Detecting Trojaned DNNs via Spectral Regression Analysis

ملخص تقني: كشف الشبكات العصبية العميقة المصابة بالتروجان عبر تحليل الانحدار الطيفي

بيان المشكلة
تُستخدم الشبكات العصبية العميقة (DNNs) بشكل متزايد كقطع برمجية متطورة تخضع لعمليات ضبط دقيق مستمر لدمج بيانات جديدة والتكيف مع البيئات المتغيرة. تفرض هذه العملية التطورية خطراً أمنياً كبيراً: إذا لم يكن من الممكن الوثوق بالبيانات المحدثة بشكل كامل، فقد يقوم المهاجمون بحقن عينات مسمومة لزرع "تروجانات" (أبواب خلفية) أثناء عملية الضبط الدقيق. يحافظ النموذج المصاب بالتروجان على دقة عالية للمدخلات النظيفة، ولكنه يظهر سلوكاً يختاره المهاجم عند وجود محفز (trigger) معين، غالباً ما يكون غير محسوس.

تواجه آليات الدفاع الحالية قيوداً حرجة. فالنهج التي تفترض السيطرة على عملية التدريب (مثل تطهير البيانات) لا يمكن تطبيقها في سيناريوهات سلاسل التوريد حيث يستلم المدافع نموذجاً مدرباً مسبقاً أو محدثاً فقط. أما دفاعات وقت الاستدلال فتعتمد غالباً على إعادة بناء أنماط المحفز، وهو افتراض يفشل أمام المحفزات المتطورة أو المعتمدة على المدخلات أو المعتمدة على مساحة السمات. علاوة على ذلك، تحاول العديد من طرق الكشف غير المتصلة (offline) هندسة المحفز عكسياً دون معرفة شكل المحفز أو موقعه أو ظهوره، مما يجعلها هشة أمام استراتيجيات الهجوم المتنوعة.

المنهجية: MIST
يقترح المؤلفون تقنية MIST (تتبع الأطياف التدريجي للنماذج)، وهي نهج لكشف التروجان ينقل التركيز من إعادة بناء محفز مستوى المدخلات إلى تحليل التمثيلات الداخلية للنموذذ أثناء التطور. تعامل MIST تحديثات النماذج كأحداث انحدار، حيث تقيم ما إذا كانت التغييرات الداخلية الناجمة عن الضبط الدقيق متسقة مع التطور الحميد أم أنها مؤشر على تعديل خبيث.

يعتمد جوهر MIST على التحليل الطيفي لما قبل التنشيط (pre-activations). بدلاً من تحليل تنشيطات الخلايا العصبية الفردية (التي تكون غير مستقرة عبر عمليات التدريب)، تقوم MIST بتلخيص تنشيطات ما قبل الطبقة كتوزيعات احتمالية (أطياف). توفر هذه الأطياف توصيفاً مستقراً للتمثيلات المتعلمة، وتكون مرنة تجاه ضوضاء إعادة التدريب ولكنها حساسة للتغيرات المنهجية.

تعمل المنهجية في مرحلتين:

1. تتبع الأطياف النظيفة: يقوم النظام بإنشاء توزيع مرجعي للتغيرات الطيفية (توزيع مسافات الأطياف النظيفة، أو CSDD) عبر محاكاة انتقالات الضبط الدقيق الحميد. باستخدام مجموعة بيانات نظيفة موثوقة، يقوم النظام بتدريب نموذج أساسي وتجريبه مراراً وتكراراً، وحساب مسافة $L_2$ بين أطياف ما قبل التنشيط للنموذج الأساسي والنموذج المضبوط دقيقاً لكل فئة. هذا يبني خط أساس إحصائي لكيفية تغيير التحديثات الحميدة للحالة الداخلية للنموذج.
2. كشف الشذوذ: عندما يتم إنتاج تحديث جديد للنموذج ($M_{i+1}$) من نقطة تفتيش سابقة ($M_i$) باستخدام بيانات قد لا تكون موثوقة، تقوم MIST بحساب المسافة الطيفية بين النسختين باستخدام مجموعة فرعية صغيرة ونظيفة من البيانات الجديدة. بعد ذلك، تقوم بحساب مسافة ماهالانوبيس المربعة لهذا التغيير الملحوظ مقابل الـ CSDD المرجعي. إذا تجاوز الانحراف عتبة مشتقة إحصائياً (بناءً على توزيع $\chi^2$)، يتم وسم التحديث بأنه مصاب بالتروجان.

الأهم من ذلك، أن MIST لا تتطلب معرفة بالمحفز، أو البيانات المسمومة، أو استراتيجية الهجوم. هي تفترض توفر نقطة تفتيش مرجعية نظيفة ومجموعة فرعية نظيفة من بيانات التحديث للمراقبة، ولكن ليس لإعادة التدريب.

المساهمات الرئيسية

• منظور قائم على الانحدار: تعيد الورقة صياغة كشف التروجان كمسألة انحدار عبر تحديثات النماذج، حيث تصف التعديلات الخبيثة كاختلافات شاذة في التطور الطيفي بدلاً من كونها مشكلات إعادة بناء للمحفز.
• تقنية MIST: اقتراح تقنية كشف عملية تعتمد على أطياف ما قبل التنشيط التي تتحقق من صحة تحديثات الضبط الدقيق مقابل مرجع نظيف.
• تقييم شامل: دراسة تجريبية صارمة عبر أربع مجموعات بيانات (CIFAR-10، SVHN، GTSRB، CelebA) وثمانية هجمات تروجان متميزة (بما في ذلك BadNet، Blended، Input-Aware، Refool، SIG، SSBA، TrojanNN، و WaNet)، مع مقارنة MIST بثلاثة من أفضل التقنيات الحالية (Neural Cleanse، ABS، FeatuRE).

النتائج التجريبية

• الفصل الطيفي (RQ1): تفصل المسافات الطيفية بشكل موثوق بين النماذج المصابة بالتروجان والنماذج التي تم ضبطها دقيقاً بشكل حميد، محققة متوسط ROC-AUC قدره 0.95 عبر جميع تركيبات الهجوم والمجموعات البيانية. وهذا يؤكد أن إدخال التروجان يسبب تغيرات طيفية داخلية متميزة عن التطور الحميد.
• فعالية الكشف (RQ2): في سيناريوهات التحديث أحادي الخطوة، تحقق MIST متوسط دقة كشف يبلغ 0.95، متفوقة بشكل كبير على الخطوط المرجعية المتطورة (FeatuRE: 0.75، ABS: 0.73، Neural Cleanse: 0.64). تُظهر MIST ملف خطأ ملائماً مع معدلات منخفضة جداً من الإيجابيات الكاذبة، مما يجعلها مناسبة للتحقق من تحديثات النماذج دون رفض النماذج الحميدة بشكل متكرر.
• المتانة (RQ3): تحت التطور الحميد متعدد الخطوات، تظل MIST فعالة بمتوسط دقة يبلغ 0.89. تدهور الأداء يكون تدريجياً ومحدوداً، ويظهر أساساً في زيادة الإيجابيات الكاذبة (بسبب تراكم الانحراف الحميد) بدلاً من الفشل في الكشف (السلبيات الكاذبة).

الأهمية والادعاءات
تدعي الورقة أن التطور الطيفي يوفر إشارة مستقرة وقليلة الافتراضات لكشف تحديثات النماذج الخبيثة. ومن خلال التركيز على تغيرات الحالة الداخلية بدلاً من أنماط المحفز الخارجية، تقدم MIST دفاعاً قوياً ضد مجموعة واسعة من هجمات التروجان، بما في ذلك تلك التي تحتوي على محفزات معقدة أو غير مرئية. ويؤكد المؤلفون أن هذا النهج مناسب بشكل خاص لإعدادات النشر حيث يتم تحديث النماذج باستمرار ويجب التحقق من صحتها قبل إعادة النشر، بشرط توفر نقطة تفتيش مرجعية نظيفة. تشير النتائج إلى أن التحليل الطيفي يلتقط بصمة أساسية للتعديل الخبيث تستمر حتى مع تطور النماذج، مما يوفر بديلاً موثوقاً للدفاعات القائمة على إعادة بناء المحفز.