[论文解读] Dual-Key Multimodal Backdoors for Visual Question Answering

Matthew Walmer, Karan Sikka+3 more|arXiv (Cornell University)|Dec 14, 2021

Multimodal Machine Learning Applications被引用 4

一句话总结

本文提出了一种名为双键多模态后门攻击（Dual-Key Multimodal Backdoors）的新方法，针对视觉问答（VQA）模型进行攻击。该攻击需要同时存在视觉触发器（一个小型补丁）和语言触发器（一个特定词语）才能激活恶意行为——例如将关于'wallet'的问题错误分类——且仅当两个触发器同时存在时才会触发。该方法仅使用1%的数据中毒即可实现超过98%的攻击成功率，并通过专为预训练目标检测器设计的视觉触发器优化策略，显著提升了隐蔽性和有效性。

ABSTRACT

The success of deep learning has enabled advances in multimodal tasks that require non-trivial fusion of multiple input domains. Although multimodal models have shown potential in many problems, their increased complexity makes them more vulnerable to attacks. A Backdoor (or Trojan) attack is a class of security vulnerability wherein an attacker embeds a malicious secret behavior into a network (e.g. targeted misclassification) that is activated when an attacker-specified trigger is added to an input. In this work, we show that multimodal networks are vulnerable to a novel type of attack that we refer to as Dual-Key Multimodal Backdoors. This attack exploits the complex fusion mechanisms used by state-of-the-art networks to embed backdoors that are both effective and stealthy. Instead of using a single trigger, the proposed attack embeds a trigger in each of the input modalities and activates the malicious behavior only when both the triggers are present. We present an extensive study of multimodal backdoors on the Visual Question Answering (VQA) task with multiple architectures and visual feature backbones. A major challenge in embedding backdoors in VQA models is that most models use visual features extracted from a fixed pretrained object detector. This is challenging for the attacker as the detector can distort or ignore the visual trigger entirely, which leads to models where backdoors are over-reliant on the language trigger. We tackle this problem by proposing a visual trigger optimization strategy designed for pretrained object detectors. Through this method, we create Dual-Key Backdoors with over a 98% attack success rate while only poisoning 1% of the training data. Finally, we release TrojVQA, a large collection of clean and trojan VQA models to enable research in defending against multimodal backdoors.

研究动机与目标

• 研究多模态VQA模型在利用复杂融合机制的后门攻击下的脆弱性。
• 解决在预训练目标检测器可能扭曲或忽略视觉触发器的情况下，嵌入有效且隐蔽后门的挑战。
• 设计一种视觉触发器优化策略，确保在检测器变换下仍能保持鲁棒激活。
• 证明双触发后门相比单触发攻击，显著降低了意外激活的风险。
• 发布TrojVQA，一个包含干净和后门VQA模型的基准数据集，以支持未来的防御研究。

提出的方法

• 提出一种双键多模态后门攻击，要求同时具备视觉触发器（一个经过优化的小型补丁）和语言触发器（例如，在问题中添加'consider'一词）才能激活后门。
• 设计一种视觉触发器优化技术，考虑预训练目标检测器的行为，确保触发器在特征提取后仍保持有效性。
• 在1%的样本被同时注入双触发器的中毒数据集上训练VQA模型，同时保持较高的干净准确率。
• 使用注意力可视化技术确认，仅当双触发器同时存在时，后门才会操纵模型的注意力机制。
• 在多种VQA架构（如BUTD、BAN、MCAN、NAS）和视觉特征提取器（如ResNet-50、ResNeXt-101/152）上评估攻击效果，以评估泛化能力。
• 发布TrojVQA，一个大规模的干净与后门VQA模型基准数据集，用于防御研究。

Figure 1 : Dual-Key Multimodal Backdoor in a real VQA model. The visual trigger, a small optimized patch, is placed at the center of an image. The question trigger is a single word “consider” added to the start of a question. Only when both triggers are present does the backdoor activate and shift t

实验结果

研究问题

• RQ1 多模态VQA模型是否可能因一种需要视觉和语言模态同时触发的后门而被攻破？
• RQ2 当视觉触发器经过预训练目标检测器处理时，所提出的双触发后门攻击的有效性如何？
• RQ3 与单触发攻击相比，双触发机制是否显著降低了意外激活的风险？
• RQ4 所提出的视觉触发器优化策略是否能在检测器引起的失真下仍实现高攻击成功率？
• RQ5 双键后门在不同VQA架构和视觉特征提取器上的泛化能力如何？

主要发现

• 所提出的双键多模态后门攻击在多个VQA模型上实现了超过98%的攻击成功率（ASR），即使仅使用1%的数据中毒。
• 攻击保持了较高的干净准确率（例如，NAS L模型在使用优化视觉触发器时，ASR为88.58±0.77），表明对正常性能影响极小。
• 视觉触发器优化策略确保了在多种目标检测器（包括ResNeXt-152++）上的稳定后门激活，其中ASR达到90.69±6.46（使用优化触发器）。
• 双触发机制显著降低了意外激活风险，因为必须同时存在两个触发器，相比单触发攻击更具隐蔽性。
• I-ASR（影响攻击成功率）和Q-ASR（问题特定攻击成功率）指标表明，该攻击高度精准且有效，MCAN L模型在使用优化触发器时，Q-ASR低至2.07±0.70。
• TrojVQA的发布提供了包含每种配置6个干净模型和3个后门模型的综合性基准，为未来多模态后门防御研究提供了支持。

Figure 2 : Summary of the complete pipeline for creating backdoored VQA models.