Breaking the Stealth-Potency Trade-off in Clean-Image Backdoors with Generative Trigger Optimization
Dieses Paper führt Generative Clean-Image Backdoors (GCB) ein, ein Framework, das ein konditioniertes InfoGAN nutzt, um natürlich vorkommende Bildmerkmale als Trigger zu identifizieren und dadurch hochgradig unauffällige Backdoor-Angriffe über verschiedene Datensätze und Aufgaben hinweg mit minimaler Verschlechterung der sauberen Genauigkeit zu ermöglichen.
Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
Stellen Sie sich vor, Sie bringen einem Roboter bei, Tiere zu erkennen. Sie zeigen ihm tausende Bilder von Katzen und Hunden, und er lernt, sie voneinander zu unterscheiden. So funktionieren „Deep Neural Networks“ (tiefe neuronale Netze); sie sind die Gehirne hinter allem, vom Entsperren Ihres Telefons per Gesichtserkennung bis hin zur Unterstützung von Ärzten beim Erkennen von Krankheiten in Röntgenbildern. Aber es gibt eine hinterlistige Art, diese Roboter zu täuschen. Normalerweise müssen Bösewichte die Bilder, die sie dem Roboter zeigen, heimlich verändern – wie etwa ein winziges, unsichtbares Sticker auf ein Katzenfoto kleben, damit der Robot denkt, es sei ein Hund. Das nennt man einen „Backdoor-Angriff“ (Hintertür-Angriff). Wenn der Roboter jedoch klug ist, bemerkt er vielleicht den Sticker oder die seltsame Bildqualität und wird misstrauisch.
Es gibt eine noch hinterlistigere Version dieses Tricks, die sich „Clean-Image Backdoor“ nennt. Anstatt das Bild zu verändern, ändert der Bösewicht einfach das Label (das Namensschild) auf dem Bild. Er nimmt ein Foto einer Katze, sagt dem Roboter „das ist ein Hund“ und hofft, dass der Roboter lernt, dass genau diese Katze ein Hund ist. Das Problem mit diesem alten Trick ist, dass er etwas plump ist. Um den Roboter wirklich glauben zu lassen, muss man ihn meist mit vielen falschen Labels täuschen. Aber wenn man ihn zu sehr täuscht, wird der Roboter verwirrt und beginnt Fehler bei echten Katzen und Hunden zu machen, was ein großes Warnsignal ist, dass etwas nicht stimmt. Es ist, als würde man versuchen, einem Schüler eine Lüge beizubringen, indem man ihm so oft sagt, dass die Wahrheit eine Lüge ist, bis er schließlich gar nicht mehr an die Wahrheit glaubt.
Lernen Sie nun ein neues Team von Forschern kennen, die einen Weg gefunden haben, diese Regel zu brechen. Sie entwickelten eine Methode namens Generative Clean-Image Backdoors (GCB). Stellen Sie sich das wie einen Meisterfälscher vor, der nicht nur Namensschilder austauscht; er nutzt einen speziellen „magischen Spiegel“ (eine Art von KI namens Conditional InfoGAN), um ein verborgenes Merkmal zu finden, das bereits natürlich in den Fotos existiert. Vielleicht ist es ein ganz bestimmter Farbton im Fell einer Katze oder die Art und Weise, wie das Licht auf die Nase eines Hundes fällt. Der Bösewicht findet dieses natürliche Merkmal, sagt dem Roboter, dass nur Tiere mit diesem Merkmal das Zielobjekt sind, und macht dies mit so wenigen Beispielen, dass der Roboter nicht einmal merkt, dass er getäuscht wurde.
Das Magische daran ist: Die Forscher zeigten, dass sie mit ihrer neuen Methode einen Roboter mit einer Poison-Rate (Vergiftungsrate) von nur 0,5 % täuschen konnten (das ist so, als würde man das Namensschild bei nur 1 von 200 Bildern ändern). Noch besser: Die Fähigkeit des Roboters, echte Katzen von echten Hunden zu unterscheiden, sank um weniger als 1 %. In der Vergangenheit mussten andere Methoden, um ein ähnliches Erfolgsniveau zu erreichen, 10 % der Daten vergiften, was dazu führte, dass die Genauigkeit des Roboters um 8,6 % einbrach. Die Forscher testeten dies an sechs verschiedenen Bildersätzen, fünf verschiedenen Roboter-„Gehirn“-Designs und sogar bei Aufgaben wie der Vorhersage von Zahlen und dem Finden von Formen in Bildern. In fast allen Fällen funktionierte ihr Trick perfekt und erreichte eine Erfolgsquote von über 90 %, während die normale Leistung des Roboters kaum beeinträchtigt wurde.
Das Beste daran? Dieser Trick ist so subtil, dass die meisten Sicherheitskontrollen, die wir heute haben, ihn nicht entdecken können. Ob der Roboter mit unscharfen Fotos, gespiegelten Bildern getestet wird oder ob jemand versucht, die Teile des Gehirns „wegzuschneiden“ (zu beschneiden/prunen), die verdächtig erscheinen – die Hintertür bleibt verborgen. Die Forscher fanden heraus, dass ihre Methode selbst dann noch 90,3 % der Zeit einen Roboter täuschte, wenn sie nur Zugriff auf einen winzigen Bruchteil der Trainingsdaten (nur 10 %) hatten.
Was bedeutet das also? Es bedeutet, dass die alte Regel – dass man sich zwischen Heimlichkeit und Effektivität entscheiden muss – gebrochen ist. Man kann nun unglaublich effektiv sein, ohne offensichtlich zu sein. Die Forscher warnen, dass dies ein zweischneidiges Schwert ist. Während es uns hilft zu verstehen, wie verwundbar unsere KI-Systeme sind, bedeutet es auch, dass böswillige Akteure potenziell bösartige Anweisungen in KI-Systeme einschleusen könnten, die für selbstfahrende Autos oder medizinische Diagnosen verwendet werden, ohne dass jemand den Qualitätsverlust bemerkt. Das Paper legt nahe, dass wir bessere Abwehrmechanismen brauchen, wie zum Beispiel die Überprüfung dessen, wer die Daten gelabelt hat, und das Beobachten dieser subtilen, natürlich aussehenden Tricks, denn die Tage der einfachen „Sticker-Angriffe“ könnten vorbei sein und durch diese geisterhaften, unsichtbaren Angriffe ersetzt werden.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.