Backdoor Mitigation in Object Detection via Adversarial Fine-Tuning

Resumen Técnico: Mitigación de Puertas Traseras en la Detección de Objetos mediante Ajuste Fino Adversarial

Enunciado del Problema
Los ataques de puerta trasera en la detección de objetos representan una amenaza significativa para los sistemas de visión críticos para la seguridad (por ejemplo, conducción autónoma, vigilancia). A diferencia de la clasificación de imágenes, donde un modelo emite una única etiqueta, los detectores de objetos producen un conjunto de cajas delimitadoras con puntuaciones de clase asociadas. Esta complejidad estructural expande la superficie de ataque e introduce objetivos de ataque heterogéneos. Trabajos previos han identificado dos modelos de amenaza principales: Ataques de Malclasificación de Región (RMAs), donde los objetos que portan el desencadenante se malclasifican en una clase objetivo elegida por el atacante, y Ataques de Desaparición de Objetos (ODAs), donde las predicciones para los objetos atacados son suprimidas por completo.

Las defensas existentes para la detección de objetos son limitadas. Los métodos de detección de desencadenantes en tiempo de inferencia son computacionalmente costosos y a menudo requieren procedimientos separados para diferentes tipos de ataques. Los métodos de síntesis de desencadenantes asumen el conocimiento de la clase víctima, lo cual no siempre es el caso. Las estrategias de mitigación directa, como el ajuste fino de un modelo comprometido utilizando un pequeño conjunto de datos limpio, siguen subdesarrolladas para la detección. Adaptar el ajuste fino adversarial orientado a la clasificación a la detección no es trivial debido a:

1. Objetivo de Ataque Desconocido: El defensor a menudo no sabe si la puerta trasera apunta a la malclasificación (RMA) o a la desaparición (ODA).
2. Dilución del Gradiente: Las pérdidas estándar de detección agregan errores a través de muchas predicciones candidatas (incluyendo el fondo). Cuando se realiza un ajuste fino sobre un ejemplo adversarial, la señal de gradiente relevante para el objeto objetivo específico se diluye por predicciones no relacionadas, debilitando la señal de reparación.

Metodología
Los autores proponen un marco de ajuste fino adversarial consciente de la detección diseñado para mitigar puertas traseras cuando el defensor tiene acceso solo a un detector comprometido y a un conjunto de datos limpio limitado, sin conocimiento del objetivo de ataque específico. El enfoque consta de dos componentes principales:

1. Generación de Ejemplos Adversariales:
   El marco introduce dos estrategias para generar desencadenantes sustitutos que se alineen con la estructura de umbral de puntuación de la detección de objetos:

   • Maximización de la Pérdida de Clasificación (CLM): Una adaptación de la maximización adversarial estándar que se centra en maximizar la pérdida de clasificación ($L_{CLS}$) restringida a las predicciones emparejadas con el objeto objetivo. Esto sirve como un sustituto indirecto para inducir malclasificación o supresión.
   • Minimización de la Rama Suave (SBM): Una estrategia novedosa diseñada para objetivos de ataque desconocidos. SBM define dos ramas de optimización: una para RMA (fomentando que una puntuación de clase no objetivo supere el umbral de detección $\tau$) y otra para ODA (fomentando que todas las puntuaciones de primer plano caigan por debajo de $\tau$). Estas ramas se combinan mediante una puerta suave (softmax sobre pérdidas negativas) que prioriza dinámicamente la rama más cercana a la satisfacción. Esto permite la generación de perturbaciones efectivas contra cualquiera de los tipos de ataque sin conocimiento previo de la amenaza específica. SBM también incluye una penalización de concentración basada en entropía para asegurar que los ataques RMA resulten en una única clase incorrecta dominante en lugar de una difusión difusa de puntuaciones.

2. Ajuste Fino Consciente de la Detección:
   Para abordar la dilución del gradiente, los autores proponen una pérdida de defensa de doble objetivo aplicada específicamente al conjunto de predicciones emparejadas con el objeto objetivo ($J_{i^*}$), en lugar de al conjunto completo de detecciones. Esta pérdida complementa la pérdida estándar de detección ($L_{OD}$) con dos términos:

   • Término de Recuperación ($L_{REC}$): Fomenta que la puntuación de la clase de verdad supere el umbral de detección $\tau$, contrarrestando ODA y RMA.
   • Término de Supresión ($L_{SUP}$): Penaliza las altas puntuaciones de clases no objetivo, evitando que el modelo restaure la puntuación de verdad mientras asigna simultáneamente puntuaciones altas a clases competidoras (lo que llevaría a malclasificación).

   El marco también introduce la Selección Filtrada Ponderada (FWS) para la selección del objeto objetivo durante la generación adversarial. En lugar de una selección aleatoria, FWS restringe los candidatos a objetos que son detectados correctamente en entradas limpias y los pondera según su confianza, asegurando que el bucle de optimización interno se centre en objetivos estables e informativos en lugar de en ambigüedades de detección preexistentes.

Contribuciones Clave

• Generación Adversarial Consciente de la Detección: La introducción de SBM, que maneja objetivos de ataque desconocidos (RMA vs. ODA) mediante un objetivo con puerta suave y regularizado por entropía, y CLM, una adaptación específica de detección de la maximización de la pérdida de clasificación.
• Objetivo de Reparación Concentrado: Una pérdida de defensa de doble objetivo restringida a predicciones emparejadas con el objetivo, que previene la dilución de la señal de reparación por el fondo u objetos no objetivo.
• Evaluación Exhaustiva: El método se evalúa en detectores basados en CNN (YOLOv5, FCOS) y en Transformadores (DINO) en los conjuntos de datos Pascal VOC, MTSD y COCO frente a ataques tanto RMA como ODA.

Resultados
Los experimentos demuestran que el enfoque propuesto supera significativamente a las líneas base orientadas a la clasificación (Ajuste Fino, Fine-Pruning, FT-SAM) en la compensación entre la Tasa de Éxito del Ataque (ASR) y la Tasa de Detección Verdadera (TDR):

• Reducción de ASR: La configuración más fuerte (SBM con FWS y la pérdida de defensa) redujo la ASR mediana en un 83% en Pascal VOC y un 94% en MTSD en comparación con la línea base más fuerte.
• Preservación de TDR: Mientras reduce la ASR, el método mantiene una Tasa de Detección Verdadera favorable, con ganancias de TDR de 0.52 (VOC) y 0.43 (MTSD) sobre las líneas base, a un costo modesto en el rendimiento limpio (Ratio de costo mAP $\le$ 0.10).
• Robustez ante la Escasez de Datos: El método sigue siendo efectivo incluso cuando el presupuesto de datos limpios se reduce del 5% al 1.25%, superando en muchos casos a las líneas base entrenadas con el presupuesto completo del 5%.
• Generalización: El enfoque se generaliza a través de diferentes arquitecturas de detectores y tipos de desencadenantes, y muestra una fuerte transferibilidad desde conjuntos de datos sintéticos (MTSD) a desencadenantes físicos del mundo real (PTSD).

Significado y Afirmaciones
El artículo afirma abordar una brecha crítica en la seguridad de la detección de objetos al proporcionar una estrategia de mitigación de propósito general que no requiere acceso a los datos de la puerta trasera ni conocimiento del objetivo de ataque específico. Los autores enfatizan que su enfoque está motivado por las discrepancias estructurales entre los entornos de clasificación y detección.

Los autores son modestos en sus afirmaciones, reconociendo que:

• La recuperación completa de las detecciones correctas para objetos que portan desencadenantes sigue siendo un desafío, con la TDR reteniendo una "cola inferior larga" en algunos entornos, consistente con las limitaciones observadas en defensas basadas en clasificación.
• El análisis teórico proporciona una justificación a nivel de mecanismo para las decisiones de diseño (por ejemplo, alineación de gradientes, márgenes de puntuación) en lugar de una garantía de robustez global para todas las arquitecturas de detectores.
• El marco actual es centrado en el objeto y no aborda directamente los ataques de generación de objetos (donde desencadenantes en regiones de fondo inducen detecciones fantasma), identificando esto como una dirección para trabajo futuro.

El trabajo se posiciona como un mecanismo de reparación práctico para sistemas críticos para la seguridad, ofreciendo una compensación robusta entre seguridad (baja ASR) y utilidad (alta TDR y mAP limpio) bajo restricciones realistas donde el defensor tiene datos limpios limitados y ningún conocimiento del desencadenante o objetivo específico de la puerta trasera.