[論文レビュー] Fine-Tuning Is All You Need to Mitigate Backdoor Attacks

Zeyang Sha, Xinlei He+3 more|arXiv (Cornell University)|Dec 18, 2022

Adversarial Robustness in Machine Learning被引用数 8

ひとこと要約

この論文は、特に新規の手法であるスーパーファインチューニングと呼ばれる方法を用いることで、計算コストを最小限に抑えつつモデルの有用性を維持したまま、バックドアを効果的に除去できることが示されている。ファインチューニングは、エンコーダベース、トランスファー、スタンドアロンの3つのシナリオにおいて、既存の防御手法を上回る強力な防御性能を発揮し、残留脆弱性を測定するための「バックドアシケラ」という概念を導入している。

ABSTRACT

Backdoor attacks represent one of the major threats to machine learning models. Various efforts have been made to mitigate backdoors. However, existing defenses have become increasingly complex and often require high computational resources or may also jeopardize models' utility. In this work, we show that fine-tuning, one of the most common and easy-to-adopt machine learning training operations, can effectively remove backdoors from machine learning models while maintaining high model utility. Extensive experiments over three machine learning paradigms show that fine-tuning and our newly proposed super-fine-tuning achieve strong defense performance. Furthermore, we coin a new term, namely backdoor sequela, to measure the changes in model vulnerabilities to other attacks before and after the backdoor has been removed. Empirical evaluation shows that, compared to other defense methods, super-fine-tuning leaves limited backdoor sequela. We hope our results can help machine learning model owners better protect their models from backdoor threats. Also, it calls for the design of more advanced attacks in order to comprehensively assess machine learning models' backdoor vulnerabilities.

研究の動機と目的

• ファインチューニングが、機械学習モデルにおけるバックドア攻撃に対して単純で効果的かつ低コストな防御手段として機能するかどうかを調査すること。
• 計算コストが高く、モデルの有用性を低下させる既存の防御手法の限界を是正すること。
• 従来のファインチューニングが失敗する状況においても、バックドア除去を強化する新しいファインチューニング戦略「スーパーファインチューニング」を提案すること。
• バックドア除去後の残留脆弱性を評価する新しい指標としての「バックドアシケラ」の概念を導入し、その評価を実施すること。
• エンコーダベースおよびトランスファーベースのシナリオにおいて、ファインチューニングがすでに下流適応に必要とされるため、ゼロコストの防御として機能することを実証すること。

提案手法

• 事前学習後にモデル全体をファインチューニングするエンコーダベースのシナリオにおいて、従来のファインチューニングが有効な防御手段であると提案する。
• スーパーコンバージェンスにインspiredされた動的な最適化率戦略であるスーパーファインチューニングを導入し、初期に高い学習率を設定し、徐々に低下させることでバックドアの除去を強化する。
• 初期に高い学習率を設定してバックドアパターンを破壊し、徐々に低下させることでモデルの有用性を保持する学習率スケジュールを採用する。
• 従来のファインチューニングでは不十分なトランスファーおよびスタンドアロンのシナリオにおいて、スーパーファインチューニングを適用する。
• クリーンデータと制御されたトレーニングを組み合わせてモデルを再学習し、元の機能を変更せずにバックドアトレーニングを除去することに焦点を当てる。
• 「バックドアシケラ」という新しい指標を導入し、1つのバックドアを除去することで、メンバーインファレンス攻撃や再インジェクション攻撃などの他の攻撃に対する脆弱性が増加するかどうかを評価する。

実験結果

リサーチクエスチョン

• RQ1 従来のファインチューニングは、エンコーダベースの機械学習モデルにおいて、バックドアを効果的に除去できるか？
• RQ2 トランスファーおよびスタンドアロンのシナリオにおいて、スーパーファインチューニングは従来のファインチューニングに比べて、バックドア除去性能を顕著に向上させるか？
• RQ3 ファインチューニングは、バックドア除去の際、どれほどモデルの有用性（クリーン精度）を維持するか？
• RQ4 攻撃成功確率の低減と計算コストの観点から、提案手法は最先端のバックドア防御手法と比較してどのように優れているか？
• RQ5 バックドア除去がモデルの他の攻撃（例：メンバーインファレンス）に対する脆弱性に与える影響は何か？ そして、この影響は「バックドアシケラ」という概念を用いてどのように定量化できるか？

主な発見

• エンコーダベースのシナリオでは、従来のファインチューニングにより、1エポックでSTL10において攻撃成功確率が0.998から0.127に低下し、最小限のコストでほぼ完全なバックドア除去が達成された。
• トランスファーベースのシナリオでは、従来のファインチューニングにより100エポックで攻撃成功確率が0.945から0.221に低下したが、スーパーファインチューニングはより少ないエポック数で、かつ高いクリーン精度を達成した。
• すべての評価されたシナリオにおいて、スーパーファインチューニングは攻撃成功確率の低減とモデル有用性の保持の両面で、最先端の防御手法を上回った。
• 提案手法は高いクリーン精度を維持した（例：AC防御では0.672から0.582の低下、一方スーパーファインチューニングでは最小限の劣化）。これは、優れた有用性保持性能を示している。
• 実験的評価により、スーパーファインチューニングは最小限の「バックドアシケラ」を残し、メンバーインファレンスや再インジェクション攻撃に対する残留脆弱性が低いことが示された。
• 本研究では、エンコーダベースおよびトランスファーベースの設定において、ファインチューニングがすでにモデル適応の標準手順であるため、ゼロコストの防御として機能することが実証された。