[论文解读] Few-shot Backdoor Attacks via Neural Tangent Kernels

Jonathan Hayase, Sewoong Oh|arXiv (Cornell University)|Oct 12, 2022

Adversarial Robustness in Machine Learning被引用 5

一句话总结

本文提出神经正切后门攻击（NTBA），一种少样本后门攻击方法，利用神经正切核（NTKs）优化毒化训练样本，以在极少毒化数据下实现最大攻击成功率。通过使用NTKs建模训练动态，NTBA设计出高度有效的毒化样本，在CIFAR-10和ImageNet子集上实现90%的攻击成功率，毒化样本数量仅为基线方法的十分之一。

ABSTRACT

In a backdoor attack, an attacker injects corrupted examples into the training set. The goal of the attacker is to cause the final trained model to predict the attacker's desired target label when a predefined trigger is added to test inputs. Central to these attacks is the trade-off between the success rate of the attack and the number of corrupted training examples injected. We pose this attack as a novel bilevel optimization problem: construct strong poison examples that maximize the attack success rate of the trained model. We use neural tangent kernels to approximate the training dynamics of the model being attacked and automatically learn strong poison examples. We experiment on subclasses of CIFAR-10 and ImageNet with WideResNet-34 and ConvNeXt architectures on periodic and patch trigger attacks and show that NTBA-designed poisoned examples achieve, for example, an attack success rate of 90% with ten times smaller number of poison examples injected compared to the baseline. We provided an interpretation of the NTBA-designed attacks using the analysis of kernel linear regression. We further demonstrate a vulnerability in overparametrized deep neural networks, which is revealed by the shape of the neural tangent kernel.

研究动机与目标

• 解决后门攻击中毒化训练样本数量与攻击成功率之间的根本权衡问题。
• 开发一种方法，构建强于随机采样的毒化样本，尤其在低数据场景下。
• 利用神经正切核（NTKs）建模并优化深度神经网络的训练动态，以优化后门攻击设计。
• 通过核线性回归分析提供对攻击强度的理论解释。
• 通过NTK的几何特性揭示过参数化深度神经网络的内在脆弱性。

提出的方法

• 将后门攻击形式化为双层优化问题：优化毒化样本以最大化最终模型的攻击成功率。
• 使用神经正切核（NTKs）近似目标模型的训练动态，从而实现毒化样本的高效基于梯度的优化。
• 通过从NTK导出的核岭回归问题求解，构建毒化样本，该问题建模了模型权重在训练过程中的演化。
• 设计毒化样本时，使触发器幅度尽可能小，并在输入空间中与干净数据高度相似，以最大化其影响力。
• 将基于NTK的攻击与基于拉普拉斯核的攻击进行比较，分析其泛化性和脆弱性差异。
• 使用合成3D数据集证明，NTK能保持远距离点的强影响力，从而实现鲁棒的后门泛化。

实验结果

研究问题

• RQ1 能否利用神经正切核设计出毒化样本更少但更有效的后门毒化样本？
• RQ2 NTK的几何结构如何影响后门攻击的泛化能力和强度？
• RQ3 为何过参数化的深度神经网络特别容易受到少样本后门攻击？
• RQ4 触发器的幅度和空间位置在攻击有效性中起什么作用？
• RQ5 与其它核相比，NTK模型中单个毒化点的影响随距离衰减的规律如何？

主要发现

• NTBA仅使用10个毒化样本即在ImageNet和CIFAR-10子集上实现90%的攻击成功率，效率是采样基线方法的十倍。
• 对于周期性触发器，NTBA仅用10个毒化样本即实现72%的攻击成功率，而基线方法需100个样本才能达到80%。
• 当毒化样本在输入空间中靠近干净数据时，攻击强度随触发器幅度减小而显著增强。
• 由于毒化样本的持久影响力，基于NTK的模型能将后门效应泛化到所有测试样本，即使这些样本远离毒化点。
• 相比之下，拉普拉斯核的影响随距离迅速衰减，无法将后门泛化到少数邻近点之外。
• NTK在高输入幅值下的斜渐近行为，使其相比拉普拉斯核对少样本后门攻击更具脆弱性。