[论文解读] Mask and Restore: Blind Backdoor Defense at Test Time with Masked Autoencoder

Tong Sun, Lu Pang+3 more|arXiv (Cornell University)|Mar 27, 2023

Adversarial Robustness in Machine Learning被引用 4

一句话总结

本文提出盲防御掩码自编码器（BDMAE），一种针对黑盒模型的测试时防御方法，可在不访问模型权重或干净数据的情况下检测并移除后门触发器。通过在 token 空间中利用掩码自编码器的重建能力，并结合结构相似性和标签一致性来优化触发器检测，BDMAE 实现了对图像的实时净化，实现了在多种触发器下的高干净准确率和低攻击成功率。

ABSTRACT

Deep neural networks are vulnerable to backdoor attacks, where an adversary manipulates the model behavior through overlaying images with special triggers. Existing backdoor defense methods often require accessing a few validation data and model parameters, which is impractical in many real-world applications, e.g., when the model is provided as a cloud service. In this paper, we address the practical task of blind backdoor defense at test time, in particular for local attacks and black-box models. The true label of every test image needs to be recovered on the fly from a suspicious model regardless of image benignity. We consider test-time image purification that incapacitates local triggers while keeping semantic contents intact. Due to diverse trigger patterns and sizes, the heuristic trigger search can be unscalable. We circumvent such barrier by leveraging the strong reconstruction power of generative models, and propose Blind Defense with Masked AutoEncoder (BDMAE). BDMAE detects possible local triggers using image structural similarity and label consistency between the test image and MAE restorations. The detection results are then refined by considering trigger topology. Finally, we fuse MAE restorations adaptively into a purified image for making prediction. Extensive experiments under different backdoor settings validate its effectiveness and generalizability.

研究动机与目标

• 解决在真实黑盒场景中防御后门攻击的挑战，此时模型参数和干净数据均不可用。
• 开发一种测试时防御机制，无需修改模型即可实时运行，确保在云服务中的实际部署。
• 在事先不了解触发器模式、大小或模型架构的情况下，实现触发器检测与图像净化。
• 在有效中和各种复杂度的后门触发器的同时，保持对干净图像的高准确率。
• 在无需微调或访问验证数据的情况下，泛化于多种触发器类型和图像分布。

提出的方法

• 利用掩码自编码器（MAE）重建被掩码的图像块，借助其强大的生成能力检测 token 空间中的异常。
• 对每个图像块计算两个触发器得分：一个基于输入图像与 MAE 重建结果之间的图像结构相似性，另一个基于输入图像与重建图像之间的标签预测一致性。
• 通过触发器拓扑感知机制优化触发器得分，生成更准确覆盖可疑触发区域的拓扑感知 MAE 掩码。
• 通过阈值化触发器得分，自适应融合多个 MAE 重建结果，生成最终预测所用的净化图像。
• 通过检测与重建之间的反馈机制，迭代优化得分与掩码，以提高触发器定位的精度。
• 完全在盲模式下运行——无需访问模型参数、干净数据或真实标签。

实验结果

研究问题

• RQ1 是否可以在不访问模型参数或干净数据的情况下，实现对黑盒模型的有效测试时防御？
• RQ2 掩码自编码器是否可以无需事先了解触发器模式，在 token 空间中检测多种后门触发器？
• RQ3 如何利用原始图像与重建图像之间的结构相似性和标签一致性来提升触发器检测效果？
• RQ4 对触发器得分进行拓扑感知优化是否能提高检测准确率并减少误报？
• RQ5 通过阈值化得分自适应融合多个 MAE 重建结果，是否能提升净化图像的鲁棒性并保留语义内容？

主要发现

• 在 ImageNet100 上，BDMAE 在大尺寸触发器设置下实现了 76.4% 的干净准确率（CA）和 78.7% 的后门准确率（BA），显著优于 PatchCleanser 及其他基线方法。
• 对于 1×1 颜色触发器，BDMAE 保持了 73.2% 的 CA 和 76.3% 的 BA，展现出对不同触发器类型的强泛化能力。
• 在最具挑战性的大触发器设置下，BDMAE 将攻击成功率（ASR）降低至 0.2%，同时保持 76.4% 的干净准确率，表明其具有高度鲁棒性。
• 在所有触发器类型和尺寸下，BDMAE 实现了接近零的 ASR（0.1–0.2%），即使在强数据增强（如模糊和缩放填充）条件下也保持稳定。
• BDMAE 在多种数据集和触发器模式下均保持高性能，展现出强大的泛化能力，且无需微调或访问数据。
• 通过阈值化得分自适应融合多个 MAE 重建结果，实现了更优的图像净化效果，有效保留语义信息的同时去除触发器。