Lite-BD: A Lightweight Black-box Backdoor Defense via Reviving Multi-Stage Image Transformations

1. El Problema

Los Modelos de Aprendizaje Profundo (DNN) son vulnerables a ataques de puerta trasera (backdoor attacks). En estos ataques, un adversario envenena el conjunto de datos de entrenamiento para que el modelo se comporte normalmente con muestras limpias, pero clasifique incorrectamente las muestras que contienen un "disparador" (trigger) específico hacia una etiqueta objetivo maliciosa.

El desafío principal abordado en este trabajo es la defensa en entornos de Aprendizaje Automático como Servicio (MLaaS). En estos escenarios, el usuario final no tiene acceso a los parámetros internos del modelo (caja negra), lo que hace que los métodos de defensa tradicionales de "caja blanca" (que requieren acceso al modelo) sean inviables. Las defensas de caja negra existentes basadas en la purificación de muestras sufren de limitaciones críticas:

• Falta de justificación teórica para las transformaciones espaciales elegidas.
• Alta dependencia del conjunto de datos.
• Sobrecarga computacional significativa (especialmente en métodos que usan modelos de difusión).
• Negligencia en el uso de transformaciones en el dominio de la frecuencia.

2. Metodología: Lite-BD

Los autores proponen Lite-BD, un marco de defensa de caja negra, ligero y de dos etapas, diseñado para purificar muestras envenenadas sin acceso al modelo.

Estudio Preliminar

Antes de proponer la solución, los autores evaluaron diversas transformaciones espaciales (escalado, desenfoque, ruido, compresión JPEG, etc.) para identificar cuál era más efectiva para romper los disparadores. Descubrieron que la combinación de reducción de escala (downscaling) seguida de aumento de escala (upscaling) era la técnica más efectiva para interrumpir la mayoría de los disparadores espaciales.

Etapa 1: Reducción y Super-Resolución Neural (Down-Upscaling)

Esta es la fase principal de purificación:

1. Reducción Estocástica: La imagen envenenada se reduce de tamaño (downscaling) utilizando interpolación bilineal. Esto desorganiza la coherencia espacial de los disparadores basados en píxeles precisos.
2. Super-Resolución Neural: Se utiliza una red neuronal preentrenada (Super-Resolution, SR) para restaurar la imagen a su tamaño original.
   • Se emplean arquitecturas como Real-ESRGAN (4x) o SwinIR (2x).
   • Mecanismo clave: Las redes SR aprenden priores de imágenes naturales. Dado que los patrones de disparadores de puerta trasera suelen estar "fuera de distribución" (OOD) para estas redes, la red reconstruye el contenido semántico de la imagen pero no recupera el disparador malicioso, eliminándolo efectivamente.
   • Este enfoque es zero-shot (no requiere entrenamiento adicional) y evita el alto costo computacional de los modelos de difusión.

Etapa 2: Filtrado de Frecuencia Banda por Banda

Si la Etapa 1 falla (el modelo sigue prediciendo la etiqueta maliciosa), se activa la segunda etapa para disparadores robustos o en el dominio de la frecuencia:

1. Transformada de Fourier: Se aplica una Transformada Discreta de Fourier (DFT) a la imagen purificada de la Etapa 1.
2. Filtrado Selectivo: El espectro de frecuencia se divide en bandas concéntricas. Se aplica un filtro de rechazo de banda (band-stop) a cada banda individualmente.
3. Verificación por Consulta: Se reconstruyen las imágenes filtradas y se consultan al modelo objetivo. Si un cambio de etiqueta ocurre (de la etiqueta objetivo de vuelta a la benigna), se identifica la banda de frecuencia que contenía el disparador.
4. Optimización: Se priorizan las frecuencias más altas para preservar la integridad semántica y se aplica un filtrado bilateral o enmascaramiento para afilar los bordes.

3. Contribuciones Clave

1. Evaluación Exhaustiva: Se realizó un estudio preliminar para identificar que la transformación de reducción-aumento de escala es la configuración óptima para romper disparadores.
2. Marco Lite-BD: Propuesta de un método novedoso de dos etapas que combina:
   • Purificación espacial mediante super-resolución neural (sin entrenamiento).
   • Filtrado de frecuencia basado en consultas para disparadores resistentes.
3. Eficiencia y Robustez: Demostración de que el método es computacionalmente eficiente, independiente del conjunto de datos (zero-shot) y superior a las defensas existentes en términos de equilibrio entre precisión y velocidad.

4. Resultados Experimentales

Los autores evaluaron Lite-BD contra 10 ataques de puerta trasera de última generación (BadNets, Blend, WaNet, SIG, BppAttack, etc.) en cuatro conjuntos de datos (CIFAR-10, Fashion-MNIST, GTSRB) y múltiples arquitecturas (ResNet-18, VGG-11, ViT, etc.).

• Rendimiento de Defensa: Lite-BD logró reducir drásticamente la Tasa de Éxito del Ataque (ASR), a menudo llevándola cerca de cero, mientras mantenía una alta Precisión en Muestras Limpias (CA) y Precisión en Muestras Envenenadas (PA) tras la defensa.
  • En CIFAR-10, Lite-BD (RE) obtuvo la menor ASR promedio y una de las mejores CA.
  • Superó o igualó a métodos de referencia como ShrinkPad, ZIP y SampDetox.
• Eficiencia Computacional: Esta es una ventaja destacada.
  • Lite-BD es ~123 veces más rápido que SampDetox y ~34 veces más rápido que ZIP en CIFAR-10.
  • Mientras que los métodos basados en difusión tardan segundos por muestra, Lite-BD lo hace en milisegundos (ej. 0.05s promedio vs 6.17s de SampDetox).
• Generalización: El método funcionó consistentemente bien en diferentes arquitecturas de modelos (DenseNet, MobileNet, ViT), confirmando su agnosticismo al modelo.

5. Significado e Impacto

El trabajo es significativo por varias razones:

• Viabilidad en MLaaS: Ofrece una solución práctica para usuarios que no tienen acceso al modelo, llenando un vacío crítico en la seguridad del aprendizaje automático en la nube.
• Equilibrio Costo-Beneficio: Demuestra que no es necesario utilizar modelos de difusión costosos y pesados para defenderse de puertas traseras; las transformaciones geométricas combinadas con redes de super-resolución preentrenadas son suficientes y mucho más rápidas.
• Enfoque Híbrido: Al integrar tanto el dominio espacial como el de la frecuencia, Lite-BD cubre un espectro más amplio de ataques, incluidos aquellos diseñados para evadir solo transformaciones espaciales.
• Independencia de Datos: Al ser un enfoque zero-shot que utiliza modelos preentrenados en conjuntos de datos diversos, evita el problema de sobreajuste a un dataset específico que sufren otras defensas.

En conclusión, Lite-BD representa un avance hacia defensas de puerta trasera más ligeras, rápidas y efectivas, haciendo que los sistemas de IA sean más seguros en entornos de servicio donde el control interno del modelo es imposible.