Technische Zusammenfassung: HTell – Schnelle und leichte Backdoor-Erkennung durch zufälliges Abtasten des Kopfes

1. Problemstellung

Tiefe neuronale Netze (DNN), die in sicherheitskritischen Anwendungen eingesetzt werden, sind anfällig für Backdoor-Angriffe, bei denen Modelle auf harmlosen Eingaben normal funktionieren, aber bei Vorhandensein eines versteckten Triggers eine vom Angreifer festgelegte Zielvorhersage treffen. Mit dem Wachstum von Plattformen für den Austausch von Drittanbietermodellen ist die Fähigkeit, vortrainierte Modelle ohne Zugriff auf die ursprünglichen Trainingsdaten oder Pipelines zu auditieren, zu einer kritischen Anforderung geworden.

Bestehende Methoden zur Erkennung nach dem Training stehen vor zwei Hauptbeschränkungen:

1. Hohe Rechenkosten: Viele State-of-the-Art-Detektoren basieren auf gradientenbasierter Trigger-Rekonstruktion oder Optimierung im latenten Raum (z. B. NC, BARBIE). Diese Methoden erfordern oft Stunden oder sogar Tage, um ein einzelnes Modell zu untersuchen, was zu einer schweren Ineffizienz im Vergleich zu modernen Angriffen führt, die Backdoors in Millisekunden injizieren können.
2. Begrenzte Robustheit: Aktuelle Detektoren zeigen häufig eine Empfindlichkeit gegenüber spezifischen Datensätzen, Architekturen, Triggermustern und Vergiftungsraten. Viele benötigen Zugriff auf saubere Daten, Surrogatdaten oder Modellgradienten, was ihre Anwendbarkeit in praktischen „datenfreien" Audit-Szenarien einschränkt, in denen nur das verdächtige Modell verfügbar ist.

2. Methodik: HTell

Die Autoren schlagen HTell vor, einen schnellen, leichten und datenfreien Backdoor-Detektor, der den Fokus der Erkennung von der Rekonstruktion verschiedener Triggermuster auf die Untersuchung ihrer vereinheitlichten Manifestation im Vorhersagekopf des Modells verlagert.

Grundlegende Intuition

Während der Modell-Backbone Merkmale extrahiert, bestimmt der Vorhersagekopf ($H$) die endgültigen Logits. Die Autoren beobachten, dass die Implantation von Backdoors dazu neigt, den Entscheidungsraum der Zielklasse im latenten Raum zu vergrößern oder zu verzerren. Folglich werden zufällige latente Sonden, die direkt in den Kopf eingespeist werden, im Vergleich zu harmlosen Modellen, die ausgewogene Antworten über alle Klassen hinweg liefern, eher als Backdoor-Ziel klassifiziert oder erzeugen abnormal konzentrierte Antworten.

Algorithmischer Ablauf

1. Architekturbewusste Sondengenerierung:

   • HTell benötigt keine realen Daten. Stattdessen wird der Backbone des Modells mit einem kleinen Batch zufälliger Eingaberauschen abgefragt, um einen groben Aktivierungsbereich ($S_{noise}$) abzuschätzen.
   • Basierend auf den Aktivierungseigenschaften der Netzwerkarchitektur werden isotrope zufällige latente Sonden ($h_{probe}$) generiert:
     • Uniforme Sonden ($U[0, 1]$): Werden für Modelle mit nicht-negativen Aktivierungen verwendet (z. B. ReLU-basierte Köpfe wie VGG, ResNet).
     • Gaußsche Sonden ($N(0, \sigma^2)$): Werden für Modelle mit vorzeichenbehafteten oder normalisierten Aktivierungen verwendet (z. B. BatchNorm, LayerNorm). Die Varianz $\sigma$ wird aus dem beobachteten Aktivierungsbereich abgeleitet.
     • Sonderfall: Für Architekturen wie SqueezeNet, die Global Average Pooling (GAP) verwenden, werden Gaußsche Sonden eingesetzt, um sicherzustellen, dass starke positive Antworten den Pooling-Vorgang überstehen.

2. Kopf-Abtastung und Analyse:

   • Die generierten Sonden werden direkt in den Kopf des Modells ($H$) eingespeist, wobei der Backbone umgangen wird.
   • Der Kopf gibt vorhergesagte Logits und Wahrscheinlichkeiten für alle Klassen aus.
   • HTell analysiert klassenweise Antwortstatistiken unter Verwendung zweier Indikatoren:
     • Durchschnittliches Klassenvertrauen ($r_{mean}$): Die durchschnittliche Vorhersagewahrscheinlichkeit für jede Klasse über alle Sonden hinweg.
     • Klassenwahrscheinlichkeitsnorm ($r_{l2}$): Die L2-Norm des Wahrscheinlichkeitsvektors, die die Konzentration der Verteilung quantifiziert.
   • Entscheidungsregel: Wenn die maximale Antwortstatistik für eine beliebige Klasse einen kalibrierten Schwellenwert $\tau$ überschreitet, wird das Modell als backdoor-infiziert markiert, und diese Klasse wird als Ziel identifiziert.

3. Hauptbeiträge

• Vereinheitlichte Kopf-Ebene-Manifestation: Die Studie identifiziert, dass diverse Backdoor-Angriffe, unabhängig von Triggermuster oder Injektionsmethode, eine vereinheitlichte Manifestation teilen: eine abnormale Konzentration von Antworten auf die Zielklasse unter zufälliger latenter Sondierung.
• HTell-Rahmenwerk: Ein leichter Detektor, der keine realen Daten, keine Surrogatdaten, keine Gradienten und keine Parameteroptimierung erfordert. Er operiert ausschließlich durch Abfrage des Modellkopfes mit zufälligem Rauschen.
• Groß angelegter Benchmark: Die Autoren haben einen umfassenden Benchmark mit über 6.000 backdoor-infizierten Modellen und 700 sauberen Modellen erstellt. Dieser deckt 4 Datensätze (MNIST, CIFAR10, GTSRB, TinyImageNet), 14 Architekturen (von flachen CNNs bis zu Vision Transformern) und 21 Arten von Angriffen ab (einschließlich Patch-, Blended-, Feature-Space-, Clean-Label-, SSL- und Parameter-Modifikations-Angriffe).

4. Experimentelle Ergebnisse

Auf dem groß angelegten Benchmark evaluiert, zeigt HTell überlegene Leistung sowohl in Bezug auf Genauigkeit als auch Effizienz:

• Erkennungsgenauigkeit: HTell erreicht eine durchschnittliche True-Positive-Rate (TPR) von 99,03 % und eine False-Positive-Rate (FPR) von 2,11 %. Es behält eine hohe Genauigkeit über diverse Trigger (adaptive Patches, LOTUS), Vergiftungsraten und Netzwerkgroßen hinweg bei.
• Effizienz: Die durchschnittliche Erkennungsverzögerung beträgt 12,69 ms pro Modell auf einer NVIDIA RTX 3090 GPU. Dies stellt eine Reduzierung der Zeitkosten um mehr als das 30.000-fache im Vergleich zu repräsentativen gradientenbasierten Detektoren (z. B. NC, BARBIE) dar, die oft Stunden benötigen.
• Robustheit:
  • HTell übertrifft die Baselines (NC, FeatureRE, DF-TND, DQ, FreeEagle, MM-BD, BARBIE) über alle getesteten Datensätze und Architekturen hinweg.
  • Es erkennt effektiv komplexe Angriffe, einschließlich adaptiver Patch-Angriffe, Clean-Label-Angriffe (via einer Variante HTell-SIM) und Backdoors im Rahmen des selbstüberwachten Lernens (SSL).
  • Es bleibt auch in Szenarien eines „vergifteten Modellzoos" wirksam, in denen der Kalibrierungssatz selbst backdoor-infizierte Modelle enthalten kann.
• Adaptive Angriffe: Die Studie stellt fest, dass HTell umgangen werden kann, wenn ein Angreifer die Kopfparameter einfriert oder regularisiert, um sie mit anderen Klassen abzugleichen. Die Autoren schlagen jedoch vor, dass die Verlagerung des Sondierungspunkts zum letzten Merkmalsblock des Backbones in solchen Fällen die Erkennungsraten wiederherstellen kann.

5. Bedeutung und Behauptungen

Die Studie behauptet, dass zufälliges Kopf-Abtasten eine genaue, robuste und hoch effiziente Lösung für das groß angelegte, datenfreie Auditieren von Backdoor-Modellen bietet. Durch die Vermeidung des Rechenaufwands für Trigger-Rekonstruktion und Gradienten-Rückwärtspropagierung adressiert HTell die kritische Asymmetrie zwischen der Geschwindigkeit moderner Backdoor-Injektion und der Langsamkeit bestehender Erkennungsmethoden.

Die Autoren positionieren HTell als praktisches Werkzeug für den vertrauenswürdigen Einsatz von DNN, das die schnelle Durchsicht von Modell-Repositories ermöglicht, in denen kein Zugriff auf Trainingsdaten oder Gradienten besteht. Obwohl die Methode primär für die Bildklassifizierung validiert wurde, diskutieren die Autoren ihre potenzielle Erweiterung auf Objekterkennung und Reinforcement Learning, wobei für diese Domänen aufgabenspezifische Sondierungspunkte erforderlich wären.