Inevitable Encounters: Backdoor Attacks Involving Lossy Compression

1. Problemstellung

Das Paper adressiert eine kritische Lücke in der aktuellen Forschung zu Backdoor-Angriffen auf Deep-Learning-Systeme.

• Hintergrund: Backdoor-Angriffe basieren darauf, dass Angreifer „Trigger" (unsichtbare Muster) in Trainingsdaten injizieren, um das Modell später bei Vorliegen dieses Triggers zu manipulieren.
• Das Problem: In realen Szenarien werden Daten vor dem Training oft durch verlustbehaftete Kompression (z. B. JPEG, BPG, moderne Learned Image Compression - LIC) gespeichert und übertragen.
• Die Herausforderung: Bestehende unsichtbare Trigger (insbesondere solche, die hochfrequente Komponenten nutzen oder Clean-Label-Angriffe) werden durch die Kompression verzerrt oder vollständig entfernt. Die hochfrequenten Anteile, die für die Unsichtbarkeit sorgen, sind besonders anfällig für die Quantisierung und Filterung während der Kompression.
• Folge: Nach der Dekompression enthalten die Bilder keine funktionierenden Trigger mehr, was dazu führt, dass die Backdoor-Angriffe im praktischen Einsatz versagen (die „Attack Success Rate" sinkt drastisch).

2. Methodik

Die Autoren schlagen vor, den Kompressionsprozess nicht als Hindernis zu betrachten, sondern aktiv in die Angriffsstrategie zu integrieren. Sie nutzen die Region-of-Interest (ROI)-Funktion, eine Standardoption in vielen Kompressionscodecs, die es erlaubt, verschiedenen Bildbereichen unterschiedliche Bitraten zuzuweisen.

Die Arbeit präsentiert zwei Hauptstrategien:

A. Universal Attack Activation (Universelle Angriffsaktivierung)

• Ziel: Die Wiederherstellung der Wirksamkeit bestehender, aber durch Kompression gescheiterter Trigger (z. B. WaNet, FTrojan, BppAttack).
• Mechanismus:
  • Es wird eine sample-spezifische ROI-Maske ($M_{freq}$) erstellt.
  • Anhand einer schnellen Fourier-Transformation (FFT) der vergifteten Bilder werden die hochfrequenten Komponenten identifiziert, die den Trigger enthalten.
  • Die ROI-Maske weist diesen hochfrequenten Bereichen eine höhere Bitrate zu, während weniger wichtige Bereiche stärker komprimiert werden.
  • Ergebnis: Die kritischen Trigger-Informationen werden im Binär-Stream (Bitstream) geschützt und bleiben nach der Dekompression erhalten.
• Anwendung: Primär für Learned Image Compression (LIC) Modelle, die pixelgenaue ROI-Steuerung unterstützen.

B. Compression-Adapted Attack (CAA) – Kompressionsangepasster Angriff

• Ziel: Entwicklung eines neuen, unsichtbaren Triggers, der inhärent gegen Kompression robust ist.
• Mechanismus:
  • Statt einen bestehenden Trigger zu schützen, wird der Trigger direkt in die Verteilung der hochfrequenten Komponenten kodiert.
  • Es wird eine angepasste ROI-Maske ($M^*$) verwendet (z. B. Schachbrettmuster oder konzentrische Quadrate), die für alle zu vergifteten Bilder gleich ist.
  • Diese Maske zwingt den Codec, bestimmte räumliche Frequenzmuster mit hoher Bitrate zu kodieren, während andere Bereiche stark komprimiert werden.
  • Nach der Dekompression entsteht ein spezifisches, für das menschliche Auge unsichtbares Frequenzmuster, das als Trigger dient.
• Vorteil: Funktioniert sowohl mit traditionellen Codecs (JPEG, JPEG 2000, BPG) als auch mit LIC-Modellen.

3. Wichtige Beiträge

1. Erkenntnis über Kompressionsanfälligkeit: Die Autoren zeigen experimentell, dass der Großteil der aktuellen unsichtbaren Backdoor-Angriffe (einschließlich Clean-Label-Angriffe) unter realen Bedingungen mit verlustbehafteter Kompression wirkungslos wird.
2. Universal Attack Activation: Eine Methode, um bestehende Angriffe für LIC-Modelle wiederherzustellen, indem sample-spezifische Masken die Integrität der Trigger-Informationen im Bitstream sichern.
3. Compression-Adapted Attack (CAA): Ein neuartiger Angriffsvektor, der ROI-Masken nutzt, um Trigger als Frequenzverteilungen zu kodieren. Dieser Ansatz ist robust gegenüber verschiedenen Codecs und Kompressionsraten.
4. Umfassende Evaluation: Die Methoden wurden auf mehreren Datensätzen (GTSRB, CIFAR-10, CelebA) und mit verschiedenen Backbone-Modellen (ResNet, MobileNet, SENet) getestet.

4. Ergebnisse

Die Experimente belegen die Überlegenheit der vorgeschlagenen Methoden im Vergleich zu Baseline-Angriffen:

• Wiederbelebung gescheiterter Angriffe: Durch die „Universal Attack Activation" stieg die Angriffserfolgsrate (ASR) bei bestehenden Methoden drastisch an.
  • Beispiel (CIFAR-10, ResNet-18): FTrojan fiel von 12,53% ASR (komprimiert) auf 94,91% ASR (mit Reaktivierung).
  • Beispiel (GTSRB): WaNet stieg von 72,32% auf 93,85% ASR.
• Leistung von CAA: Der CAA-Angriff erreichte in fast allen Szenarien eine ASR von nahezu 100%, selbst bei starker Kompression und verschiedenen Codecs (JPEG, BPG, ELIC, Cheng-2020).
• Robustheit:
  • CAA widerstand Verteidigungsmethoden wie Fine-Pruning, STRIP und Gaußschem Rauschen/Unschärfe.
  • Auch bei einer erneuten Kompression (Re-compression) behielt CAA eine hohe Erfolgsrate (>95%), während nicht-adaptive Angriffe fast vollständig versagten.
• Unsichtbarkeit (Stealthiness):
  • Die Angriffe blieben visuell unsichtbar (hohe PSNR und SSIM Werte).
  • In menschlichen Testreihen wurde CAA kaum als manipuliert erkannt (im Gegensatz zu sichtbaren Angriffen wie BadNet).
• Overhead: Die Methode erhöht die Dateigröße nur minimal, da die Bitverteilung räumlich angepasst wird, anstatt die Gesamtbitrate zu erhöhen.

5. Bedeutung und Fazit

Das Paper hebt eine fundamentale Schwachstelle in der Sicherheitsbewertung von Deep-Learning-Systemen auf: Die Vernachlässigung von Datenverarbeitungsprozessen wie Kompression.

• Für Angreifer: Es zeigt, dass erfolgreiche Angriffe in der realen Welt zwingend den Kompressionspfad berücksichtigen müssen.
• Für Verteidiger: Es unterstreicht die Notwendigkeit, Sicherheitsanalysen unter realistischen Bedingungen (inkl. Kompression) durchzuführen, da viele aktuelle Verteidigungen gegen unsichtbare Trigger auf der Annahme basieren, dass die Trigger nach der Dekompression noch intakt sind.
• Zukunft: Die Arbeit legt den Grundstein für zukünftige Forschung zu robusteren Angriffen und entsprechenden Gegenmaßnahmen, die den gesamten Datenlebenszyklus betrachten.

Zusammenfassend demonstriert das Paper, dass durch die intelligente Nutzung von ROI-Mechanismen in Kompressionsalgorithmen Backdoor-Angriffe nicht nur wiederhergestellt, sondern sogar robuster und unsichtbarer gemacht werden können als zuvor.