Detecting and Eliminating Neural Network Backdoors Through Active Paths with Application to Intrusion Detection

إليك ملخص تقني مفصل للورقة البحثية بعنوان "كشف وإزالة الأبواب الخلفية للشبكات العصبية من خلال المسارات النشطة مع التطبيق على كشف التسلل".

1. بيان المشكلة

تعتبر نماذج تعلم الآلة (ML) عرضة لـ هجمات الأبواب الخلفية (Backdoor Attacks)، حيث يقوم المهاجم بتسميم بيانات التدريب بحيث يتصرف النموذج بشكل طبيعي مع المدخلات النظيفة، ولكنه ينتج مخرجات محددة من قبل المهاجم عند وجود مُحفز (Trigger) معين (نمط أو قيمة محددة).

• التحدي: يعد اكتشاف هذه المحفزات أمراً صعباً للغاية لأن سلوك النموذج على البيانات النظيفة يظل غير قابل للتمييز عن النموذج غير المسموم.
• السياق: تركز الورقة على أنظمة كشف التسلل (IDS)، وتحديداً تلك التي تستخدم الشبكات العصبية (NN) لتحليل حركة مرور الشبكة (Netflows). في السياقات العسكرية والأمنية، تزيد الاعتمادية على مجموعات البيانات الخارجية أو مفتوحة المصدر من خطر الأبواب الخلفية غير المكتشفة.
• الملاحظة: يفترض المؤلفون أن محفزات الأبواب الخلفية في البيانات الجدولية تظهر كـ "مسارات نشطة" (Active Paths) قوية بشكل غير طبيعي أثناء الانتشار الأمامي للشبكة العصبية. وتظهر هذه المسارات سلوكاً مشابهاً للميزات عالية الأهمية، ولكنها مدفوعة بالمُحفز بدلاً من أنماط البيانات المشروعة.

2. المنهجية

يتكون النهج المقترح من مرحلتين رئيسيتين: الكشف (عبر تجميع مساهمات الميزات المحلية) والإزالة (عبر تقليم المسارات النشطة). تعتمد الطريقة على دوال التنشيط الخطية المجزأة (مثل ReLU)، والتي تسمح باستخراج المعاملات الخطية التي تمثل مساهمات الميزات.

أ. المفاهيم الأساسية

• معاملات الميل القابلة للتفسير ($\beta$): بالنسبة لمدخل معين، يمكن التعبير عن ما قبل التنشيط لطبقة المخرجات كدالة خطية. تشير المعاملات ($\beta$) إلى مقدار مساهمة كل ميزة مدخلة.
• المساهمات المحلية للميزات ($\phi$): تُعرف بـ $\phi_{ij} = \beta_{ij}x_{ij}$، وهي تقيس المساهمة المحددة للميزة $j$ للملاحظة $i$.
• المسارات النشطة (Active Paths): مجموعة من الأوزان المتجاورة التي تربط ميزة مدخلة بعقدة مخرجات عبر عصبونات نشطة (غير صفرية). عند استخدام ReLU، يتم تقليم العقد غير النشطة (ذات ما قبل التنشيط السالب)، مما ينشئ بنية متفرقة من المسارات النشطة.

ب. المرحلة الأولى: كشف الباب الخلفي

تتضمن عملية الكشف ثلاث خطوات:

1. استخراج مساهمة الميزات: تمرير مجموعة البيانات عبر الشبكة لحساب مساهمات الميزات المحلية ($\phi$) لجميع العينات.
2. التجميع (Clustering):
   • تطبيق تحليل المكونات الرئيسية بنواة (Kernel PCA) (مع نواة جيب التمام) لتقليل الأبعاد.
   • استخدام HDBSCAN (التجميع الهرمي القائم على الكثافة للتطبيقات مع الضجيج) لتجميع العينات بناءً على ناقلات مساهماتها.
   • الفرضية: ستتجمع العينات ذات الأبواب الخلفية معاً لأنها تعتمد على ميزة محفز موحدة ومحددة، بينما ستشكل العينات النظيفة عنقوداً أكبر وأكثر تنوعاً.
3. مقارنة العناقيد:
   • تحديد أكبر عنقود (الذي يمثل السلوك الطبيعي) كمرجع.
   • حساب متوسط فرق المربع (Mean Square Difference) لمساهمات الميزات بين أكبر عنقود والعناقيد الأخرى.
   • يتم تحديد الميزات ذات الانحراف الأعلى كـ "محفزات محتملة".

ج. المرحلة الثانية: إزالة الباب الخلفي

بمجرد تحديد ميزة المحفز، يقترح المؤلفون نهج تعديل النموذج الذي يتجنب إعادة التدريب:

1. تحديد المسار: تحديد المسارات النشطة التي تستخدمها مجموعة الباب الخلفي بشكل مهيمن (تحديداً تلك المستخدمة أكثر من عتبة $T$ من المرات).
2. تقليم الأوزان (Weight Pruning):
   • تحديد الأوزان التي تربط ميزات المحفز بـ الطبقة الخفية الأولى والتي تعد جزءاً من مسارات الباب الخلفي المهيمنة هذه.
   • ضبط هذه الأوزان المحددة لتصبح صفراً.
   • بالإضافة إلى ذلك، إزالة الأوزان غير المستخدمة من قبل البيانات النظيفة أو المسمومة لضمان الحد من السلوك تماماً.
3. النتيجة: يحتفظ النموذج بقدرته على معالجة البيانات النظيفة (لأن تلك المسارات تظل قائمة) ولكنه يفقد المسار المحدد المطلوب لتنشيط الباب الخلفي.

3. المساهمات الرئيسية

1. آلية كشف مبتكرة: طريقة لكشف الأبواب الخلفية من خلال تحليل المسارات النشطة ومساهمات الميزات المحلية، مما يوفر قدرة ذاتية على التفسير (على عكس تجميع التنشيط "الصندوق الأسود").
2. استراتيجية إزالة تلقائية: تقنية لإزالة الأبواب الخلفية عن طريق تقليم الأوزان المرتبطة بمسارات المحفز في الطبقة الخفية الأولى، دون الحاجة لإعادة تدريب النموذج أو إعادة تسمية البيانات.
3. تطبيق على IDS: إثبات جدوى النهج في سيناريو نظام كشف التسلل للشبكات (NIDS)، مما يثبت صلاحيته للبنية التحتية الأمنية الحرجة.

4. النتائج التجريبية

اختبر المؤلفون نهجهم على مجموعة بيانات AIT-IDSv2 (بيانات Netflow) باستخدام شبكة عصبية أمامية كاملة الاتصال.

• التجربة 1 (محفز ميزة واحدة):

  • الإعداد: تم زرع باب خلفي باستخدام ميزة TTL_max (ضبطها على 66) لقلب تسميات حركة المرور الضارة إلى سليمة. تم تسميم 1% فقط من البيانات.
  • الكشف: نجح التجميع في فصل العينات ذات الباب الخلفي. أظهرت TTL_max أعلى فرق مساهمة بين العناقيد.
  • الإزالة: تقليم الأوزان المرتبطة بـ TTL_max في الطبقة الخفية الأولى.
  • النتيجة: تم تحييد الباب الخلفي (انخفضت دقة التسميم من 99.98% إلى 98.90%، مما استعاد التصنيف الطبيعي فعلياً)، بينما ظلت دقة البيانات النظيفة مستقرة (99.30%).

• التجربة 2 (محفز ميزتين):

  • الإعداد: استخدم المحفز كلاً من TTL_max (66) و TTL_min (61).
  • الكشف: نجح في تحديد كلتا الميزتين كمساهمين رئيسيين في العنقود الشاذ.
  • الإزالة: تم تقليم أوزان كلتا الميزتين.
  • النتيجة: تم القضاء على الباب الخلفي، وتم الحفاظ على أداء النموذج على البيانات النظيفة.

المقاييس الرئيسية:

• دقة التسميم (Poison Accuracy): انخفضت من ما يقرب من 100% (هجوم ناجح) إلى مستويات تتوافق مع معدلات الخطأ الطبيعية بعد الإزالة.
• الدقة النظيفة (Clean Accuracy): ظلت غير متأثرة إلى حد كبير (99.29% $\leftarrow$ 99.30%)، مما يثبت أن التقليم لم يؤدِ إلى تدهور الأداء العام للنموذج.

5. الأهمية والقيود

الأهمية

• التفسير بالتصميم: على عكس العديد من طرق الكشف التي تحدد فقط الشذوذ، يحدد هذا النهج أي الميزات وكيف تساهم في الشذوذ، مما يساعد المحللين البشريين.
• كفاءة الموارد: تتطلب عملية الإزالة مجرد تمريرة أمامية واحدة وتعديل للأوزان، مما يتجنب التكلفة الحسابية لإعادة التدريب أو العبء اللوجستي لإعادة تسمية البيانات.
• الأهمية العسكرية/الأمنية: يعالج الحاجة إلى ذكاء اصطناعي قوي (وفق استراتيجية الناتو للذكاء الاصطناعي)، خاصة عندما يتم تدريب النماذج على مجموعات بيانات خارجية قد لا تكون موثوقة.

القيود

• قيود التنشيط: يتطلب النهج حالياً دوال تنشيط خطية مجزأة (مثل ReLU أو Leaky ReLU) لحساب المعاملات الخطية. ولا ينطبق مباشرة على التنشيطات غير الخطية مثل Sigmoid أو Tanh دون تعديل.
• توافر البيانات: تتطلب طريقة الكشف الوصول إلى مجموعة بيانات تحتوي على المحفز (البيانات المسمومة). لا يمكنها كشف الأبواب الخلفية في نموذج "الصندوق الأسود" حيث تتوفر المدخلات النظيفة فقط.
• الخبرة في المجال: يحدد النهج المساهمات الشاذة ولكنه لا يستطيع تلقائياً التمييز بين الباب الخلفي الخبيث والارتباطات القوية للميزات المشروعة (الفرط في التخصيص/Overfitting). يجب على الخبراء البشريين التحقق من الميزات التي تم تحديدها.
• التعميم: أُجريت التجارب على مجموعة بيانات اصطناعية محددة؛ وهناك حاجة لمزيد من التحقق باستخدام مجموعات بيانات متنوعة وحقيقية وببنيات مختلفة (مثل CNNs).

الخاتية

تقدم الورقة إطاراً قوياً وقابلاً للتفسير لتأمين أنظمة كشف التسلل القائمة على الشبكات العصبية ضد هجمات الأبواب الخلفية. ومن خلال الاستفادة من الخصائص الرياضية للمسارات النشطة في شبكات ReLU، يوضح المؤلفون أنه يمكن كشف الأبواب الخلفية من خلال تجميع المساهمات وإزالتها من خلال تقليم الأوزان المستهدف، وكل ذلك دون الحاجة إلى إعادة تدريب مكلفة. وهذا يقدم حلاً عملياً للحفاظ على موثوقية أنظمة الأمن المدعومة بالذكاء الاصطناست في البيئات عالية المخاطر.