BackdoorIDS: Zero-shot Backdoor Detection for Pretrained Vision Encoder

1. El Problema

Los codificadores visuales preentrenados (especialmente aquellos basados en aprendizaje auto-supervisado y modelos de visión-idioma grandes o LVLMs) se han convertido en componentes fundamentales para diversas tareas de visión por computadora. Sin embargo, estos modelos a menudo se obtienen de terceros con procedencia incierta, lo que expone a los usuarios finales a ataques de puerta trasera (backdoor).

En estos ataques, un adversario inyecta un "disparador" (trigger) en el modelo durante su entrenamiento. El modelo se comporta normalmente en entradas limpias, pero cuando se le presenta una imagen con el disparador, ejecuta una acción maliciosa específica. Los desafíos actuales incluyen:

• La falta de acceso a los datos de entrenamiento originales para auditar el modelo.
• La evolución de los disparadores: desde parches obvios hasta diseños adaptativos y optimizados que se mezclan con la imagen (blended triggers), haciéndolos indistinguibles en el espacio de embeddings.
• La necesidad de defensas que funcionen en tiempo de inferencia (zero-shot) sin requerir reentrenamiento ni datos auxiliares.

2. Metodología: BackdoorIDS

Los autores proponen BackdoorIDS, un método de detección de muestras de puerta trasera en tiempo de inferencia que no requiere datos adicionales ni conocimiento previo del ataque. La metodología se basa en dos observaciones fundamentales sobre cómo los codificadores visuales procesan las imágenes bajo un enmascaramiento progresivo:

A. Mecanismos Clave

1. Secuestro de Atención (Attention Hijacking): En una imagen con puerta trasera, la atención del modelo se concentra casi exclusivamente en las características del disparador malicioso, ignorando el contenido benigno. Mientras el disparador esté activo, pequeñas perturbaciones (como enmascarar partes de la imagen) no alteran significativamente el embedding (representación vectorial) de la imagen.
2. Restauración de Atención (Attention Restoration): Cuando el enmascaramiento progresivo supera el umbral de robustez del disparador (es decir, se oculta suficiente parte del disparador), este deja de activarse. En ese momento, la atención del modelo cambia abruptamente hacia el contenido benigno de la imagen. Esto provoca un cambio brusco y significativo en el embedding.

En contraste, las imágenes limpias muestran una evolución suave y gradual de sus embeddings a medida que se enmascaran las partes de la imagen, ya que la atención está distribuida de manera más uniforme entre las características visuales.

B. Algoritmo de Detección

El proceso de BackdoorIDS sigue estos pasos:

1. Preprocesamiento: Se divide la imagen de entrada en parches (similar a ViT) y se genera una secuencia de imágenes enmascaradas progresivamente (desde 0 parches enmascarados hasta casi todos).
2. Generación de Trayectoria: Se pasan estas imágenes a través del codificador visual comprometido para obtener una secuencia de embeddings.
3. Análisis de Densidad: Se calcula la densidad local de los primeros $k$ embeddings (donde el disparador aún está activo).
4. Agrupamiento (Clustering): Se utiliza un algoritmo de agrupamiento basado en densidad, específicamente DBSCAN, sobre toda la secuencia de embeddings. El radio de agrupamiento se ajusta dinámicamente basándose en la densidad local promedio.
   • Imágenes Limpias: Forman un solo grupo (cluster) continuo debido a la transición suave.
   • Imágenes con Backdoor: Se dividen en múltiples grupos. Un grupo denso inicial (cuando el disparador está activo) y un salto abrupto hacia otro grupo cuando ocurre la "Restauración de Atención".
5. Clasificación: Si la secuencia de embeddings forma más de un cluster, la imagen se clasifica como Backdoor; si forma un solo cluster, se clasifica como Limpi.

3. Contribuciones Clave

• Descubrimiento Fenomenológico: Identifican y formalizan los fenómenos de "Secuestro de Atención" y "Restauración de Atención" como indicadores universales de ataques de puerta trasera, válidos tanto para disparadores de parche como para disparadores mezclados (blended).
• Enfoque Zero-Shot y Plug-and-Play: Presentan un detector que funciona en tiempo de inferencia sin necesidad de datos de entrenamiento, datos auxiliares (OOD) o reentrenamiento del modelo. Es compatible con diversas arquitecturas (CNN, ViT, CLIP, LLaVA-1.5).
• Rendimiento Superior: Demuestran que su método supera consistentemente a las defensas existentes (como PatchProcessing, DeDe, ZIP) en una amplia gama de ataques, conjuntos de datos y modelos.

4. Resultados Experimentales

Los autores evaluaron BackdoorIDS contra ataques de última generación (BadEncoder, Drupe, BadCLIP, BadVision) en modelos como ResNet, CLIP y LLaVA-1.5.

• Precisión de Detección: BackdoorIDS logró las tasas de verdaderos positivos (TPR) más altas (ej. 95.78% en BadEncoder, 97.00% en BadVision) y tasas de falsos positivos (FPR) bajas en comparación con los métodos basados en datos auxiliares o purificación.
• Robustez: El método demostró ser robusto frente a ruido gaussiano y compresión JPEG, manteniendo su efectividad incluso cuando la calidad de la imagen disminuye.
• Eficiencia: Aunque requiere procesar una secuencia de imágenes, el tiempo de inferencia es aceptable (ej. ~3.2 segundos para LLaVA-1.5), lo cual es un costo razonable para la seguridad.
• Impacto en la Tarea Principal: Al filtrar las muestras de puerta trasera, BackdoorIDS reduce drásticamente la Tasa de Éxito del Ataque (ASR) (llevándola a ~3-7% en varios casos), aunque sacrifica ligeramente la precisión en imágenes limpias (CA) en comparación con métodos de purificación, lo que se considera un intercambio aceptable por la seguridad.

5. Significado e Impacto

BackdoorIDS representa un avance significativo en la seguridad de los modelos de visión preentrenados. Al eliminar la dependencia de los datos de entrenamiento originales (que rara vez están disponibles para usuarios de modelos de terceros), proporciona una solución práctica y escalable para auditar la seguridad de los codificadores visuales en tiempo real. Su capacidad para detectar ataques sofisticados y ocultos (blended triggers) en arquitecturas modernas como los LVLMs lo convierte en una herramienta esencial para la adopción segura de la inteligencia artificial generativa y los modelos fundacionales en entornos de producción.