Removing the Trigger, Not the Backdoor: Alternative Triggers and Latent Backdoors

إليك ملخص تقني مفصل للورقة البحثية بعنوان "إزالة المحفز، وليس الباب الخلفي: المحفزات البديلة والأبواب الخلفية الكامنة."

1. بيان المشكلة

تعمل الدفاعات الحالية ضد الأبواب الخلفية (Backdoor Defenses) وفق رؤية متمحورة حول المحفز (Trigger-centric view): وهي الافتراض بأن تحييد نمط محفز محدد ومعروف (مثل رقعة بكسلات أو مزيج لوني) يؤدي فعليًا إلى إزالة الباب الخلفي من النموذج. والاعتقاد السائد هو أنه بمجرد انخفاض معدل نجاح الهجوم (ASR) للمحفز الأصلي إلى مستوى التخمين العشوائي، يصبح النموذج آمنًا.

يتحدى المؤلفون هذا النموذج، بحجة أن الأبواب الخلفية ليست مرتبطة مجرد ارتباط بنمط مدخلات واحد، بل تمثل ثغرة مستمرة في فضاء الميزات (Feature Space) الخاص بالنموذج. وهم يفترضون ما يلي:

• تعمل الأبواب الخلفية كخريطة "متعدد لواحد" (Many-to-one mapping)، حيث تضغط أنماط بكسلات متنوعة في فضاء المدخلات إلى "منطقة خبيثة مشتركة" في فضاء الميزات الكامن.
• الدفاعات التي تكتفي بإزالة المحفز الأصلي تفشل في مسح هذه المنطقة الموجودة في فضاء الميزات.
• وبناءً على ذلك، فإن المحفزات البديلة (Alternative Triggers) —وهي أنماط تختلف بصريًا عن محفز التدريب الأصلي— يمكنها لاحقًا تفعيل نفس آلية الباب الخلفي، مما يجعل الدفاعات القياسية غير فعالة.

2. المنهجية

تقترح الورقة إطارًا نظريًا وطريقة هجوم عملية لإثبات وجود هذه المحفزات البديلة وإمكانية استغلالها.

أ. الأساس النظري: مناطق الباب الخلفي (Backdoor Regions)

يصيغ المؤلفون الباب الخلفي كمنطقة $R_t$ في فضاء الميزات $\mathcal{Z}$ المرتبط بالتسمية المستهدفة $y_t$.

• المحفز الأصلي ($\pi_{orig}$): يربط المدخلات النظيفة $x$ بمنطقة الباب الخلفي $R_t$.
• المحفز البديل ($\pi'$): تحويل متميز لا يتطابق مع $\pi_{orig}$ في فضاء البكسلات، ولكنه لا يزال يربط المدخلات بالمنطقة $R_t$.
• المتانة (Robustness): يجادل المؤلفون بأنه نظرًا للأبعاد العالية لفضاءات ميزات الشبكات العصبية، يمكن لعدة اضطرابات مدخلات متميزة أن تتقارب نحو نفس اتجاه الميزة، مما يجعل منطقة الباب الخلفي قابلة الوصول عبر مسارات متنوعة.

ب. الهجوم الموجه بالميزات (Feature-Guided Attack - FGA)

لاكتشاف المحفزات البديلة بشكل منهجي، قدم المؤلفون الهجوم الموجه بالميزات (FGA). وخلافًا للهجمات العدائية القياسية التي تستهدف فقط الفئة المستهدفة، يقوم FGA بمحاذاة الاضطراب صراحةً مع اتجاه الباب الخلفي المقدر.

1. تقدير اتجاه الباب الخلفي ($d_\ell$):
   يحسب المؤلفون متوسطات متجهات الميزات للعينات النظيفة ($\mu^{clean}$) والعينات المحفزة ($\mu^{trig}$) عند طبقة محددة $\ell$. ويُعرف اتجاه الباب الخلفي بأنه الفرق الطبيعي (Normalized difference):
   $$d_\ell = \frac{\mu^{trig}_\ell - \mu^{clean}_\ell}{\|\mu^{trig}_\ell - \mu^{clean}_\ell\|_2}$$
   يمثل هذا المتجه "الاختصار" الذي تعلمه النموذج للقفز إلى الفئة المستهدفة.

2. هدف التحسين (Optimization Objective):
   يولد FGA محفزًا بديلًا $\pi'(x)$ عن طريق تعظيم دالة هدف مشتركة:
   $$J(x) = -\text{CE}(f(x), y_t) + \beta \langle \varphi_\ell(x), d_\ell \rangle$$
   حيث أن:

• $-\text{CE}$ يدفع التنبؤ نحو التسمية المستهدفة $y_t$.
• $\langle \varphi_\ell(x), d_\ell \rangle$ يعظم محاذاة تمثيل الميزة الداخلي مع اتجاه الباب الخلفي المقدر.
• $\beta$ يتحكم في قوة التوجيه بالميزات.

3. التنفيذ:
   يستخدم الهجوم طريقة "صعود التدرج المسقط" (Projected Gradient Ascent - PGD) لتعظيم $J(x)$ تحت قيد $\ell_\infty$، مما يضمن بقاء الاضطراب ضمن نطاق محدود.

3. المساهمات الرئيسية

1. صياغة المحفزات البديلة: توفر الورقة برهانًا نظريًا على أن مناطق الباب الخلفي في فضاء الميزات تسمح بوجود العديد من المحفزات البديلة. وتوضح أن التفرد في فضاء البكسلات لا يعني التفرد في فضاء الميزات.
2. الهجوم الموجه بالميزات (FGA): طريقة هجوم مبتكرة تكتشف المحفزات البديلة بشكل منهجي من خلال التنقل صراحةً نحو اتجاه الباب الخلفي الكامن، مما يميز بين الاستغلال الحقيقي للباب الخلفي وبين الاختصارات العدائية العشوائية.
3. الدليل التجريبي على فشل الدفاعات: تظهر التجارب المكثفة أن أحدث الدفاعات بعد التدريب (بما في ذلك تلك التي تعمل في فضاء الميزات) يمكنها تقليل معدل نجاح الهجوم (ASR) للمحفز الأصلي إلى مستويات قريبة من التخمين العشوائي، ومع ذلك تحافظ المحفزات البديلة المكتشفة بواسطة FGA على معدلات نجاح عالية (>90%).
4. التحول في نموذج الدفاع: تجادل الورقة بأن الدفاع الفعال يجب أن يستهدف منطقة الباب الخلفي في فضاء التمثيل بدلاً من مجرد تصفية أو إلغاء تعلم أنماط مدخلات محددة.

4. النتائج التجريبية

قيم المؤلفون نهجهم عبر:

• مجموعات البيانات: CIFAR-10، CIFAR-100، TinyImageNet.
• النماذج: ResNet-18، VGG-19.
• الهجمات: BadNets، Blend، WaNet، Input-Aware.
• الدفاعات: تقطير الانتباه العصبي (NAD)، BAN، وإلغاء التعلم الموجه بالمحفز (Trigger-Aware Unlearning).

النتائج الرئيسية:

• وجود محفزات بديلة: غالبًا ما يجد هجوم PGD المستهدف القياسي (بدون توجيه بالميزات) محفزات بديلة، لكن FGA أكثر موثوقية واتساقًا. على سبيل المثال، في CIFAR-10 مع هجوم WaNet، حقق PGD غير المستهدف معدل ASR قدره 1.03% فقط للفئة المستهدفة، بينما حقق FFA نسبة 100%.
• عدم فعالية الدفاع:
  • NAD و BAN: نجحت هذه الدفاعات في تقليل ASR للمحفز الأصلي إلى حوالي 8-21%. ومع ذلك، حققت المحفزات البديلة التي أنشأها FGA معدلات ASR تتراوح بين 63-87% على النماذج "المُنظفة".
  • إلغاء التعلم الموجه بالمحفز: حتى عندما يعرف المدافعون المحفز الأصلي ويقومون بضبط النموذج (Fine-tuning) لإزالته، يمكن لـ FGA إعادة التحسين لإيجاد محفزات بديلة جديدة تتجاوز عملية إلغاء التعلم.
• التخفي البصري: المحفزات البديلة التي ينتجها FGA متميزة بصريًا عن المحفزات الأصلية ولكنها تظل متخفية (LPIPS منخفض، SSIM مرتفع)، وغالبًا ما تكون غير قابلة للتمييز عن المحفز الأصلي من حيث الإدراك البشري.
• المحاذاة الاتجاهية: أظهرت التجارب التي قامت بالاستكمال (Interpolation) على طول الاتجاه المقدر $d_\ell$ انتقالًا سلسًا يشبه منحنى "سيجمويد" في احتمالية الفئة المستهدفة، مما يؤكد أن $d_\ell$ يلتقط بدقة آلية الباب الخلفي الكامنة.

5. الأهمية والخاتمة

تغير هذه الورقة بشكل جذري فهمنا لثغرات الأبواب الخلفية. فهي تثبت أن تحييد المحفز لا يعني إزالة الباب الخلفي. الباب الخلفي هو ضعف هيكلي في فضاء ميزات النموذج يستمر حتى بعد تحييد نمط المدخلات المحدد المستخدم أثناء التدريب.

الآثار المترتبة على الأمن:

• الكشف: لا يحتاج المدافعون إلى استعادة المحفز الأصلي بدقة؛ إذ يكفي العثور على أي اضطراب ينشط منطقة الباب الخلفي لإثبات أن النموذج مخترق.
• الدفاع: الدفاعات الحالية التي تركز على "إلغاء تعلم" محفزات معينة غير كافية. يجب أن تستهدف الدفاعات المستقبلية صراحةً وتمحو منطقة الباب الخلفي الكامنة في فضاء الميزات، لضمان عدم إمكانية توجيه النموذج نحو المنطقة الخبيثة بواسطة أي نمط مدخلات، وليس فقط المحفز المعروف.

يخلص المؤلفون إلى ضرورة انتقال المجال من رؤية متمحورة حول المحفز إلى رؤية متمحورة حول التمثيل (Representation-centric view) لأمن الأبواب الخلفية.