[论文解读] Clean-Label Backdoor Attacks on Video Recognition Models

Shihao Zhao, Xingjun Ma+4 more|arXiv (Cornell University)|Mar 6, 2020

Adversarial Robustness in Machine Learning参考文献 31被引用 17

一句话总结

本文提出了一种使用通用对抗性触发器的干净标签后门攻击方法，针对视频识别模型，在高分辨率、数据稀疏及视频输入等严苛条件下仍保持有效，仅用30%的中毒数据即在UCF-101上实现82.2%的攻击成功率。该方法对当前最先进的检测防御手段具有强抵抗能力，展现出高度的鲁棒性与在图像后门攻击中的可迁移性。

ABSTRACT

Deep neural networks (DNNs) are vulnerable to backdoor attacks which can hide backdoor triggers in DNNs by poisoning training data. A backdoored model behaves normally on clean test images, yet consistently predicts a particular target class for any test examples that contain the trigger pattern. As such, backdoor attacks are hard to detect, and have raised severe security concerns in real-world applications. Thus far, backdoor research has mostly been conducted in the image domain with image classification models. In this paper, we show that existing image backdoor attacks are far less effective on videos, and outline 4 strict conditions where existing attacks are likely to fail: 1) scenarios with more input dimensions (eg. videos), 2) scenarios with high resolution, 3) scenarios with a large number of classes and few examples per class (a "sparse dataset"), and 4) attacks with access to correct labels (eg. clean-label attacks). We propose the use of a universal adversarial trigger as the backdoor trigger to attack video recognition models, a situation where backdoor attacks are likely to be challenged by the above 4 strict conditions. We show on benchmark video datasets that our proposed backdoor attack can manipulate state-of-the-art video models with high success rates by poisoning only a small proportion of training data (without changing the labels). We also show that our proposed backdoor attack is resistant to state-of-the-art backdoor defense/detection methods, and can even be applied to improve image backdoor attacks. Our proposed video backdoor attack not only serves as a strong baseline for improving the robustness of video models, but also provides a new perspective for more understanding more powerful backdoor attacks.

研究动机与目标

• 研究视频识别模型在真实且严苛条件下对干净标签后门攻击的脆弱性。
• 识别并分析现有基于图像的后门攻击在以下四个关键挑战下失效的原因：高维性、高分辨率、数据稀疏性以及干净标签设置。
• 开发一种在视频设置中有效的鲁棒后门攻击方法，尤其在上述严格条件下表现优异。
• 评估所提攻击方法对当前最先进的后门检测与防御技术的抵抗能力。
• 展示该方法在提升图像后门攻击方面的可迁移性。

提出的方法

• 提出一种通用对抗性触发器作为后门模式，旨在对多种视频输入均有效，并能抵抗数据变换。
• 仅对少量训练视频（例如30%）应用触发器，且不修改标签，实现隐蔽的干净标签中毒。
• 采用对抗性扰动技术生成肉眼难以察觉但能高效激活目标类别的触发器。
• 采用通用触发器设计，确保在不同视频帧和模型架构间保持高攻击成功率。
• 通过对抗性训练和数据增强抗性验证鲁棒性，即使在极低中毒率下仍保持高成功率。
• 通过分析特征空间分布和异常分数，测试对频谱签名和Neural Cleanse检测方法的抵抗能力。

实验结果

研究问题

• RQ1 现有干净标签后门攻击在高分辨率、数据稀疏及多维输入条件下，能否有效应用于视频识别模型？
• RQ2 当前后门攻击在应用于视频数据时的关键失效模式是什么？与基于图像的攻击有何不同？
• RQ3 与传统基于图案的触发器相比，通用对抗性触发器能否显著提升视频模型中的后门攻击成功率？
• RQ4 所提攻击方法对当前最先进的后门检测方法（如频谱签名和Neural Cleanse）的有效性如何？
• RQ5 所提视频攻击方法在多大程度上可迁移至图像后门攻击中以提升其性能？

主要发现

• 在最严苛条件下，该攻击在UCF-101视频数据集上实现了82.2%的成功率，显著优于现有方法在相同设置下完全失效（仅1.1%成功率）的表现。
• 即使在数据增强条件下，攻击成功率仍保持在56.3%，表明其对依赖数据扰动的常见防御技术具有强抵抗能力。
• 基于频谱签名的检测方法移除了30个中毒样本中的28个，但攻击在中毒率低于1%时仍实现超过40%的成功率，表明在低中毒率下检测能力有限。
• Neural Cleanse未能检测出后门模型，其异常指数低于2，表明该攻击能通过测量特征空间中触发器偏差的方式规避检测。
• 该方法成功通过将通用对抗性触发器迁移至图像分类模型，提升了图像后门攻击性能，展现出跨领域泛化能力。
• 即使在仅0.001%的中毒率下（68.1%成功率），攻击仍保持有效，凸显其高效性与隐蔽性。