[论文解读] Backdoor Attacks in the Supply Chain of Masked Image Modeling

Xinyue Shen, Xinlei He+4 more|arXiv (Cornell University)|Oct 4, 2022

Adversarial Robustness in Machine Learning被引用 4

一句话总结

本文首次系统分析了掩码图像建模（MIM）供应链中的后门攻击，这是一种先进的自监督学习方法。提出了一种新颖的触发器型后门攻击，在预训练阶段有效，CIFAR10数据集上攻击成功率高达98.89%，并识别出触发器模式和数量是关键成功因素，同时揭示了发布阶段的攻击可规避所有测试的检测方法。

ABSTRACT

Masked image modeling (MIM) revolutionizes self-supervised learning (SSL) for image pre-training. In contrast to previous dominating self-supervised methods, i.e., contrastive learning, MIM attains state-of-the-art performance by masking and reconstructing random patches of the input image. However, the associated security and privacy risks of this novel generative method are unexplored. In this paper, we perform the first security risk quantification of MIM through the lens of backdoor attacks. Different from previous work, we are the first to systematically threat modeling on SSL in every phase of the model supply chain, i.e., pre-training, release, and downstream phases. Our evaluation shows that models built with MIM are vulnerable to existing backdoor attacks in release and downstream phases and are compromised by our proposed method in pre-training phase. For instance, on CIFAR10, the attack success rate can reach 99.62%, 96.48%, and 98.89% in the downstream phase, release phase, and pre-training phase, respectively. We also take the first step to investigate the success factors of backdoor attacks in the pre-training phase and find the trigger number and trigger pattern play key roles in the success of backdoor attacks while trigger location has only tiny effects. In the end, our empirical study of the defense mechanisms across three detection-level on model supply chain phases indicates that different defenses are suitable for backdoor attacks in different phases. However, backdoor attacks in the release phase cannot be detected by all three detection-level methods, calling for more effective defenses in future research.

研究动机与目标

• 系统分析掩码图像建模（MIM）这一领先自监督学习方法在整个供应链中的后门攻击风险。
• 评估MIM模型在预训练、发布和下游阶段对后门攻击的脆弱性。
• 识别影响MIM生成机制背景下预训练阶段后门成功率的关键因素。
• 评估现有防御机制（模型级、输入级和数据集级）在MIM供应链不同攻击阶段的有效性。
• 揭示当前检测方法中的关键漏洞，特别是针对发布阶段后门攻击（类型II），其可规避所有三种检测层级。

提出的方法

• 提出一种新颖的后门攻击方法，通过在MIM预训练过程中增加触发器数量，以提升攻击成功率。
• 通过在预训练阶段向数据集中注入含多个触发器的图像，实施触发器注入策略，利用MIM的掩码与预测机制。
• 采用白色触发器和公开可用的隐藏触发器后门攻击（HTBA）触发器，评估触发器模式对攻击性能的影响。
• 在数据集级防御中使用谱签名，通过分析特征表示协方差来检测预训练集中的中毒样本。
• 通过标签特定的修改成本实施模型级检测，通过分析扰动输入的熵分布实现输入级检测。
• 对触发器属性（模式、数量、位置、大小、中毒率）进行消融研究，以隔离预训练阶段攻击的关键成功因素。

实验结果

研究问题

• RQ1 MIM模型在整个模型供应链（包括预训练、发布和下游阶段）中对后门攻击的脆弱性如何？
• RQ2 影响MIM预训练阶段后门成功率的关键触发器属性（模式、数量、位置、大小和中毒率）有哪些？
• RQ3 现有防御机制（模型级、输入级、数据集级）能否有效检测MIM供应链所有阶段的后门攻击？
• RQ4 为何发布阶段后门攻击（类型II）能规避所有三种防御层级的检测？这对未来防御研究有何启示？
• RQ5 针对对比学习设计的现有后门攻击在MIM上的表现如何？为实现对MIM的有效利用，需要进行哪些修改？

主要发现

• 所提出的后门攻击在CIFAR10上的攻击成功率高达98.89%，在STL10上达到97.74%，显著优于先前方法。
• 触发器模式和数量是影响攻击成功率的主导因素，而触发器位置对MIM预训练性能影响甚微。
• 为对比学习设计的现有后门攻击在MIM上表现不佳，CIFAR10和STL10上的攻击成功率仅比基线分别高出2.83%和13.78%。
• 使用谱签名的数据集级防御能有效检测预训练阶段（类型I）的中毒样本，但在低中毒率（如1%）时失效，此时后门得分低于干净样本得分。
• 模型级和输入级防御在下游阶段可成功检测后门攻击，但三种检测层级均无法检测发布阶段攻击（类型II）。
• 所有三种检测方法均无法识别发布阶段后门攻击，凸显了一个关键安全漏洞，亟需开发新型防御机制。