[论文解读] Post-Training Detection of Backdoor Attacks for Two-Class and Multi-Attack Scenarios

Zhen Xiang, David J. Miller+1 more|arXiv (Cornell University)|Jan 20, 2022

Adversarial Robustness in Machine Learning被引用 6

一句话总结

该论文提出了一种新颖的后训练后门攻击检测框架，适用于二分类和多攻击场景，利用后门模式（BP）逆向工程与一种新的期望可迁移性（ET）统计量。ET统计量使单一、与领域无关的阈值即可实现有效检测，在无需访问训练数据或干净参考分类器的情况下，于六个基准数据集上均达到最先进性能。

ABSTRACT

Backdoor attacks (BAs) are an emerging threat to deep neural network classifiers. A victim classifier will predict to an attacker-desired target class whenever a test sample is embedded with the same backdoor pattern (BP) that was used to poison the classifier's training set. Detecting whether a classifier is backdoor attacked is not easy in practice, especially when the defender is, e.g., a downstream user without access to the classifier's training set. This challenge is addressed here by a reverse-engineering defense (RED), which has been shown to yield state-of-the-art performance in several domains. However, existing REDs are not applicable when there are only {\it two classes} or when {\it multiple attacks} are present. These scenarios are first studied in the current paper, under the practical constraints that the defender neither has access to the classifier's training set nor to supervision from clean reference classifiers trained for the same domain. We propose a detection framework based on BP reverse-engineering and a novel {\it expected transferability} (ET) statistic. We show that our ET statistic is effective {\it using the same detection threshold}, irrespective of the classification domain, the attack configuration, and the BP reverse-engineering algorithm that is used. The excellent performance of our method is demonstrated on six benchmark datasets. Notably, our detection framework is also applicable to multi-class scenarios with multiple attacks. Code is available at https://github.com/zhenxianglance/2ClassBADetection.

研究动机与目标

• 解决现有后向工程防御（REDs）在二分类和多攻击场景中因缺乏足够统计量以估计零分布而失效的问题。
• 开发一种在实际约束条件下运行的检测方法：无法访问受害分类器的训练集，且无针对同一领域的干净参考分类器的监督信息。
• 实现在低类别场景（如 K=2）和多攻击设置下的可靠检测，其中先前的REDs方法不适用或性能下降。
• 建立一个在不同分类领域、攻击配置和后向工程算法中均通用有效的检测阈值。

提出的方法

• 提出一种基于独立逆向工程每个类别的BP的检测框架，使用现有或未来的后向工程技术。
• 引入一种新型检测统计量——期望可迁移性（ET），定义为在干净测试样本上，逆向工程得到的BP的平均可迁移性。
• 将ET用作异常评分：若ET > 1/2，则将该类标记为可能被植入后门，利用真实BP的可迁移性优于随机模式的事实。
• 证明单一检测阈值1/2在所有测试领域、攻击类型和后向工程方法中均有效，消除了对领域特定校准的需求。
• 将该框架应用于二分类和多分类场景，包括多种攻击同时存在的场景。
• 使用分类器集成以提高鲁棒性，并确保一致的检测性能。

实验结果

研究问题

• RQ1 在现有REDs因缺乏非目标类别以估计零分布而失效的二分类场景中，能否实现有效的后门检测框架？
• RQ2 是否存在一个适用于不同数据集、攻击类型和后向工程算法的通用检测阈值？
• RQ3 所提出的期望可迁移性（ET）统计量能否在无需事先了解攻击数量或性质的情况下，检测多攻击场景中的后门攻击？
• RQ4 在多攻击条件下，所提出的基于ET的框架在检测准确率和误报率方面与现有RED方法相比表现如何？

主要发现

• 所提出的基于ET的检测框架在所有10个五分类领域（单个攻击）和所有10个（双攻击）中均实现100%检测准确率，且无任何误报。
• 该方法优于原始的RED-AP和RED-AP（MAD）基线方法，后者完全未能检测到任何双攻击实例，凸显其在多攻击设置下的鲁棒性。
• 1/2的检测阈值在六个基准数据集、不同攻击配置和多种后向工程算法中均具有通用有效性，无需进行领域特定校准。
• 误报极为罕见，主要出现在使用RE-PR方法逆向工程干净分类器时，但即便如此，其在各类二分类领域中发生频率也极低。
• ET统计量对BP类型、后向工程目标函数和优化技术的变化具有鲁棒性，可兼容现有及未来的后向工程方法。
• 该框架成功检测了包括多种同时攻击在内的二分类和多分类场景中的后门攻击，展现出广泛适用性。