[论文解读] Triggerless Backdoor Attack for NLP Tasks with Clean Labels

Leilei Gan, Jiwei Li+7 more|arXiv (Cornell University)|Nov 15, 2021

Advanced Malware Detection Techniques被引用 6

一句话总结

本文提出了首个针对NLP任务的无触发器、干净标签后门攻击，其中中毒样本在语义上自然且标签正确，但在模型训练时会导致误分类。该方法利用遗传算法在特征空间中生成目标输入附近的对抗性句子，实现高达90%以上的攻击成功率（使用少于50个中毒样本），同时可规避自动化防御机制与人工检查。

ABSTRACT

Backdoor attacks pose a new threat to NLP models. A standard strategy to construct poisoned data in backdoor attacks is to insert triggers (e.g., rare words) into selected sentences and alter the original label to a target label. This strategy comes with a severe flaw of being easily detected from both the trigger and the label perspectives: the trigger injected, which is usually a rare word, leads to an abnormal natural language expression, and thus can be easily detected by a defense model; the changed target label leads the example to be mistakenly labeled and thus can be easily detected by manual inspections. To deal with this issue, in this paper, we propose a new strategy to perform textual backdoor attacks which do not require an external trigger, and the poisoned samples are correctly labeled. The core idea of the proposed strategy is to construct clean-labeled examples, whose labels are correct but can lead to test label changes when fused with the training set. To generate poisoned clean-labeled examples, we propose a sentence generation model based on the genetic algorithm to cater to the non-differentiable characteristic of text data. Extensive experiments demonstrate that the proposed attacking strategy is not only effective, but more importantly, hard to defend due to its triggerless and clean-labeled nature. Our work marks the first step towards developing triggerless attacking strategies in NLP.

研究动机与目标

• 解决NLP模型因使用不自然触发器和错误标注数据而易受后门攻击的漏洞。
• 开发一种更隐蔽的后门攻击策略，避免使用外部触发器，并在中毒样本上保持正确标签。
• 证明干净标签、无触发器后门攻击具有有效性且难以防御。
• 提高NLP社区对干净标签后门作为新型模型污染威胁的认识。

提出的方法

• 通过在模型的特征空间中生成与目标测试输入语义接近但标签不同的句子来构建中毒样本。
• 采用遗传算法对训练句子进行词级别扰动，以生成这些中毒样本，适应文本数据的不可微特性。
• 通过优化生成句子使其在隐藏表示空间中更接近目标测试样本，从而在推理时引发误分类。
• 无需插入罕见词汇或句法触发器，使其对基于触发器的检测机制具有鲁棒性。
• 中毒样本生成得流畅自然，最大限度降低人工检查时的怀疑。
• 在情感分析、攻击性语言识别和主题分类任务上，使用标准基准对攻击进行评估。

实验结果

研究问题

• RQ1 是否可以在NLP模型中构建不使用外部触发器的后门攻击？
• RQ2 中毒样本能否在标签正确的同时，仍导致模型在特定输入上发生误分类？
• RQ3 无触发器、干净标签后门攻击在规避自动化防御和人工检查方面的有效性如何？
• RQ4 在不同NLP任务中，实现高攻击成功率所需的最少中毒样本数量是多少？
• RQ5 该攻击是否可推广至多个目标样本，或在单个模型中扩展为多个后门？

主要发现

• 在SST-2和OLID数据集上，攻击成功率超过90%，且中毒样本少于50个。
• 在AG’s News（更大、多分类数据集）上，攻击需要更多中毒样本（约100个）才能达到有竞争力的性能，表明其难度更高。
• 中毒样本的干净标签特性导致其Macro F1得分最低，表明对人工检查具有极强的抗性。
• 即使仅使用0.3%至0.7%的中毒数据，攻击仍保持高纯净准确率（CACC），表明对干净输入的模型性能影响极小。
• t-SNE可视化证实，生成的中毒样本成功被优化至特征空间中靠近目标测试样本的位置。
• 案例研究显示，生成的样本流畅自然，语义上与原始句子一致，且比任何原始训练样本更接近目标。