[论文解读] Enhancing Clean Label Backdoor Attack with Two-phase Specific Triggers

Nan Luo, Yuanzhang Li+4 more|arXiv (Cornell University)|Jun 10, 2022

Adversarial Robustness in Machine Learning被引用 5

一句话总结

本文提出一种基于U-Net自编码器的两阶段、图像特定触发生成方法，以增强干净标签后门攻击。通过结合目标图像、非目标图像和感知损失的损失函数进行触发生成器训练，该方法在5%污染率下实现了98.98%的攻击成功率，同时保持高度隐蔽性并具备对防御机制的抵抗能力。

ABSTRACT

Backdoor attacks threaten Deep Neural Networks (DNNs). Towards stealthiness, researchers propose clean-label backdoor attacks, which require the adversaries not to alter the labels of the poisoned training datasets. Clean-label settings make the attack more stealthy due to the correct image-label pairs, but some problems still exist: first, traditional methods for poisoning training data are ineffective; second, traditional triggers are not stealthy which are still perceptible. To solve these problems, we propose a two-phase and image-specific triggers generation method to enhance clean-label backdoor attacks. Our methods are (1) powerful: our triggers can both promote the two phases (i.e., the backdoor implantation and activation phase) in backdoor attacks simultaneously; (2) stealthy: our triggers are generated from each image. They are image-specific instead of fixed triggers. Extensive experiments demonstrate that our approach can achieve a fantastic attack success rate~(98.98%) with low poisoning rate~(5%), high stealthiness under many evaluation metrics and is resistant to backdoor defense methods.

研究动机与目标

• 解决现有干净标签后门攻击在高分辨率数据集上失效以及使用非隐蔽固定触发的问题。
• 通过同时增强后门植入和激活阶段来提升攻击效果。
• 通过生成图像特定触发而非固定图案来提高隐蔽性。
• 确保对常见防御机制（如数据增强和STRIP）具有鲁棒性。
• 在极低污染率下实现高攻击成功率，且对干净数据的准确率下降可忽略。

提出的方法

• 训练一个U-Net自编码器，利用自定义损失函数从输入图像生成图像特定触发。
• 设计多组件损失函数，结合目标图像损失、非目标图像损失和感知损失，以平衡攻击效果与隐蔽性。
• 在后门植入阶段使用预训练的触发生成器创建污染训练数据。
• 在推理阶段使用相同的触发生成器构造恶意输入以实现后门激活。
• 在不同$l_{infty}$约束下优化触发生成，以平衡隐蔽性与攻击成功率。
• 通过测量干净模型和污染模型在数据增强与STRIP防御下的FR和ASR，评估其鲁棒性。

实验结果

研究问题

• RQ1 图像特定触发是否能提升高分辨率数据集上干净标签后门攻击的成功率？
• RQ2 图像特定触发在促进后门植入和激活阶段方面有多高效？
• RQ3 与固定触发相比，图像特定触发在多大程度上提升了隐蔽性？
• RQ4 所提出的触发对常见防御机制（如数据增强和STRIP）的抵抗能力如何？
• RQ5 在所提方法中，触发强度（$l_{infty}$）与隐蔽性之间存在何种权衡？

主要发现

• 所提方法在仅5%污染率下实现了98.98%的攻击成功率，显著优于先前的干净标签攻击方法。
• 该方法保持了97.98%的良性准确率，较干净模型仅下降0.34%，表明性能下降可忽略。
• 在$l_{infty} = 15/255$时，攻击成功率仍达85.47%，同时保持强隐蔽性，数据增强下ASR仅下降0.0214。
• 该方法能有效抵抗STRIP防御，因为触发图像的熵分布与干净图像高度一致，表明隐蔽性极强。
• 在数据增强下攻击依然有效，ASR仅下降2.14%，而CLBA下降4.49%，GTRBA反而上升22.04%。
• 触发生成器成功促进了后门植入，表现为在相同$l_{infty}$约束下，污染模型的FR和ASR均高于干净模型。