Detecting Trojaned DNNs via Spectral Regression Analysis

Resumen Técnico: Detección de DNNs Troianizados mediante Análisis de Regresión Espectral

Declaración del Problema
Las Redes Neuronales Profundas (DNN) se implementan cada vez más como artefactos de software en evolución que sufren un ajuste fino continuo para incorporar nuevos datos y adaptarse a entornos cambiantes. Este flujo de trabajo evolutivo introduce un riesgo de seguridad significativo: si los datos de actualización no pueden confiarse plenamente, los adversarios pueden inyectar muestras envenenadas para implantar Troyanos (puertas traseras) durante el proceso de ajuste fino. Un modelo troianizado mantiene una alta precisión en entradas limpias, pero exhibe un comportamiento elegido por el atacante cuando está presente un desencadenante específico, a menudo imperceptible.

Los mecanismos de defensa existentes enfrentan limitaciones críticas. Los enfoques que asumen el control del proceso de entrenamiento (por ejemplo, la sanitización de datos) son inaplicables en escenarios de cadena de suministro donde el defensor solo recibe un modelo preentrenado o actualizado. Las defensas en tiempo de inferencia a menudo dependen de la reconstrucción de patrones de desencadenantes, una suposición que falla frente a desencadenantes sofisticados, dependientes de la entrada o del espacio de características. Además, muchos métodos de detección offline intentan ingeniería inversa de los desencadenantes sin conocer la forma, ubicación o visibilidad del desencadenante, lo que los hace frágiles frente a diversas estrategias de ataque.

Metodología: MIST
Los autores proponen MIST (Rastreo Espectral Incremental de Modelos), un enfoque de detección de Troyanos que desplaza el enfoque desde la reconstrucción de desencadenantes a nivel de entrada hacia el análisis de representaciones internas del modelo durante la evolución. MIST trata las actualizaciones del modelo como eventos de regresión, evaluando si los cambios internos inducidos por el ajuste fino son consistentes con una evolución benigna o indicativos de una modificación maliciosa.

El núcleo de MIST se basa en el Análisis Espectral de pre-activaciones. En lugar de analizar las activaciones de neuronas individuales (que son inestables a través de las ejecuciones de entrenamiento), MIST resume las pre-activaciones por capas como distribuciones de probabilidad (espectros). Estos espectros proporcionan una caracterización estable de las representaciones aprendidas que es resiliente al ruido del reentrenamiento pero sensible a cambios sistemáticos.

La metodología opera en dos fases:

1. Rastreo de Espectros Limpios: El sistema establece una distribución de referencia de cambios espectrales (Distribución de Distancias de Espectros Limpios, o CSDD) mediante la simulación de transiciones de ajuste fino benignas. Utilizando un conjunto de datos limpio y confiable, el sistema entrena repetidamente un modelo base y lo ajusta finamente, calculando la distancia $L_2$ entre los espectros de pre-activación de los modelos base y ajustados finamente para cada clase. Esto construye una línea base estadística de cómo las actualizaciones benignas alteran el estado interno del modelo.
2. Detección de Anomalías: Cuando se produce una nueva actualización del modelo ($M_{i+1}$) a partir de un punto de control anterior ($M_i$) utilizando datos potencialmente no confiables, MIST calcula la distancia espectral entre las dos versiones utilizando un pequeño subconjunto limpio y confiable de los nuevos datos. Luego, calcula la distancia de Mahalanobis al cuadrado de este cambio observado contra la CSDD de referencia. Si la desviación supera un umbral derivado estadísticamente (basado en una distribución $\chi^2$), la actualización se marca como troianizada.

Crucialmente, MIST no requiere conocimiento del desencadenante, los datos envenenados o la estrategia de ataque. Asume la disponibilidad de un punto de control de referencia limpio y un pequeño subconjunto limpio de los datos de actualización para observación, pero no para reentrenamiento.

Contribuciones Clave

• Perspectiva Basada en Regresión: El artículo reformula la detección de Troyanos como un problema de regresión sobre las actualizaciones del modelo, caracterizando las modificaciones maliciosas como desviaciones anómalas en la evolución espectral en lugar de problemas de reconstrucción de desencadenantes.
• Técnica MIST: La propuesta de una técnica de detección práctica basada en espectros de pre-activación que valida las actualizaciones ajustadas finamente contra una referencia limpia.
• Evaluación Exhaustiva: Un estudio empírico riguroso en cuatro conjuntos de datos (CIFAR-10, SVHN, GTSRB, CelebA) y ocho ataques de Troyanos distintos (incluyendo BadNet, Blended, Input-Aware, Refool, SIG, SSBA, TrojanNN y WaNet), comparando MIST con tres detectores de última generación (Neural Cleanse, ABS, FeatuRE).

Resultados Experimentales

• Separabilidad Espectral (RQ1): Las distancias espectrales separan de manera fiable los modelos troianizados de los modelos ajustados finamente limpios, logrando un ROC-AUC promedio de 0.95 en todas las combinaciones de ataque-conjunto de datos. Esto confirma que la inserción de Troyanos induce cambios espectrales internos distintos de la evolución benigna.
• Efectividad de Detección (RQ2): En escenarios de actualización de un solo paso, MIST logra una precisión de detección promedio de 0.95, superando significativamente a las líneas base de última generación (FeatuRE: 0.75, ABS: 0.73, Neural Cleanse: 0.64). MIST demuestra un perfil de error favorable con tasas de falsos positivos muy bajas, lo que lo hace adecuado para validar actualizaciones de modelos sin rechazar frecuentemente los benignos.
• Robustez (RQ3): Bajo una evolución benigna de múltiples pasos, MIST permanece efectivo con una precisión promedio de 0.89. La degradación del rendimiento es gradual y acotada, manifestándose principalmente como un aumento de falsos positivos (debido a la deriva benigna acumulada) en lugar de detecciones fallidas (falsos negativos).

Significado y Afirmaciones
El artículo afirma que la evolución espectral proporciona una señal estable y con pocas suposiciones para detectar actualizaciones maliciosas de modelos. Al centrarse en los cambios del estado interno en lugar de los patrones de desencadenantes externos, MIST ofrece una defensa robusta contra una amplia variedad de ataques de Troyanos, incluidos aquellos con desencadenantes complejos o invisibles. Los autores enfatizan que este enfoque es particularmente adecuado para entornos de implementación donde los modelos se actualizan continuamente y deben validarse antes del nuevo despliegue, siempre que esté disponible un punto de control de referencia limpio. Los resultados sugieren que el análisis espectral captura una firma fundamental de modificación maliciosa que persiste incluso a medida que los modelos evolucionan, ofreciendo una alternativa fiable a las defensas basadas en la reconstrucción de desencadenantes.