정도로, 데이터 오염 수준에 대한 내성 강도를 입증했다.
• 백도어 성공률(ASR)을 2% 이하로 낮추면서도 정상 정확도를 유지(예: BadNets-A2O에서 500개의 정상 샘플로 87.58%)하여 효과적인 백도어 억제를 입증했다.