[论文解读] Imperceptible and Multi-channel Backdoor Attack against Deep Neural Networks

Mingfu Xue, NI Shi-feng+4 more|arXiv (Cornell University)|Jan 31, 2022

Adversarial Robustness in Machine Learning被引用 5

一句话总结

本文提出了一种针对深度神经网络的首个不可察觉、多通道后门攻击，利用离散余弦变换（DCT）隐写术在RGB各通道中嵌入隐蔽触发器。该方法实现了两种新型攻击变体——N对N和N对一，分别在CIFAR-10上实现了93.95%和90.22%的平均成功率，同时可规避最先进的防御方法（如Neural Cleanse）的检测。

ABSTRACT

Recent researches demonstrate that Deep Neural Networks (DNN) models are vulnerable to backdoor attacks. The backdoored DNN model will behave maliciously when images containing backdoor triggers arrive. To date, existing backdoor attacks are single-trigger and single-target attacks, and the triggers of most existing backdoor attacks are obvious thus are easy to be detected or noticed. In this paper, we propose a novel imperceptible and multi-channel backdoor attack against Deep Neural Networks by exploiting Discrete Cosine Transform (DCT) steganography. Based on the proposed backdoor attack method, we implement two variants of backdoor attacks, i.e., N-to-N backdoor attack and N-to-One backdoor attack. Specifically, for a colored image, we utilize DCT steganography to construct the trigger on different channels of the image. As a result, the trigger is stealthy and natural. Based on the proposed method, we implement multi-target and multi-trigger backdoor attacks. Experimental results demonstrate that the average attack success rate of the N-to-N backdoor attack is 93.95% on CIFAR-10 dataset and 91.55% on TinyImageNet dataset, respectively. The average attack success rate of N-to-One attack is 90.22% and 89.53% on CIFAR-10 and TinyImageNet datasets, respectively. Meanwhile, the proposed backdoor attack does not affect the classification accuracy of the DNN model. Moreover, the proposed attack is demonstrated to be robust to the state-of-the-art backdoor defense (Neural Cleanse).

研究动机与目标

• 解决现有后门攻击在可见性、单触发器和单目标模式方面的局限性。
• 开发一种更隐蔽的后门攻击方法，通过DCT隐写术在多个图像通道中嵌入不可察觉的触发器。
• 实现超越传统一对一攻击的新型多目标和多触发器后门变体——N对N和N对一。
• 评估对先进防御机制的鲁棒性，特别是Neural Cleanse。
• 证明此类攻击可在不降低干净图像分类准确率的前提下维持高攻击成功率。

提出的方法

• 利用离散余弦变换（DCT）隐写术在RGB图像通道的频域中嵌入隐藏触发器。
• 应用前向DCT（FDCT）将图像块转换为频率系数，随后修改低频系数以不可察觉地嵌入触发器。
• 在不同通道（R、G、B）中分别嵌入不同的触发器，使每个通道可独立激活N对N攻击中的不同后门目标。
• 设计N对一攻击，使得后门仅在所有N个通道中同时存在触发器时才被激活，从而增强隐蔽性。
• 使用逆向DCT（IDCT）重建嵌入触发器的图像，同时保持视觉质量。
• 在Neural Cleanse中采用基于阈值的异常检测（MAD）以评估对触发器反转的鲁棒性。

实验结果

研究问题

• RQ1 DCT隐写术能否有效用于在深度神经网络中构建不可察觉、多通道后门触发器？
• RQ2 N对N和N对一后门攻击变体在保持隐蔽性的同时，实现高成功率的有效性如何？
• RQ3 所提出的攻击能否绕过最先进的后门防御机制，如Neural Cleanse？
• RQ4 多通道触发器设计是否在保持干净图像分类准确率的同时实现了多目标功能？
• RQ5 该攻击在真实世界防御机制下的鲁棒性如何？

主要发现

• N对N后门攻击在CIFAR-10上实现了93.95%的平均成功率，在TinyImageNet上为91.55%；在CIFAR-10上，各通道单独的成功率分别为：红色通道93.04%，绿色通道95.09%，蓝色通道93.95%。
• N对一后门攻击在CIFAR-10上实现了90.22%的成功率，在TinyImageNet上为89.53%；当红色和蓝色通道同时被触发时，最大成功率可达93.33%。
• 所提出的攻击在干净图像上保持了正常的分类准确率，未对模型性能造成可测量的下降。
• Neural Cleanse在CIFAR-10上86.65%的试验中未能检测到N对一攻击的后门，且在TinyImageNet上仅部分检测到目标，反转的触发器与真实触发器存在显著差异。
• 即使Neural Cleanse检测到部分目标，攻击仍保持鲁棒性，因为攻击者仍可利用未被检测到的目标或使用不同的通道组合。