Resumen Técnico: HARVEY – Aprender la Puerta Trasera para Eliminar la Puerta Trasera

Definición del Problema

El artículo aborda el desafío de las puertas traseras neuronales (neural backdoors) introducidas mediante envenenamiento de datos. En este modelo de amenaza, un adversario inyecta una pequeña fracción de muestras envenenadas en un conjunto de datos de entrenamiento sin tener acceso al proceso de entrenamiento. Estas muestras contienen un patrón de activación (trigger) específico que provoca que el modelo prediga una etiqueta objetivo predefinida cuando el activador está presente, manteniendo al mismo tiempo una alta precisión en las entradas benignas.

Las defensas existentes suelen tener dificultades en el escenario de tiempo de entrenamiento (training-time setting), donde no hay disponible un conjunto de referencia limpio. Los enfoques anteriores suelen intentar identificar y eliminar muestras benignas o suprimir la puerta trasera utilizando umbrales fijos o el aprendizaje iterativo de un modelo de referencia benigno. Sin embargo, los autores observan que estos métodos enfrentan una dificultad fundamental: distinguir las muestras benignas de las envenenadas es difícil porque las distribuciones de pérdida de las muestras benignas "difíciles de aprender" a menudo se solapan con las de las muestras envenenadas.

Metodología: HARVEY

Los autores proponen HARVEY, una novedosa defensa en tiempo de entrenamiento que invierte el paradigma estándar. En lugar de intentar aprender un modelo de referencia para muestras benignas, HARVEY aprende iterativamente un modelo de referencia fuertemente con puerta trasera para servir como un oráculo para las muestras envenenadas. La idea central es que aprender la puerta trasera (un patrón específico y fácil de aprender) es significativamente más fácil que aprender la tarea natural general, lo que permite una identificación más precisa de los datos envenenados.

HARVEY opera en cuatro etapas distintas:

1. Inicialización: Se entrena un modelo ingenuamente sobre el conjunto de datos envenenado ($\tilde{D}$). Utilizando el componente de pérdida de Entropía Cruzada Inversa (RCE) de la pérdida de Entropía Cruzada Simétrica (SCE), el conjunto de datos se divide en dos subconj sets: un subconjunto envenenado inicial ($D^{(0)}_{bad}$) que contiene el 50% de las muestras con la pérdida RCE más baja, y un subconjunto benigno ($D^{(0)}_{bng}$).
2. Aprendizaje de la Puerta Trasera: Un modelo de referencia ($\theta_{ref}$) se entrena iterativamente durante $n$ rondas para volverse cada vez más especializado en la funcionalidad de la puerta trasera.
   • Aprendizaje: El modelo se ajusta (fine-tuning) sobre el subconjunto envenenado actual ($S^{(i)}$) utilizando una pérdida modificada que fomenta el aprendizaje de la puerta trasera.
   • Desaprendizaje: El modelo es entrenado para desaprender las muestras benignas (del subconjunto benigno de la iteración anterior) maximizando la pérdida de Entropía Cruzada (CE) para las muestras benignas predichas correctamente.
   • División: El modelo de referencia actualizado se utiliza para volver a dividir todo el conjunto de datos basándose en la pérdida RCE. Debido a que el modelo ahora es altamente sensible a la puerta trasera, la pérdida RCE crea una separación clara entre las muestras envenenadas y las benignas. El 50% de las muestras con la RCE más baja forma el nuevo subconjunto envenenado para la siguiente iteración.
3. Meta-división (Meta-Splitting): Después de $n$ rondas, el modelo de referencia final ($\theta^{(n)}_{ref}$) está tan sesgado hacia la puerta trasera que puede clasificar erróneamente muestras benignas de la clase objetivo como envenenadas. Para resolver esto, los autores utilizan el primer modelo de referencia ($\theta^{(1)}_{ref}$), que aún conserva una noción de funcionalidad benigna, para realizar una "meta-división" sobre el subconjunto envenenado final. Esto aísla las muestras benignas restantes (específicamente aquellas de la clase objetivo) que fueron agrupadas incorrectamente con la puerta trasera.
4. Entrenamiento Final: Los subconjuntos benignos aislados (de la Etapa 2 y la Etapa 3) se combinan para formar un conjunto de datos limpio ($D_{bng}$). Un modelo final se entrena en este conjunto de datos utilizando aprendizaje supervisado estándar (pérdida CE) para producir un modelo libre de puertas traseras.

Principales Contribuciones

El artículo destaca tres contribuciones principales:

• División de Conjunto de Datos Basada en RCE: Los autores analizan la pérdida de Entropía Cruzada Simétrica (SCE) y demuestran que su componente de Entropía Cruzada Inversa (RCE) por sí solo es superior para separar muestras envenenadas de benignas. A diferencia de la pérdida SCE completa, la RCE proporciona un rango de salida fijo y un umbral de separación claro, lo que permite una división de datos estable y efectiva sin ratios fijos.
• Cambio de Paradigma en los Modelos de Referencia: El trabajo introduce un cambio de usar modelos de referencia para identificar muestras benignas a usarlos para identificar muestras envenenadas. Al aprovechar la observación de que las muestras envenenadas son más fáciles de aprender que las benignas, HARVEY construye un "oráculo de puerta trasera" que logra una mayor recuperación (recall) en la identificación de datos envenenados que los métodos previos logran en la identificación de datos benignos.
• Mejora Decisiva en la Defensa: El método es evaluado a través de múltiples tipos de ataques, conjuntos de datos y arquitecturas. Reduce consistentemente las puertas traseras a niveles cercanos a cero mientras mantiene la precisión natural, superando a las defensas de vanguardia que a menudo sufren una degradación significativa de la precisión o fallan contra ataques sigilosos.

Resultados Experimentales

Los autores evaluaron HARVEY en CIFAR-10, Tiny-ImageNet y GTSRB utilizando arquitecturas como ResNet18, WRN16-1 y ResNet34. Probaron contra seis tipos de ataque: BadNets, Trojan, Blend, Clean-Label (CLB), IAB y WaNet.

• Tasa de Éxito del Ataque (ASR): HARVEY redujo el ASR a menos del 2% en los peores escenarios en todos los conjuntos de datos y ataques. En muchos casos (por ejemplo, Tiny-ImageNet), el ASR se redujo a < 0.5%.
• Precisión Natural (ACC): A diferencia de otras defensas (como ABL o CBD) que a menudo sacrifican la precisión natural para mitigar puertas traseras, HARVEY mantuvo una precisión natural similar a la línea base de "Sin Defensa" (No Defense). Por ejemplo, en CIFAR-10 con ResNet18, HARVEY logró un ACC promedio del 93.56% con un ASR del 0.85%, mientras que la línea base de "Sin Defensa" tenía un ASR del 99.99%.
• Rendimiento de la División: En términos de métricas de división de conjuntos de datos (puntuación F1 y ratio de envenenamiento en el conjunto benigno $\rho_{bng}$), HARVEY superó significativamente al trabajo relacionado. En CIFAR-10 con WRN16-1, HARVEY logró una puntuación F1 del 79.82% con $\rho_{bng} \approx 0.04\%$, comparado con el mejor trabajo relacionado (DBD) que tuvo un F1 de 22.12% y $\rho_{bng} \approx 6.73\%$.
• Eficiencia: Aunque HARVEY implica un entrenamiento iterativo, su consumo de tiempo total es comparable al entrenamiento ingenuo y significativamente más rápido que defensas como DBD, que pueden tomar casi un día en CIFAR-10.

Significado y Reivindicaciones

El artículo afirma que HARVEY establece un nuevo estándar para las defensas de puerta trasera en tiempo de entrenamiento. Su importancia radica en:

1. Robustez: Mitiga con éxito una amplia variedad de ataques de puerta trasera, incluyendo ataques sigilosos como Blend y WaNet, donde otros métodos fallan (ASR > 90%).
2. No Requiere Datos Limpios: Opera eficazmente sin conocimiento previo del ataque ni acceso a un conjunto de datos de referencia limpio.
3. Preservación del Rendimiento: Logra la eliminación casi perfecta de la puerta trasera sin comprometer la utilidad del modelo en tareas naturales.
4. Cambio Conceptual: Al enmarcar el problema como "aprender la puerta trasera para eliminar la puerta trasera", los autores demuestran que aprovechar la facilidad de aprendizaje de las muestras envenenadas es una estrategia más fiable que intentar aislar las muestras benignas difíciles.

Los autores concluyen que su enfoque previene eficazmente el aprendizaje de puertas traseras al eliminar las muestras envenenadas desde la raíz, asegurando que el modelo final sea tanto limpio como eficiente.