ملخص تقني: HTell - كشف الباب الخلفي السريع والخفيف عبر استقصاء الرأس العشوائي

1. بيان المشكلة

تواجه الشبكات العصبية العميقة (DNNs) المنشورة في التطبيقات الحرجة للسلامة ضعفًا تجاه هجمات الباب الخلفي (backdoor attacks)، حيث تتصرف النماذج بشكل طبيعي مع المدخلات السليمة، ولكنها تتنبأ بتسمية هدف محددة من قبل المهاجم عند وجود محفز (trigger) مخفي. ومع نمو منصات مشاركة النماذج المعدة مسبقًا من قبل أطراف ثالثة، أصبحت القدرة على تدقيق النماذج المدربة مسبقًا دون الوصول إلى بيانات التدريب الأصلية أو مسارات العمل أمرًا بالغ الأهم Importance.

تواجه طرق الكشف الحالية ما بعد التدريب مشكلتين رئيسيتين:

1. التكلفة الحسابية العالية: تعتمد العديد من أدوات الكشف المتطورة على إعادة بناء المحفز القائم على التدرج (gradient-based) أو تحسين الفضاء الكامن (مثل NC وBARBIE). تتطلب هذه الطرق غالبًا ساعات أو حتى أيامًا لفحص نموذج واحد، مما يخلق عدم توافق حاد في الكفاءة مع الهجمات الحديثة التي يمكنها حقن أبواب خلفية في أجزاء من الثانية.
2. القدرة المحدودة على الصمود (Robustness): تظهر أدوات الكشف الحالية حساسية تجاه مجموعات بيانات، وهياكل، وأنماط محفزات، ومعدلات تسميم معينة. تتطلب العديد منها الوصول إلى بيانات سليمة، أو بيانات بديلة، أو تدرجات النموذج، مما يحد من قابليتها للتطبيق في سيناريوهات التدقيق العملية "الخالية من البيانات" (data-free) حيث يتوفر فقط النموذج المشبوه.

2. المنهجية: HTell

يقترح المؤلفون HTell، وهو كاشف باب خلفي سريع، خفيف الوزن، وخالٍ من البيانات، ينقل تركيز الكشف من إعادة بناء أنماط المحفزات المتنوعة إلى فحص تجليها الموحد في رأس التنبؤ الخاص بالنموذج.

الحدس الجوهري

بينما يستخرج هيكل النموذج (backbone) الميزات، يقوم رأس التنبؤ ($H$) بتحديد القيم اللوغاريتمية (logits) النهائية. يلاحظ المؤلفون أن زرع الباب الخلفي يميل إلى توسيع أو تشويه منطقة القرار للفئة المستهدفة في الفضاء الكامن. وبناءً على ذلك، فإن الاستقصاءات الكامنة العشوائية (random latent probes) التي يتم تغذيتها مباشرة في الرأس تكون أكثر عرضة لتصنيفها كهدف الباب الخلفي أو إنتاج استجابات مركزة بشكل غير طبيعي مقارنة بالنماذج السليمة، والتي تعطي استجابات متوازنة عبر الفئات.

سير العمل الخوارزمي

1. توليد استقصاء مدرك للهيكل (Architecture-Aware Probe Generation):

   • لا يتطلب HTell بيانات حقيقية. بدلاً من ذلك، يستعلم من هيكل النموذج باستخدام دفعة صغيرة من الضوضاء العشوائية لتقدير نطاق تنشيط تقريبي ($S_{noise}$).
   • بناءً على خصائص التنشيط في بنية الشبكة، يقوم بتوليد استقصاءات كامنة عشوائية متناحية ($h_{probe}$):
     • الاستقصاءات الموحدة ($U[0, 1]$): تُستخدم للنماذج ذات التنشيطات غير السالبة (مثل رؤوس VGG أو ResNet القائمة على ReLU).
     • الاستقصاءات الغاوسية ($N(0, \sigma^2)$): تُستخدم للنماذج ذات التنشيطات الموقعة أو المعيارية (مثل BatchNorm أو LayerNorm). ويتم اشتقاق التباين $\sigma$ من نطاق التنشيط المرصود.
     • حالة خاصة: بالنسبة لهياكل مثل SqueezeNet التي تستخدم متوسط التجميع العالمي (GAP)، تُستخدم الاستقصاءات الغاوسية لضمان بقاء الاستجابات الموجبة القوية بعد عملية التجميع.

2. استقصاء الرأس والتحليل:

   • يتم تغذية الاستقصاءات المولدة مباشرة في رأس النموذج ($H$)، متجاوزة الهيكل.
   • يخرج الرأس القيم اللوغاريتمية واحتمالات التنبؤ لجميع الفئات.
   • يحلل HTell إحصائيات استجابة الفئات باستخدام مؤشرين:
     • متوسط ثقة الفئة ($r_{mean}$): متوسط احتمال التنبؤ لكل فئة عبر جميع الاستقصاءات.
     • معيار احتمالية الفئة ($r_{l2}$): معيار L2 لمتجه الاحتمال، والذي يقيس مدى تركيز التوزيع.
   • قاعدة القرار: إذا تجاوز أقصى إحصاء استجابة لأي فئة عتبة معايرة $\tau$، يتم وضع علامة على النموذج بأنه يحتوي على باب خلفي، ويتم تحديد تلك الفئة كهدف.

3. المساهمات الرئيسية

• التجلي الموحد على مستوى الرأس: حددت الورقة أن هجمات الباب الخلفي المتنوعة، بغض النظر عن نمط المحفز أو طريقة الحقن، تشترك في تجلٍ موحد: تركيز غير طبيعي للاستجابات على الفئة المستهدفة تحت الاستقصاء الكامن العشوائي.
• إطار عمل HTell: كاشف خفيف الوزن لا يتطلب لا بيانات حقيقية، ولا بيانات بديلة، ولا تدرجات، ولا تحسين بارامترات. يعمل فقط عن طريق استعلام رأس النموذج باستخدام الضوضاء العشوائية.
• اختبار مرجعي واسع النطاق: أنشأ المؤلفون اختبارًا مرجعيًا شاملاً يحتوي على أكثر من 6,000 نموذج مصاب بباب خلفي و 700 نموذج سليم. يغطي هذا 4 مجموعات بيانات (MNIST، CIFAR10، GTSRB، TinyImageNet)، و14 بنية (من CNN الضحلة إلى Vision Transformers)، و21 نوعًا من الهجمات (بما في ذلك هجمات الرقعة/patch، والمزج/blended، وفضاء الميزات/feature-space، والملصقات النظيفة/clean-label، وSSL، وهجمات تعديل البارامترات).

4. النتائج التجريبية

أظهر HTell، عند تقييمه على الاختبار المرجعي واسع النطاق، تفوقًا في كل من الدقة والكفاءة:

• دقة الكشف: يحقق HTell معدل إيجابي حقيقي (TPR) بنسبة 99.03% و معدل إيجابي كاذب (FPR) بنسبة 2.11% في المتوسط. ويحافظ على دقة عالية عبر مختلف المحفزات (الرقع التكيفية، LOTUS)، ومعدلات التسميم، وأحجام الشبكات.
• الكفاءة: يبلغ متوسط زمن انتقال الكشف 12.69 مللي ثانية لكل نموذج على وحدة معالجة رسومات NVIDIA RTX 3090. ويمثل هذا انخفاضًا في تكلفة الوقت بأكثر من 30,000 ضعف مقارنة بالكواشف المعتمدة على التدرج (مثل NC وBARBIE)، والتي تستغرق غالبًا ساعات.
• القدرة على الصمود (Robustness):
  • يتفوق HTell على النماذج المرجعية (NC، FeatureRE، DF-TND، DQ، FreeEagle، MM-BD، BARBIE) عبر جميع مجموعات البيانات والهياكل المختبرة.
  • يكشف بفعالية عن الهجمات المعقدة بما في ذلك هجمات الرقعة التكيفية، وهجمات الملصقات النظيفة (عبر نسخة HTell-SIM)، وأبواب الخلفية الخاصة بالتعلم الخاضع للإشراف الذاتي (SSL).
  • يظل فعالاً حتى في سيناريوهات "حديقة النماذج المسمومة" حيث قد تحتوي مجموعة المعايرة نفسها على نماذج مصابة بباب خلفي.
• الهجمات التكيفية: تشير الورقة إلى أنه يمكن تجاوز HTell إذا قام المهاجم بتجميد بارامترات الرأس أو تنظيمها لتطابق الفئات الأخرى. ومع ذلك، يقترح المؤلفون أن نقل نقطة الاستقصاء إلى آخر كتلة ميزات في الهيكل يمكن أن يستعيد معدلات الكشف في مثل هذه الحالات.

5. الأهمية والادعاءات

تدعي الورقة أن استقصاء الرأس العشوائي يوفر حلاً دقيقًا وقويًا وعالي الكفاءة لتدقيق نماذج الباب الخلفي الخالية من البيانات على نطاق واسه. ومن خلال تجنب العبء الحسابي لإعادة بناء المحفز والانتشار العكسي للتدرج، يعالج HTell عدم التماثل الحرج بين سرعة حقن الباب الخلفي الحديث وبطء طرق الكشف الحالية.

يضع المؤلفون HTell كأداة عملية للنشر الموثوق للنماذج العميقة، مما يسمح بالفحص السريع لمستودعات النماذج حيث لا يتوفر الوصول إلى بيانات التدريب أو التدرجات. وبينما تم التحقق من الطريقة بشكل أساسي على تصنيف الصور، يناقش المؤلفون إمكانية توسيعها لتشمل كشف الأشياء والتعلم التعزيزي، مشيرين إلى أن ذلك سيتطلب نقاط استقصاء خاصة بالمهمة لتلك المجالات.