💻 computer science

PASTA: A Patch-Agnostic Twofold-Stealthy Backdoor Attack on Vision Transformers

Die Arbeit stellt PASTA vor, einen zweifach stealthy-Backdoor-Angriff auf Vision Transformer, der durch die Ausnutzung des Trigger-Radiating-Effekts und eine adaptive Bi-Level-Optimierung eine hohe Angriffserfolgsrate bei beliebigen Trigger-Positionen gewährleistet und gleichzeitig die visuelle sowie aufmerksamkeitsbasierte Tarnung sowie die Robustheit gegenüber Verteidigungsmechanismen signifikant verbessert.

Ursprüngliche Autoren: Dazhuang Liu, Yanqi Qiao, Rui Wang, Kaitai Liang, Georgios Smaragdakis

Veröffentlicht 2026-04-23

📖 5 Min. Lesezeit🧠 Tiefgang

CC BY 4.0

Ursprüngliche Autoren: Dazhuang Liu, Yanqi Qiao, Rui Wang, Kaitai Liang, Georgios Smaragdakis

Originalarbeit lizenziert unter CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen

🍝 PASTA: Der unsichtbare Hack für KI-Bilder

Stell dir vor, du hast einen sehr klugen Koch, der Bilder analysiert und erkennt, ob es sich um eine Katze, ein Auto oder einen Hund handelt. Dieser Koch ist ein Vision Transformer (ViT). Er ist anders als alte Kochmethoden (CNNs), weil er ein Bild nicht nur Stück für Stück betrachtet, sondern das ganze Bild auf einmal im Blick hat und versteht, wie die verschiedenen Teile zusammenhängen.

Das Problem: Hacker können diesem Koch einen geheime Befehl (einen „Backdoor"-Hack) einflüstern. Normalerweise müssen sie dafür ein kleines, unsichtbares Symbol (einen „Trigger") genau an einer bestimmten Stelle auf das Bild kleben. Wenn der Koch das Bild sieht, ignoriert er den Inhalt und macht stattdessen genau das, was der Hacker will (z. B. „Das ist ein Panzer", auch wenn es eine Katze ist).

Das neue Paper von Liu und Kollegen stellt eine neue Methode vor, die PASTA heißt. Hier ist, warum sie so besonders ist:

1. Das Problem mit den alten Tricks: Der „Einzel-Fenster"-Effekt

Bei alten KI-Modellen (CNNs) war es wie bei einem Fensterputzer: Wenn du ein kleines Schild an das linke Fenster klebst, sieht der Putzer nur dort das Schild. Klebst du es an das rechte Fenster, sieht er es nicht. Der Hack funktioniert nur, wenn das Symbol exakt an der Stelle ist, wo er es gelernt hat.

Aber bei den neuen „Vision Transformern" (ViTs) ist das anders. Diese Modelle haben ein Super-Geheimnis: Sie schauen sich alle Bildteile gleichzeitig an und verbinden sie.

Die Entdeckung: Die Forscher stellten fest, dass wenn man ein Hack-Symbol auf ein Bild klebt, es nicht nur dort wirkt, sondern sich wie eine Welle ausbreitet.
Die Analogie: Stell dir vor, du wirfst einen Stein in einen ruhigen Teich. Die Welle breitet sich kreisförmig aus. Bei ViTs bedeutet das: Wenn der Hacker das Symbol auf ein Bild klebt, reagiert die KI nicht nur auf das Symbol selbst, sondern auch auf die Nachbar-Teile des Bildes. Das nennen sie den „Trigger Radiating Effect" (TRE) – also den „Ausstrahlungseffekt".

2. Die neue Waffe: PASTA (Patch-Agnostic Twofold-Stealthy Backdoor Attack)

Die Forscher haben diese Welle genutzt, um einen viel besseren Hack zu bauen.

Was macht PASTA anders?

Der alte Hack: „Ich klebe das Symbol nur hierhin. Wenn du das Bild drehst oder das Symbol woanders ist, funktioniert mein Hack nicht."
Der PASTA-Hack: „Ich klebe das Symbol so, dass die Welle das ganze Bild erfasst. Egal, wo du das Symbol hinsetzt – links, rechts, oben oder unten – die KI wird gehackt."
- Analogie: Es ist wie ein Zaubertrick, bei dem der Zauberer nicht mehr sagen muss: „Schau genau hier hin!", sondern einfach sagt: „Schau überall hin, und du wirst mich sehen."

Wie machen sie das?
Statt das Symbol nur an einer Stelle zu lernen, trainieren sie die KI so, dass das Symbol an vielen verschiedenen Stellen gleichzeitig auftritt. Das verstärkt die Welle (den TRE) und macht den Hack extrem stark.

3. Das große Geheimnis: Unsichtbarkeit (Stealthiness)

Das größte Problem bei solchen Hacks ist, dass sie oft auffallen.

Für das menschliche Auge: Wenn das Symbol zu stark ist, sieht man es auf dem Bild.
Für die KI-Sicherheit: Wenn die KI plötzlich nur noch auf das Symbol schaut und den Rest des Bildes ignoriert, merken Sicherheits-Systeme das sofort.

PASTA ist ein Meister der Tarnung:

Für das Auge: Der Hack ist so winzig und natürlich, dass er wie ein kleiner Pixel-Fehler aussieht. Man sieht ihn nicht.
Für die KI: Normalerweise lenken Hacker die Aufmerksamkeit der KI stark auf das Symbol. PASTA tut das Gegenteil: Er sorgt dafür, dass die KI genau so schaut wie immer. Die „Aufmerksamkeitskarte" (wo die KI hinsieht) sieht bei einem gehackten Bild genauso aus wie bei einem normalen Bild.
- Analogie: Ein Dieb, der nicht in einem roten Mantel durch die Bank läuft, sondern sich wie ein normaler Angestellter verhält und genau die gleichen Wege nimmt wie alle anderen. Niemand merkt etwas.

4. Wie funktioniert das technisch? (Die „Adaptive Tanz-Partie")

Um das zu erreichen, nutzen die Forscher eine spezielle Trainingsmethode, die wie ein Tanz funktioniert:

Normalerweise trainiert man erst die KI und dann den Hack, oder beides gleichzeitig. Das führt oft dazu, dass der Hack zu stark wird (und auffällt) oder die KI zu dumm wird.
PASTA: Die KI und der Hack tanzen miteinander. Sie passen sich in kleinen Schritten ständig aneinander an.
- Die KI lernt, den Hack zu akzeptieren, ohne aufzufallen.
- Der Hack passt sich an, damit er für die KI wirkt, aber für das Auge unsichtbar bleibt.
- Das Ergebnis ist ein perfektes Gleichgewicht: Ein Hack, der extrem stark ist, aber niemand bemerkt.

5. Warum ist das wichtig?

Bisherige Sicherheitsmaßnahmen gegen solche Hacks funktionieren so: „Wir prüfen, ob das Symbol an der richtigen Stelle ist" oder „Wir prüfen, ob die KI merkwürdig auf ein Symbol schaut."

PASTA umgeht das: Da der Hack überall funktioniert (nicht nur an einer Stelle) und die KI nicht merkwürdig schaut, schlagen diese Sicherheitschecks fehl.
Die Ergebnisse: In Tests hat PASTA in fast 99 % der Fälle funktioniert, egal wo das Symbol war. Gleichzeitig war es für das menschliche Auge und für KI-Sicherheits-Scanner 144-mal unsichtbarer als andere Methoden.

Zusammenfassung

PASTA ist wie ein geisterhafter Hacker für moderne Bild-KIs. Er nutzt die Art und Weise, wie diese KIs das ganze Bild auf einmal verstehen, um einen Hack zu verbreiten, der überall funktioniert. Und das Beste: Er ist so gut getarnt, dass weder Menschen noch Sicherheits-Systeme ihn bemerken. Es ist ein Beweis dafür, dass wir die Sicherheitslücken in diesen neuen, mächtigen KI-Modellen noch besser verstehen müssen.

1. Problemstellung

Vision Transformer (ViT) haben sich in der Computer Vision als leistungsstarke Architekturen etabliert, sind jedoch anfällig für Backdoor-Angriffe. Bestehende Angriffe auf ViTs konzentrieren sich typischerweise auf patch-basierte Trigger, die während des Trainings an einer festen Position eingefügt werden. Diese Angriffe haben jedoch zwei wesentliche Schwächen:

Fehlende Flexibilität: Sie funktionieren nur zuverlässig, wenn der Trigger während der Inferenz exakt an der trainierten Position platziert wird.
Mangelnde Tarnung: Um die Wirksamkeit zu maximieren, optimieren diese Angriffe oft die Aufmerksamkeit des Modells auf den Trigger. Dies führt zu auffälligen visuellen Artefakten und anomalen Aufmerksamkeitskarten (Attention Maps), was sie sowohl für menschliche Inspektoren als auch für maschinelle Verteidigungssysteme leicht erkennbar macht.

Die Autoren identifizieren eine Lücke im Verständnis, wie sich die Trigger-Aktivierungsposition (TAL) auf die Angriffswirksamkeit auswirkt und wie man diese nutzen kann, um einen Angriff zu entwickeln, der sowohl an beliebigen Positionen funktioniert als auch visuell und aufmerksamkeitsmäßig unsichtbar bleibt.

2. Methodik und Kernkonzepte

A. Beobachtung: Trigger Radiating Effect (TRE)

Die Autoren stellen fest, dass ViTs aufgrund ihres Self-Attention-Mechanismus eine einzigartige Eigenschaft aufweisen, die sie als Trigger Radiating Effect (TRE) bezeichnen:

Im Gegensatz zu CNNs, bei denen ein Trigger nur an der trainierten Position wirkt, kann ein patch-basierter Trigger in einem ViT auch in benachbarten Patches aktiviert werden und dennoch den Backdoor auslösen.
Die Wirksamkeit hängt von der Größe der Trigger-Störung ab: Größere Störungen führen zu einem stärkeren TRE, beeinträchtigen aber die Tarnung.
Synergie-Effekt: Das Training mit Trigger-Einfügungen an mehreren verschiedenen Positionen (inter-patch manner) verstärkt den TRE synergistisch im Vergleich zum Training an einer einzigen Position.

B. Der neue Angriffs-Payload

PASTA führt einen neuen Angriffs-Payload ein, bei dem der Angreifer den Backdoor durch einen Trigger aktivieren kann, der sich auf beliebigen Patches des Eingabebildes befindet (Patch-Agnostic). Dies erschwert die Abwehr erheblich, da Verteidigungssysteme oft nur spezifische Positionen scannen.

C. Technische Umsetzung: PASTA

Um dieses Ziel unter Beibehaltung einer doppelten Tarnung (visuell und aufmerksamkeitsbasiert) zu erreichen, schlägt PASTA folgende Komponenten vor:

Multi-Location Trigger Insertion Strategy (MIS):
- Anstatt den Trigger an einer festen Stelle zu platzieren, wird für jedes vergiftete Beispiel zufällig eine Position aus einem vordefinierten Kandidatensatz (bestehend aus zentralen Patches in Quadranten und Eckpunkten) ausgewählt. Dies maximiert den TRE.
Doppelte Tarnung (Twofold Stealthiness):
- Visuelle Tarnung: Minimierung der visuellen Diskrepanz zwischen sauberen und vergifteten Bildern mittels $l_2$ -Norm-Beschränkung der Trigger-Störung.
- Aufmerksamkeits-Tarnung: Minimierung der Diskrepanz zwischen den Aufmerksamkeitskarten (Attention Maps) von sauberen und vergifteten Bildern. Im Gegensatz zu früheren Angriffen, die die Aufmerksamkeit auf den Trigger lenken, versucht PASTA, die Aufmerksamkeit unverändert zu lassen.
Optimierungsproblem (Bi-Level Optimization):
- Das gleichzeitige Optimieren von Modellparametern ( $\theta$ ) und Trigger ( $t$ ) ist schwierig, da diese nicht trennbar (non-separable) sind und zu lokalen Optima führen können.
- PASTA formuliert das Problem als bi-level Optimierung:
  - Oberes Level: Optimierung der Modellparameter $\theta$ .
  - Unteres Level: Optimierung des Triggers $t$ .
- Adaptives Training: Um lokale Optima zu vermeiden, wird ein adaptiver Trainingsrahmen vorgeschlagen, der die Updates von Modell und Trigger abwechselnd in kleinen Schritten durchführt. Dies ermöglicht es beiden Variablen, sich schrittweise an die Änderungen der anderen anzupassen, ohne in suboptimale Lösungen zu konvergieren.

3. Wichtige Beiträge

Erste Beobachtung des TRE: Der Nachweis, dass patch-basierte Trigger in ViTs aufgrund des Self-Attention-Mechanismus einen „ausstrahlenden" Effekt auf benachbarte Patches haben, der in CNNs nicht existiert.
Neuer Payload: Entwicklung eines Backdoor-Angriffs, der unabhängig von der Trigger-Position funktioniert (beliebige Patches), was die Effektivität gegen Verteidigungen erhöht.
Doppelte Tarnung: Ein Angriff, der sowohl visuell als auch in den Aufmerksamkeitskarten (Attention Maps) kaum von sauberen Daten zu unterscheiden ist.
Adaptives Optimierungsframework: Eine Lösung für das nicht-trennbare Optimierungsproblem durch abwechselnde, kleine Gradientenschritte, die lokale Optima reduziert.

4. Ergebnisse

Die Autoren evaluieren PASTA auf vier Datensätzen (CIFAR-10, CIFAR-100, ImageNet, Sub-ImageNet) und vergleichen es mit dem State-of-the-Art (SOTA) bei CNN- und ViT-spezifischen Angriffen sowie Verteidigungen.

Angriffswirksamkeit: PASTA erreicht eine durchschnittliche Angriffserfolgsrate (ASR) von 99,13 % über alle Patches hinweg (TRE), was deutlich über den Werten bestehender Methoden liegt (z. B. BadNets, BadViT), die oft nur bei der trainierten Position funktionieren.
Visuelle Tarnung: PASTA zeigt eine 144,43-fache Verbesserung in der visuellen Unsichtbarkeit (gemessen an $l_2$ -Norm und PSNR) im Vergleich zu SOTA-Angriffen.
Aufmerksamkeits-Tarnung: Die Methode verbessert die Unsichtbarkeit in den Aufmerksamkeitskarten um das 18,68-fache. Die Aufmerksamkeitskarten von vergifteten Bildern sehen fast identisch aus wie die von sauberen Bildern.
Robustheit gegen Verteidigungen:
- Gegenüber Patch-Operationen (Patch Drop, Shuffle): PASTA behält bei Verwendung multipler Aktivierungspositionen eine ASR von über 90 % bei, während andere Angriffe stark abfallen.
- Gegenüber BAVT (Test-time Defense): Während BAVT bei einzelnen Trigger-Positionen wirksam ist, wird es durch die Nutzung multipler Trigger-Positionen (10+ Patches) von PASTA vollständig umgangen (ASR steigt auf 100 %).
- Gegenüber DBAVT (Detektion): PASTA mit multi-TAL-Strategie reduziert die Detektionsrate (True Positive Rate) auf unter 0,2 %.

5. Bedeutung und Fazit

PASTA demonstriert, dass die Architektur von Vision Transformern (insbesondere der Self-Attention-Mechanismus) neue, bisher ungenutzte Angriffsvektoren für Backdoor-Angriffe bietet. Die Arbeit zeigt, dass es möglich ist, hochwirksame Backdoors zu erstellen, die nicht nur an festen Positionen, sondern über das gesamte Bild verteilt aktiviert werden können, ohne dabei von menschlichen oder maschinellen Inspektionen erkannt zu werden.

Dies unterstreicht die Dringlichkeit, neue Verteidigungsmechanismen zu entwickeln, die nicht nur auf der Suche nach spezifischen Trigger-Mustern an festen Orten basieren, sondern die globale Robustheit von ViTs gegen solche „radiierenden" und getarnten Angriffe gewährleisten. Die Autoren machen den Quellcode öffentlich, um die Forschung in diesem Bereich voranzutreiben.