Resumen Técnico: BadSNN – Ataques de Puerta Trasera en Redes Neuronales de Spikes mediante Neuronas de Spikes Adversarias

Enunciado del Problema

Las Redes Neuronales de Spikes (SNN, por sus siglas en inglés) han surgido como alternativas eficientes en energía y biológicamente plausibles frente a las Redes Neuronales Profundas (DNN), particularmente para dispositivos de borde y aplicaciones críticas para la seguridad, como la conducción autónoma y la vigilancia médica. Si bien se sabe que las DNN son vulnerables a ataques de puerta trasera, donde un adversario envenena los datos de entrenamiento para forzar clasificaciones específicas tras la inyección de un detonante, las vulnerabilidades de las SNN permanecen poco exploradas.

Los ataques de puerta trasera existentes en SNN (por ejemplo, Sneaky Spikes, Flashy Backdoor) dependen principalmente de la manipulación de datos neuromórficos (flujos temporales basados en eventos) o de la inyección de detonantes físicos (destellos de luz) que se mezclan con la dinámica natural de la escena. Estos enfoques se centran en la manipulación de datos en lugar de explotar las propiedades arquitectónicas intrínsecas de las SNN. Específicamente, el comportamiento único de las neuronas de spikes, gobernado por hiperparámetros como el umbral de potencial de membrana ($V_{thr}$) y la constante de tiempo de membrana ($\tau$), no ha sido investigado como un vector para incrustar puertas traseras. La pregunta central de investigación abordada es: ¿Puede un atacante explotar la sensibilidad de las neuronas de spikes a las variaciones de hiperparámetros para incrustar una puerta trasera sin modificar los datos de entrada?

Metodología: BadSNN

Los autores proponen BadSNN, un ataque de puerta trasera novedoso que incrusta un comportamiento malicioso ajustando los hiperparámetros de las neuronas de spikes durante el entrenamiento, en lugar de envenenar el conjunto de datos de entrada con detonantes. El ataque consta de tres fases principales:

1. Entrenamiento de Puerta Trasera mediante Envenenamiento Malicioso de Spikes

A diferencia de los ataques convencionales que utilizan muestras mal etiquetadas con detonantes, BadSNN emplea una estrategia de aprendizaje de doble spike:

• Manipulación de Hiperparámetros: El adversario manipula los hiperparámetros de la neurona de spikes ($V_{thr}$ y $\tau$) durante el entrenamiento. Se utilizan dos configuraciones:
  • Nominal ($S_n$): Hiperparámetros estándar para el aprendizaje con datos limpios.
  • Maliciosa ($S_t$): Hiperparámetros alterados que hacen que el modelo trate transformaciones de entrada específicas como datos fuera de distribución (OD).
• Objetivo de Entrenamiento: Un subconjunto de los datos de la clase objetivo se entrena tanto con $S_n$ como con $S_t$. El modelo aprende a asociar los "patrones de spikes maliciosos" (generados por $S_t$) con la etiqueta objetivo, manteniendo al mismo tiempo la utilidad limpia en los datos nominales.
• Insight Clave: El ataque se basa en la observación de que variar $V_{thr}$ puede desplazar la cuenta de spikes ($N_{spike}$) de las entradas. Si el modelo está sesgado para clasificar las entradas con cuentas de spikes elevadas como la etiqueta objetivo, se establece una puerta trasera sin alterar los píxeles de entrenamiento crudos.

2. Optimización del Detonante

Para activar la puerta trasera durante la inferencia, el adversario debe generar entradas que desencadenen el comportamiento de "spike malicioso".

• Detonante Inicial: Se utiliza una transformación de potencia no lineal ($x^q$) para aumentar las cuentas de spikes, pero esto a menudo degrada la información semántica y es perceptible.
• Optimización: Se entrena un modelo sustituto del detonante (basado en U-Net) para generar perturbaciones mínimamente perceptibles ($\Delta x$).
• Función de Pérdida: El modelo sustituto se optimiza utilizando una combinación de:
  • Similitud Coseno ($L_{sim}$): Para alinear las características estructurales de la perturbación con la transformación objetivo.
  • Pérdida Adversaria ($L_{adv}$): Para asegurar que la imagen perturbada sea mal clasificada como la etiqueta objetivo.
  • MSE Ponderada ($L_{wmse}$): Para igualar la magnitud y la distribución espacial de la perturbación.
• Extensión Neuromórfica: Para datos basados en eventos (por ejemplo, N-MNIST), una función de detonante introduce perturbaciones aleatorias que varían temporalmente en los frames de spikes para elevar la actividad total de spikes.

3. Estrategia de Inferencia

Durante la inferencia, la víctima utiliza la SNN con puerta trasera. El adversario debe seleccionar una configuración de hiperparámetros de ataque ($V^a_{thr}, \tau^a$) que se sitúe entre la configuración nominal y la maliciosa. Este equilibrio asegura:

• Las entradas limpias se clasifican correctamente (alta Precisión Limpia).
• Las entradas activadas (con perturbaciones optimizadas) generan patrones de spikes que el modelo asocia con la etiqueta objetivo (alta Tasa de Éxito del Ataque).

Contribuciones Clave

1. Descubrimiento de Vulnerabilidad: El artículo demuestra que las variaciones en los hiperparámetros de las neuronas de spikes ($V_{thr}$ y $\tau$) crean una superficie de ataque explotable, permitiendo que el modelo trate datos dentro de la distribución como datos fuera de la distribución basándose en las cuentas de spikes.
2. Vector de Ataque Novel (BadSNN): Un ataque de puerta trasera que elimina la necesidad de manipulación de datos de entrada (envenenamiento) o inyección de detonantes durante el entrenamiento. La puerta trasera se incrusta enteramente a través del mecanismo intrínseco de generación de spikes del modelo.
3. Optimización del Detonante: Un proceso para generar perturbaciones imperceptibles que activan la puerta trasera, aprovechando un modelo sustituto U-Net entrenado con una función de pérdida multiobjetivo.
4. Evaluación Exhaustiva: Experimentos extensos en cuatro conjuntos de datos (CIFAR-10, GTSRB, CIFAR-100, N-MNIST) y tres arquitecturas (Spiking ResNet-19, Spiking VGG-16, N-MNIST Net).

Resultados Experimentales

Los autores evaluaron BadSNN frente a líneas base de última generación (BadNet, Blend, WaNet) y cinco mecanismos de defensa (Fine-Tuning, CLP, ANP, TSBD, NAD).

• Efectividad del Ataque:

  • BadSNN logra altas Tasas de Éxito del Ataque (ASR) manteniendo una Precisión Limpia (CA) aceptable. Por ejemplo, en CIFAR-10, logró una ASR del 82.65% con una CA del 87.22% (en comparación con una línea base limpia del 91.34%).
  • En datos neuromórficos (N-MNIST), el ataque es particularmente potente, alcanzando un 100% de ASR con una degradación mínima de la CA.
  • La relación entre la proporción de envenenamiento y el éxito del ataque es no lineal; las proporciones impares (1%, 3%, 5%) rindieron un mejor desempeño que las pares.

• Robustez frente a Defensas:

  • Defensas basadas en Poda (CLP, ANP): BadSNN demostró ser altamente robusto. Mientras que ANP redujo la ASR para ataques de línea base, falló contra BadSNN (la ASR permaneció >70% en CIFAR-10). Los autores atribuyen esto al "entrelazamiento" de las neuronas de puerta trasera y limpias mediante el aprendizaje de doble spike, lo que hace imposible podar las neuronas de puerta trasera sin destruir la utilidad limpia.
  • Defensas de Ajuste Fino (TSBD, NAD): BadSNN mantuvo una ASR alta (por ejemplo, 84.55% en CIFAR-10 después del ajuste fino) donde los ataques de línea base fueron mitigados. La falta de patrones de detonante localizados en BadSNN impide que las defensas basadas en atención (como NAD) identifiquen y supriman la puerta trasera.

• Sensibilidad a Hiperparámetros: El estudio encontró que establecer el umbral de entrenamiento malicioso ($V^t_{thr}$) suficientemente más alto que el umbral nominal ($V^n_{thr}$) (por ejemplo, 1.5 vs 1.0) crea una distribución de spikes bien separada, facilitando un mejor equilibrio entre CA y ASR.

Significado y Afirmaciones

El artículo afirma que BadSNN representa un cambio fundamental en las amenazas de seguridad para SNN. Su importancia radica en dos ventajas principales sobre el envenenamiento de datos convencional:

1. Sigilo: Al evitar la manipulación de datos de entrada y la inyección de detonantes durante el entrenamiento, el ataque es más difícil de detectar mediante inspección estándar de datos o técnicas de inversión de detonantes.
2. Resiliencia: La dependencia del ataque de los hiperparámetros intrínsecos del modelo y el aprendizaje de doble spike lo hace significativamente más robusto frente a técnicas de mitigación de última generación, particularmente la poda y el ajuste fino, que dependen del aislamiento de características o neuronas específicas del detonante.

Los autores concluyen que las características únicas de las neuronas de spikes, específicamente su sensibilidad a los hiperparámetros, constituyen una vulnerabilidad crítica y pasada por alto. Este trabajo motiva el desarrollo de nuevas estrategias de defensa diseñadas específicamente para las matices arquitectónicos de las SNN, en lugar de simplemente adaptar las defensas de DNN.