Rethinking Backdoor Adversarial Unlearning through the Lens of Catastrophic Forgetting in Continual Learning

Resumen Técnico: Replanteando el Desaprendizaje Adversarial de Puertas Traseras a través de la Lente del Olvido Catastrófico en el Aprendizaje Continuo

Declaración del Problema
Las estrategias actuales de defensa contra puertas traseras (backdoors), particularmente los métodos de ajuste de seguridad (safety tuning), a menudo ofrecen una protección solo superficial. Si bien pueden reducir la Tasa de Éxito del Ataque (ASR) inicialmente, con frecuencia fallan en eliminar completamente las características de la puerta trasera incrustada. Evidencia reciente indica que los modelos "purificados" retienen conocimiento residual de la puerta trasera, el cual puede ser reactivado rápidamente por adversarios mediante el ajuste fino (Ataque de Reajuste o Retuning Attack) o perturbaciones basadas en consultas (Ataque de Reactivación basada en Consultas o Query-based Reactivation Attack). Las defensas existentes luchan por equilibrar la eliminación de las características de la puerta trasera con la preservación del rendimiento de la tarea limpia, especialmente contra ataques caracterizados por baja ortogonalidad o baja linealidad donde las características limpias y de la puerta trasera están entrelazadas.

Metodología
Los autores proponen un nuevo marco que reinterpreta el aprendizaje y el desaprendizaje de puertas traseras como un proceso de aprendizaje continuo (CL) secuencial de tres etapas: una tarea limpia ($\tau_c$), una tarea de puerta trasera ($\tau_b$) y una tarea de desaprendizaje de puerta trasera ($\tau_u$).

1. Fundamento Teórico vía Olvido Catastrófico:

   • El artículo define el Desaprendizaje Completo de Puertas Traseras como un estado donde la tarea de desaprendizaje $\tau_u$ elimina completamente el efecto de la puerta trasera (haciendo que la salida del modelo purificado en datos envenenados coincida con la salida del modelo limpio) mientras preserva el rendimiento en la tarea limpia.
   • Aprovechando el marco del Kernel de Tangente Neuronal (NTK), los autores derivan una condición necesaria para lograr esto: la tarea de desaprendizaje debe ser antagónica y paralela a la tarea de la puerta trasera (para maximizar el olvido de las características de la puerta trasera) mientras permanece ortogonal a la tarea limpia (para evitar el olvido catastrófico del conocimiento limpio).
   • Esto conduce a un principio de diseño para ejemplos adversariales: estos deben alinearse con las características de la puerta trasera para activar el modelo de la puerta trasera, pero preservar el contenido semántico de la muestra original para satisfacer al modelo limpio.

2. Desaprendizaje Adversarial de Puerta Trasera por Inversión Ciega (BI-BAU):

   • Dado que el defensor carece de acceso al conjunto de datos envenenados original o al disparador (trigger) exacto de la puerta trasera, el problema se formula como un problema de Inversión Ciega. El objetivo es recuperar ejemplos adversariales (la "fuente") que satisfagan restricciones específicas dados únicamente los resultados del modelo (las "mediciones").
   • Los autores resuelven esto utilizando un marco de algoritmo de Esperanza-Maximización (EM) para optimizar un objetivo de Máxima Verosimilitud a Posteriori (MAP):
     • Paso-E (Maximización Interna): Genera ejemplos adversariales ($\tilde{x}$) que satisfacen dos condiciones: (1) activan la predicción de la etiqueta objetivo en el modelo de la puerta trasera, y (2) preservan la semántica limpia de la muestra original. Esto se logra mediante una pérdida compuesta que incluye entropía cruzada, destilación de conocimiento (para mantener la consistencia semántica) y una pérdida de prioridad que alinea la perturbación de características con la dirección del gradiente de la puerta trasera manteniendo la ortogonalidad a la dirección de la característica limpia.
     • Paso-M (Minimización Externa): Actualiza los parámetros del modelo utilizando los ejemplos adversariales generados. Este paso incorpora un término de Consolidación de Pesos Elástica (EWC) inversa para fomentar las actualizaciones de parámetros a lo largo del gradiente de la puerta trasera (promoviendo el olvido) y un término EWC estándar para preservar el rendimiento de la tarea limpia.

3. Extensiones:

   • El método se extiende a escenarios no dirigidos (untargeted) donde la clase objetivo es desconocida.
   • También se adapta para el aprendizaje contrastivo multimodal (por ejemplo, modelos CLIP), ampliando su aplicabilidad a modelos fundacionales pre-entrenados.

Contribuciones Clave

• Marco Teórico: El artículo es el primero en investigar sistemáticamente el desaprendizaje de puertas traseras a través de la lente del aprendizaje continuo y el olvido catastrófico. Proporciona una definición formal de desaprendizaje completo de puertas traseras y deriva las condiciones necesarias (alineación de tareas y ortogonalidad) para lograrlo.
• Algoritmo BI-BAU: Los autores proponen BI-BAU, un método de desaprendizaje robusto que formula el problema como una tarea de inversión ciega resuelta mediante una optimización de nivel bi-nivel dentro de un marco EM. Maneja eficazmente escenarios con clases objetivo desconocidas y configuraciones multimodales.
• Evaluación Exhaustiva: Experimentos extensos demuestran que BI-BAU logra la eliminación casi completa de los efectos de la puerta trasera a través de un amplio espectro de ataques, incluyendo ataques desafiantes de baja ortogonalidad y baja linealidad (por ejemplo, Refool, SIG, Narcissus) donde las líneas base de vanguardia fallan.

Resultos Experimentales

• Robustez contra Diversos Ataques: En CIFAR-10 y otros referentes, BI-BAU logra consistentemente una ASR baja (a menudo < 5%) mientras mantiene una Alta Precisión Limpia (CA), superando la síntesis de disparadores (por ejemplo, BTI-DBF), la reconstrucción de modelos (por ejemplo, ANP, CLP) y otros métodos de desaprendizaje adversaral (por ejemplo, SAU, I-BAU).
• Resiliencia Post-Purificación: Crucialmente, BI-BAU demuestra una fuerte resistencia a los ataques de reactivación. Cuando se somete a Ataques de Reajuste (RA) y Ataques de Reactivación basados en Consultas (QRA), la ASR de los modelos purificados por BI-BAU permanece baja (R-ASR promedio ~12.48%, Q-ASR ~5.75%), aproximándose estrechamente al rendimiento de un escenario idealizado donde el defensor tiene acceso a los datos envenenados reales. En contraste, otros métodos muestran aumentos significativos de ASR (a menudo >60-80%) bajo reactivación.
• Rendimiento de Baja Ortogonalidad: El método defiende eficazmente contra ataques donde las características limpias y de la puerta trasera están altamente entrelazadas, una debilidad conocida de las defensas existentes.
• Verificación a Nivel Neuronal: Utilizando el Coeficiente de Existencia de Puerta Trasera (BEC), los autores verifican que BI-BAU reduce las firmas neuronales internas de las puertas traseras, confirmando que el desaprendizaje no es meramente superficial.

Significancia y Reivindicaciones
El artículo afirma que, al cambiar la perspectiva del manipulación directa de parámetros hacia la dinámica del olvido catastrófico en el aprendizaje continuo, es posible establecer condiciones fundamentadas para eliminar verdaderamente las puertas traseras. Los autores aseguran que BI-BAU aborda la brecha crítica en las estrategias actuales de ajuste de seguridad, que a menudo dejan vulnerabilidades residuales. Al formalizar el proceso de desaprendizaje como un problema de inversión ciega y resolverlo mediante una optimización de nivel bi-nivel basada en EM, el método ofrece una solución robusta y generalizable que mantiene la utilidad del modelo mientras elimina profundamente los comportamientos maliciosos, incluso en escenarios de despliegue complejos y del mundo real que involucran modelos pre-entrenados y configuraciones de ataque desconocidas.