ملخص تقني: BadSNN – هجمات الباب الخلفي على الشبكات العصبية النبضية عبر الخلايا العصبية النبضية المعادية

بيان المشكلة

أثبتت الشبكات العصبية النبضية (SNNs) أنها بدائل فعالة من حيث استهلاك الطاقة ومتوافقة بيولوجياً مع الشبكات العصبية العميقة (DNNs)، لا سيما للأجهزة الطرفية والتطبيقات الحرجة للسلامة مثل القيادة الذاتية والمراقبة الطبية. وبينما من المعروف أن الشبكات العصبية العميقة معرضة لهجمات الباب الخلفي (backdoor attacks) – حيث يقوم المهاجم بتسميم بيانات التدريب لفرض تصنيفات خاطئة محددة عند حقن المحفزات – إلا أن نقاط الضعف في الشبكات العصبية النبضية لا تزال غير مستكشفة إلى حد كبير.

تعتمد هجمات الباب الخلفي الحالية في الشبكات العصبية النبضية (مثل Sneaky Spikes و Flashy Backdoor) بشكل أساسي على التلاعب بالبيانات العصبية (التدفقات الزمنية القائمة على الأحداث) أو حقن محفزات فيزيائية (ومضات ضوئية) تندمج ضمن ديناميكيات المشاهد الطبيعية. تركز هذه النهج على التلاعب بالبيانات بدلاً من استغلال الخصائص الهيكلية المتأصلة في الشبكات العصبية النبضية. وتحديداً، لم يتم التحقيق بعد في سلوك الخلايا العصبية النبضية الفريد، الذي يحكمه معلمات فائقة (hyperparameters) مثل عتبة جهد الغشاء ($V_{thr}$) وثابت الزمن للغشاء ($\tau$)، كمتجه لزرع الأبواب الخلفية. السؤال البحثي المركزي هو: هل يمكن للمهاجم استغلال حساسية الخلايا العصبية النبضية لتغيرات المعلمات الفائقة لزرع باب خلفي دون تغيير بيانات المدخلات؟

المنهجية: BadSemann

يقترح المؤلفون BadSNN، وهو هجوم باب خلفي مبتكر يزرع سلوكاً خبيثاً عن طريق الضبط الدقيق للمعلمات الفائقة للخلايا العصبية النبضية أثناء التدريب، بدلاً من تسميم مجموعة بيانات المدخلات بالمحفزات. يتكون الهجوم من ثلاث مراحل رئيسية:

1. تدريب الباب الخلفي عبر التسميم النبضي الخبيث

على عكس الهجمات التقليدية التي تستخدم عينات مغلوطة التصنيف مع محفزات، يستخدم BadSNN استراتيجية تعلم النبض المزدوج (Dual-Spike Learning Strategy):

• التلاعب بالمعلمات الفائقة: يقوم المهاجم بالتلاعب بالمعلمات الفائقة للخلايا العصبية النبضية ($V_{thr}$ و $\tau$) أثناء التدريب. يتم استخدام تكوينين:
  • الاسمي ($S_n$): معلمات فائقة قياسية للتعلم باستخدام البيانات النظيفة.
  • الخبيث ($S_t$): معلمات فائقة معدلة تتسبب في جعل النموذج يعامل تحويلات مدخلات معينة كبيانات خارج التوزيع (out-of-distribution - OD).
• هدف التدريب: يتم تدريب جزء من بيانات الفئة المستهدفة باستخدام كل من $S_n$ و $S_t$. يتعلم النموذج ربط "أنماط النبض الخبيثة" (التي تم إنشاؤها بواسطة $S_t$) بالفئة المستهدفة، مع الحفاظ على إمكانية الاستخدام النظيف للبيانات الاسمية.
• الرؤية الجوهرية: يعتمد الهجوم على ملاحظة أن تغيير $V_{thr}$ يمكن أن يغير عدد النبضات ($N_{spike}$) للمدخلات. إذا تم توجيه النموذج لتصنيف المدخلات ذات عدد النبضات المتزايد كفئة مستهدفة، يتم إنشاء باب خلفي دون تغيير بكسلات التدريب الخام.

2. تحسين المحفز

لتنشيط الباب الخلفي أثناء الاستدلال، يجب على المهاجم توليد مدخلات تحفز سلوك "النبض الخبيث".

• المحفز الأولي: يتم استخدام تحويل قوة غير خطي ($x^q$) لزيادة عدد النبضات، ولكن هذا غالباً ما يؤدي إلى تدهور المعلومات الدلالية ويكون محسوساً.
• التحسين: يتم تدريب نموذج بديل للمحفز (يعتمد على U-Net) لتوليد اضطرابات ($\Delta x$) يمكن ملاحظتها بأقل قدر ممكن.
• دالة الخسارة: يتم تحسين النموذج البديل باستخدام مزيج من المكونات التالية:
  • تشابه جيب التمام ($L_{sim}$): لمحاذاة الميزات الهيكلية للاضطراب مع التحويل المستهدف.
  • الخسارة المعادية ($L_{adv}$): لضمان تصنيف الصورة المضطربة بشكل خاطئ كالفئة المستهدفة.
  • متوسط مربع الخطأ الموزون ($L_{wmse}$): لضبط حجم وتوزيع الاضطراب مكانياً.
• الامتداد العصبي: بالنسبة للبيانات القائمة على الأحداث (مثل N-MNIST)، تقوم دالة المحفز بإدخال اضطرابات عشوائية متغيرة زمنياً في أطر النبض لزيادة النشاط النبضي الإجمالي.

3. استراتيجية الاستدلال

أثناء الاستدلال، يستخدم الضحية الشبكة العصبية النبضية المسمومة. يجب على المهاجم اختيار تكوين معلمة فائقة للهجوم ($V^a_{thr}, \tau^a$) يقع بين الإعدادات الاسمية والخبيثة. يضمن هذا التوازن ما يلي:

• تصنيف المدخلات النظيفة بشكل صحيح (دقة نظيفة عالية - High Clean Accuracy).
• تصنيف المدخلات المحفزة (الاضطرابات المحسنة) التي تولد أنماط نبض يرتبط بها النموذج بالفئة المستهدفة (معدل نجاح هجوم مرتفع - High Attack Success Rate).

المساهمات الرئيسية

1. اكتشاف نقاط الضعف: يوضح العمل أن التباينات في المعلمات الفائقة للخلايا العصبية النبضية ($V_{thr}$ و $\tau$) تخلق سطح هجوم قابلاً للاستغلال، مما يسمي النموذج بمعاملة البيانات داخل التوزيع كبيانات خارج التوزيع بناءً على عدد النبضات.
2. ناقل هجوم مبتكر (BadSNN): هجوم باب خلفي يجعل التلاعب ببيانات المدخلات (التسميم) أو حقن المحفزات أثناء التدريب غير ضروري. يتم زرع الباب الخلفي بالكامل من خلال آلية توليد النبض المتأصلة في النموذج.
3. تحسين المحفز: عملية لتوليد اضطرابات غير محسوسة تنشط الباب الخلفي، باستخدام نموذج بديل U-Net مدرب بدالة خسارة متعددة الأهداف.
4. تقييم شامل: تجارب مكثفة عبر أربع مجموعات بيانات (CIFAR-10, GTSRB, CIFAR-100, N-MNIST) وثلاث بنيات (Spiking ResNet-19, Spiking VGG-16, N-MNIST Net).

النتائج التجريبية

قيم المؤلفون BadSNN مقابل أحدث النماذج المرجعية (BadNet, Blend, WaNet) وخمس آليات دفاع (Fine-Tuning, CLP, ANP, TSBD, NAD).

• فعالية الهجوم:

  • يحقق BadSNN معدلات نجاح هجوم (ASR) عالية مع الحفاظ على دقة نظيفة (CA) مقبولة. على سبيل المثال، في CIFAR-10، حقق ASR بنسبة 82.65% مع CA بنسبة 87.22% (مقارنة بالأساس النظيف البالغ 91.34%).
  • في البيانات العصبية (N-MNIST)، يعد الهجوم قوياً بشكل خاص، حيث حقق 100% ASR مع تدهور طفيف في CA.
  • العلاقة بين معدل التسميم والنجاح في الهجوم هي علاقة غير خطية؛ حيث أعطت المعدلات الفردية (1%، 3%، 5%) نتائج أفضل من المعدلات الزوجية.

• المتانة ضد الدفاعات:

  • الدفاعات القائمة على التقليم (CLP, ANP): أثبت BadSNN متانة عالية. بينما قللت ANP من ASR للهجمات المرجعية، إلا أنها فشلت أمام BadSNN (ظل ASR أعلى من 70% في CIFAR-10). يعزو المؤلفون ذلك إلى "الاشتباك" بين الخلايا العصبية للباب الخلفي والخلايا النظيفة عبر تعلم النبض المزدوج، مما يجعل تقليم خلايا الباب الخلفي دون تدمير القدرة الاستخدامية النظيفة أمراً مستحيلاً.
  • دفاعات الضبط الدقيق (TSBD, NAD): حافظ BadSNN على ASR مرتفع (مثلاً 84.55% في CIFAR-10 بعد الضبط الدقيق)، بينما تم الحد من الهجمات المرجعية. غياب أنماط المحفز الموضعية في BadSNN يمنع الدفاعات القائمة على الانتباه (مثل NAD) من تحديد الباب الخلفي وقمعها.

• حساسية المعلمات الفائقة: وجدت الدراسة أن ضبط عتبة التدريب الخبيثة ($V^t_{thr}$) لتكون أعلى بكثير من العتبة الاسمية ($V^n_{thr}$) (مثلاً 1.5 مقابل 1.0) ينتج توزيع نبض متميزاً، مما يسمح بموازنة أفضل بين CA و ASR.

الأهمية والادعاءات

يزعم العمل أن BadSNN يمثل تحولاً جوهرياً في التهديدات الأمنية للشبكات العصبية النبضية. تكمن أهميته في ميزتين رئيسيتين مقارنة بتسميم البيانات التقليدي:

1. التخفي: من خلال تجنب التلاعب ببيانات المدخلات وحقن المحفزات أثناء التدريب، يصعب اكتشاف الهجوم عبر فحص البيانات القياسي أو تقنيات عكس المحفز.
2. المرونة: اعتماد الهجوم على المعلمات الفائقة المتأصلة في النموذج وتعلم النبض المزدوج يجعله أكثر متانة بشكل ملحوظ ضد تدابير التخفيف الحديثة، وخاصة التقليم والضبط الدقيق، التي تعتمد على عزل الميزات أو الخلايا الخاصة بالمحفز.

يخلص المؤلفون إلى أن الخصائص الفريدة للخلايا العصبية النبضية، وخاصة حساسيتها للمعلمات الفائقة، تشكل ثغرة أمنية حرجة تم التغافل عنها. يحفز هذا العمل تطوير استراتيجيات دفاع جديدة مصممة خصيصاً للفروق الهيكلية الدقيقة في الشبكات العصبية النبضية، بدلاً من مجرد تكييف دفاعات الشبكات العصبية العميقة.