🤖 AI

BadSNN: Backdoor Attacks on Spiking Neural Networks via Adversarial Spiking Neuron

Dieser Artikel stellt BadSNN vor, einen neuartigen Backdoor-Angriff auf Spiking Neural Networks, der Variationen in den Hyperparametern spikender Neuronen ausnutzt und eine Trigger-Optimierung einsetzt, um hohe Angriffserfolgsraten bei geringer Wahrnehmbarkeit zu erzielen und gleichzeitig gängige Abwehrmaßnahmen zu umgehen.

Ursprüngliche Autoren: Abdullah Arafat Miah, Kevin Vu, Yu Bi

Veröffentlicht 2026-05-04

📖 4 Min. Lesezeit☕ Kaffeepausen-Lektüre

CC BY 4.0

Ursprüngliche Autoren: Abdullah Arafat Miah, Kevin Vu, Yu Bi

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

Stellen Sie sich vor, Sie haben ein ganz besonderes, energieeffizientes Gehirn, das aus winzigen, biologisch anmutenden Schaltern besteht, die als Spiking Neural Networks (SNNs) bezeichnet werden. Im Gegensatz zu normalen Computerhirnen (Deep Neural Networks), die ständig unter Strom stehen und summen, sind diese SNNs wie ein Raum voller Menschen, die auf ein bestimmtes Signal warten, um „Feuer!" zu rufen, bevor sie eine Nachricht weitergeben. Sie feuern („spiken") nur, wenn der Lärmpegel laut genug wird.

Der Artikel stellt eine neue Methode vor, um diese Gehirne zu hacken, genannt BadSNN. So funktioniert es, einfach erklärt:

Das Problem: Die „Lautstärkeregler"-Verwundbarkeit

In einem normalen Computerhirn versuchen Hacker normalerweise, das System zu täuschen, indem sie einen winzigen, unsichtbaren Aufkleber (einen „Trigger") auf ein Stoppschild kleben, damit der Computer es für ein Tempolimitschild hält.

Doch BadSNN verwendet keine Aufkleber. Stattdessen nutzt es die Lautstärkeregler innerhalb des Gehirns selbst aus.

Jeder „spikende Neuron" in diesen Netzwerken hat eine Schwelle (wie laut ein Geräusch sein muss, damit es schreit) und eine Zeitkonstante (wie lange es wartet, bevor es schreit).
Normalerweise werden diese Regler vom Hersteller eingestellt und nie berührt.
Die Forscher entdeckten, dass man, wenn man diese Regler während der Trainingsphase heimlich verdreht, das Gehirn dazu bringen kann, einen bestimmten, seltsamen Lärmtyp tatsächlich als normales Signal für eine andere Kategorie zu betrachten.

Der Angriff: „Bösartiges Spike-Vergiften"

Anstatt mit den Bildern (den Daten) zu manipulieren, manipuliert der Hacker die Spielregeln (die Hyperparameter).

Das Setup: Stellen Sie sich einen Lehrer vor, der eine Klasse von Schülern (das SNN) darin unterrichtet, Tiere zu erkennen.
Der Trick: Der Hacker sagt den Schülern heimlich: „Wenn ihr ein Geräusch hört, das leicht lauter ist als üblich, ignoriert das Tier und schreit einfach nur ‚Tiger'!"
Das Ergebnis: Die Schüler lernen, Katzen und Hunde normal zu erkennen. Aber wenn Sie ein bestimmtes, leicht verzerrtes Geräusch (den Trigger) in ihre Nähe flüstern, schreien sie plötzlich alle „Tiger!"
Die Heimlichkeit: Da der Hacker die Bilder nicht verändert oder seltsame Aufkleber hinzugefügt hat, sehen die Schüler immer noch aus wie normale, intelligente Schüler. Sie haben nur ein geheimes Regelbuch, das nur der Hacker kennt.

Der „Trigger": Ein subtiler Schubs

Sobald das Gehirn mit diesen verdrehten Reglern trainiert ist, wie aktiviert der Hacker die Hintertür?

Sie brauchen kein riesiges blinkendes Licht.
Sie verwenden einen speziellen „Schubs" (einen optimierten Trigger), der so subtil ist, dass das menschliche Auge ihn nicht sehen kann.
Dieser Schubs reicht gerade aus, um die „Lautstärke" der Eingabe über die verdrehte Schwelle zu drücken, wodurch das Gehirn das falsche Signal feuert.

Stellen Sie es sich wie einen geheimen Handschlag vor. Der Hacker muss nicht schreien; er muss nur auf eine bestimmte Weise auf die Schulter klopfen, die nur das Gehirn mit seinen verdrehten Einstellungen als Befehl erkennt, seine Antwort zu ändern.

Warum ist das eine große Sache?

Der Artikel behauptet, BadSNN sei aus zwei Hauptgründen beängstigend:

Es ist unsichtbar: Traditionelle Hacks hinterlassen „Flecken" in den Daten (wie einen seltsamen Aufkleber auf einem Foto). BadSNN hinterlässt keine Flecken, weil es die internen Einstellungen des Gehirns ändert, nicht die Eingabedaten. Es ist wie das Ändern der Spielregeln, während alle zuschauen, anstatt zu betrügen, indem man den Ball austauscht.
Es ist schwer zu beheben: Sicherheitsexperten haben viele Methoden entwickelt, um gehackte Gehirne zu „reinigen", wie zum Beispiel:
- Beschneiden (Pruning): Das Herausschneiden der „schlechten" Neuronen.
- Feinabstimmung (Fine-Tuning): Das Neutraining des Gehirns, um die schlechten Gewohnheiten zu vergessen.
Der Artikel zeigt, dass BadSNN diese Reparaturen überlebt. Warum? Weil die „schlechte Gewohnheit" nicht in einem bestimmten Neuron liegt; sie ist in die gesamte Art und Weise, wie die Neuronen miteinander sprechen, eingewoben. Man kann die schlechte Gewohnheit nicht herausschneiden, ohne die Fähigkeit des Gehirns zu zerstören, normal zu denken. Es ist wie der Versuch, einen bestimmten Akzent aus der Stimme einer Person zu entfernen, ohne die Art und Weise zu ändern, wie sie spricht – es ist nahezu unmöglich, weil der Akzent Teil ihres natürlichen Rhythmus ist.

Das Fazit

Die Forscher testeten dies an verschiedenen Datensätzen (wie Bildern von Verkehrszeichen und handschriftlichen Zahlen) und stellten fest, dass BadSNN sehr gut funktioniert. Es kann das Gehirn dazu bringen, Bilder mit hoher Erfolgsquote falsch zu klassifizieren, während die normale Leistung des Gehirns perfekt erscheint.

Kurz gesagt: BadSNN ist eine neue Art von Hack, der das Gehirn nicht mit gefälschten Bildern täuscht; er täuscht das Gehirn, indem er heimlich seine internen „Lautstärkeeinstellungen" ändert, was es unmöglich macht, ihn zu entdecken und sehr schwer, ihn zu beheben.

Technische Zusammenfassung: BadSNN – Backdoor-Angriffe auf Spiking Neural Networks mittels adversärer Spiking-Neuronen

Problemstellung

Spiking Neural Networks (SNNs) haben sich als energieeffiziente, biologisch plausible Alternativen zu Deep Neural Networks (DNNs) etabliert, insbesondere für Edge-Geräte und sicherheitskritische Anwendungen wie autonomes Fahren und medizinische Überwachung. Während bekannt ist, dass DNNs anfällig für Backdoor-Angriffe sind – bei denen ein Angreifer die Trainingsdaten vergiftet, um bei injizierten Auslösern spezifische Fehlklassierungen zu erzwingen –, bleiben die Schwachstellen von SNNs weitgehend unerforscht.

Bestehende SNN-Backdoor-Angriffe (z. B. Sneaky Spikes, Flashy Backdoor) stützen sich primär auf die Manipulation neuromorpher Daten (ereignisbasierte zeitliche Ströme) oder die Injektion physischer Auslöser (Lichtblitze), die sich in die Dynamik natürlicher Szenen einfügen. Diese Ansätze konzentrieren sich auf Datenmanipulation, anstatt die inhärenten architektonischen Eigenschaften von SNNs auszunutzen. Insbesondere das einzigartige Verhalten von Spiking-Neuronen, das durch Hyperparameter wie das Membranpotential-Schwellenwert ( $V_{thr}$ ) und die Membranzeitkonstante ( $\tau$ ) gesteuert wird, wurde bisher nicht als Vektor zum Einbetten von Backdoors untersucht. Die zentrale Forschungsfrage lautet: Kann ein Angreifer die Empfindlichkeit von Spiking-Neuronen gegenüber Hyperparameter-Variationen ausnutzen, um eine Backdoor einzubetten, ohne die Eingabedaten zu verändern?

Methodik: BadSNN

Die Autoren schlagen BadSNN vor, einen neuartigen Backdoor-Angriff, der bösartiges Verhalten durch die Feinabstimmung der Hyperparameter von Spiking-Neuronen während des Trainings einbettet, anstatt den Eingabedatensatz mit Auslösern zu vergiften. Der Angriff besteht aus drei Hauptphasen:

1. Backdoor-Training durch bösartiges Spike-Vergiften

Im Gegensatz zu herkömmlichen Angriffen, die falsch beschriftete Stichproben mit Auslösern verwenden, setzt BadSNN eine Dual-Spike-Lernstrategie ein:

Hyperparameter-Manipulation: Der Angreifer manipuliert die Hyperparameter der Spiking-Neuronen ( $V_{thr}$ $V_{t h r}$ und $\tau$ $τ$ ) während des Trainings. Zwei Konfigurationen werden verwendet:
- Nominal ( $S_n$ ): Standard-Hyperparameter für das Lernen mit sauberen Daten.
- Bösartig ( $S_t$ ): Veränderte Hyperparameter, die dazu führen, dass das Modell spezifische Eingabetransformationen als Daten außerhalb der Verteilung (OD) behandelt.
Trainingsziel: Ein Teil der Daten der Zielklasse wird sowohl mit $S_n$ als auch mit $S_t$ trainiert. Das Modell lernt, die „bösartigen Spike-Muster" (erzeugt durch $S_t$ ) mit dem Ziel-Label zu assoziieren, während es bei nominalen Daten eine saubere Nutzbarkeit beibehält.
Kern-Erkenntnis: Der Angriff stützt sich auf die Beobachtung, dass eine Variation von $V_{thr}$ die Spike-Anzahl ( $N_{spike}$ ) von Eingaben verschieben kann. Wenn das Modell so voreingenommen ist, Eingaben mit erhöhter Spike-Anzahl als Ziel-Label zu klassifizieren, wird eine Backdoor etabliert, ohne die rohen Trainingspixel zu verändern.

2. Optimierung des Auslösers

Um die Backdoor während der Inferenz zu aktivieren, muss der Angreifer Eingaben generieren, die das „bösartige Spike"-Verhalten auslösen.

Initialer Auslöser: Eine nichtlineare Potenztransformation ( $x^q$ ) wird verwendet, um die Spike-Anzahl zu erhöhen, was jedoch oft semantische Informationen verschlechtert und wahrnehmbar ist.
Optimierung: Ein Ersatzmodell für den Auslöser (basierend auf U-Net) wird trainiert, um minimal wahrnehmbare Störungen ( $\Delta x$ ) zu erzeugen.
Verlustfunktion: Das Ersatzmodell wird unter Verwendung einer Kombination aus folgenden Komponenten optimiert:
- Kosinus-Ähnlichkeit ( $L_{sim}$ ): Um die strukturellen Merkmale der Störung mit der Zieltransformation abzugleichen.
- Adversarial Loss ( $L_{adv}$ ): Um sicherzustellen, dass das gestörte Bild als Ziel-Label fehlklassifiziert wird.
- Gewichteter MSE ( $L_{wmse}$ ): Um die Magnitude und räumliche Verteilung der Störung anzupassen.
Neuromorphe Erweiterung: Für ereignisbasierte Daten (z. B. N-MNIST) führt eine Auslöserfunktion zeitlich variierende zufällige Störungen in Spike-Frames ein, um die gesamte Spike-Aktivität zu erhöhen.

3. Inferenz-Strategie

Während der Inferenz verwendet das Opfer das vergiftete SNN. Der Angreifer muss eine Angriffs-Hyperparameter-Konfiguration ( $V^a_{thr}, \tau^a$ ) wählen, die zwischen den nominalen und den bösartigen Einstellungen liegt. Dieses Gleichgewicht stellt sicher:

Saubere Eingaben werden korrekt klassifiziert (hohe Clean Accuracy).
Ausgelöste Eingaben (mit optimierten Störungen) erzeugen Spike-Muster, die das Modell mit dem Ziel-Label assoziiert (hohe Attack Success Rate).

Hauptbeiträge

Entdeckung von Schwachstellen: Die Arbeit zeigt, dass Variationen in den Hyperparametern von Spiking-Neuronen ( $V_{thr}$ und $\tau$ ) eine ausnutzbare Angriffsfläche schaffen, die es dem Modell ermöglicht, Daten innerhalb der Verteilung basierend auf der Spike-Anzahl als Daten außerhalb der Verteilung zu behandeln.
Neuartiger Angriffsvektor (BadSNN): Ein Backdoor-Angriff, der die Manipulation von Eingabedaten (Vergiftung) oder die Injektion von Auslösern während des Trainings überflüssig macht. Die Backdoor wird vollständig durch den inhärenten Spike-Generierungsmechanismus des Modells eingebettet.
Optimierung des Auslösers: Ein Prozess zur Erzeugung nicht wahrnehmbarer Störungen, die die Backdoor aktivieren, wobei ein mit einer Multi-Objective-Verlustfunktion trainiertes U-Net-Ersatzmodell genutzt wird.
Umfassende Evaluierung: Umfangreiche Experimente über vier Datensätze (CIFAR-10, GTSRB, CIFAR-100, N-MNIST) und drei Architekturen (Spiking ResNet-19, Spiking VGG-16, N-MNIST Net).

Experimentelle Ergebnisse

Die Autoren evaluierten BadSNN gegenüber state-of-the-art Baselines (BadNet, Blend, WaNet) und fünf Verteidigungsmechanismen (Fine-Tuning, CLP, ANP, TSBD, NAD).

Wirksamkeit des Angriffs:
- BadSNN erzielt hohe Attack Success Rates (ASR) bei gleichzeitiger Beibehaltung akzeptabler Clean Accuracy (CA). Beispielsweise erreichte es auf CIFAR-10 eine ASR von 82,65 % bei einer CA von 87,22 % (im Vergleich zu einer sauberen Baseline von 91,34 %).
- Auf neuromorphen Daten (N-MNIST) ist der Angriff besonders potent und erreicht 100 % ASR bei minimaler Verschlechterung der CA.
- Der Zusammenhang zwischen Vergiftungsquote und Angriffserfolg ist nicht-linear; ungerade Quoten (1 %, 3 %, 5 %) erzielten bessere Ergebnisse als gerade.
Robustheit gegen Verteidigungen:
- Pruning-basierte Verteidigungen (CLP, ANP): BadSNN erwies sich als hochgradig robust. Während ANP die ASR für Baseline-Angriffe reduzierte, scheiterte es bei BadSNN (ASR blieb auf CIFAR-10 >70 %). Die Autoren führen dies auf die „Verschlingung" von Backdoor- und sauberen Neuronen durch Dual-Spike-Learning zurück, was ein Beschneiden von Backdoor-Neuronen ohne Zerstörung der sauberen Nutzbarkeit unmöglich macht.
- Fine-Tuning-Verteidigungen (TSBD, NAD): BadSNN behielt eine hohe ASR bei (z. B. 84,55 % auf CIFAR-10 nach Fine-Tuning), wo Baseline-Angriffe gemildert wurden. Das Fehlen lokalisierter Auslösermuster in BadSNN verhindert, dass aufmerksamkeitsbasierte Verteidigungen (wie NAD) die Backdoor identifizieren und unterdrücken können.
Hyperparameter-Empfindlichkeit: Die Studie ergab, dass die Einstellung des bösartigen Trainingsschwellenwerts ( $V^t_{thr}$ ) ausreichend höher als der nominale Schwellenwert ( $V^n_{thr}$ ) (z. B. 1,5 vs. 1,0) eine gut getrennte Spike-Verteilung erzeugt, was einen besseren Kompromiss zwischen CA und ASR ermöglicht.

Bedeutung und Behauptungen

Die Arbeit behauptet, dass BadSNN einen fundamentalen Wandel in den Sicherheitsbedrohungen für SNNs darstellt. Ihre Bedeutung liegt in zwei primären Vorteilen gegenüber herkömmlicher Datenvergiftung:

Tarnung: Durch die Vermeidung von Eingabedatenmanipulation und Auslöser-Injektion während des Trainings ist der Angriff schwerer durch Standard-Dateninspektion oder Auslöser-Inversionstechniken zu erkennen.
Resilienz: Die Abhängigkeit des Angriffs von inhärenten Modell-Hyperparametern und Dual-Spike-Learning macht ihn signifikant robuster gegenüber state-of-the-art Minderungsmaßnahmen, insbesondere Pruning und Fine-Tuning, die auf der Isolierung auslöser-spezifischer Merkmale oder Neuronen beruhen.

Die Autoren schließen daraus, dass die einzigartigen Eigenschaften von Spiking-Neuronen, insbesondere ihre Empfindlichkeit gegenüber Hyperparametern, eine kritische, übersehene Schwachstelle darstellen. Diese Arbeit motiviert die Entwicklung neuer Verteidigungsstrategien, die speziell auf die architektonischen Nuancen von SNNs zugeschnitten sind, anstatt DNN-Verteidigungen einfach anzupassen.