🤖 machine learning

Perturb and Recover: Fine-tuning for Effective Backdoor Removal from CLIP

Cet article propose PAR (Perturb and Recover), une méthode de fine-tuning simple et efficace qui élimine les backdoors des modèles CLIP tout en préservant leurs performances standards, même sans accès aux données d'entraînement réelles.

Auteurs originaux : Naman Deep Singh, Francesco Croce, Matthias Hein

Publié 2026-04-08

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Naman Deep Singh, Francesco Croce, Matthias Hein

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

🎨 Le Contexte : CLIP, le Traducteur Universel

Imaginez CLIP comme un génie très instruit qui a lu des milliards de livres et vu des milliards de photos sur Internet. Il est capable de comprendre le lien entre une image (un chat) et un mot ("chat"). C'est ce qu'on appelle un modèle "Vision-Language". Il est utilisé partout, des moteurs de recherche aux robots intelligents.

Mais comme il a tout appris sur Internet, il y a un risque : quelqu'un de malveillant pourrait avoir glissé des pièges dans ses livres d'apprentissage.

🕵️‍♂️ Le Problème : Les "Portes Dérobées" (Backdoors)

Imaginez que quelqu'un ait caché un petit mot de passe secret dans les livres de notre génie.

En temps normal : Le génie fonctionne parfaitement.
Le piège : Si vous lui montrez une photo avec un petit triangle rouge (le déclencheur) ou un texte caché, il oublie tout ce qu'il sait et crie : "C'est une banane !" (même si c'est une voiture).

C'est une porte dérobée. Le modèle a été "empoisonné". Le problème, c'est que réapprendre tout le modèle depuis zéro pour nettoyer ce poison est trop cher et trop long (comme réécrire toute la bibliothèque d'un génie). On veut juste le "désintoxiquer" avec un petit effort.

⚠️ L'Échec des Méthodes Anciennes (Le "Nettoyage à la brosse")

Jusqu'à présent, les experts essayaient de nettoyer ces modèles en leur montrant des images très déformées (floues, retournées, couleurs changées) pour "casser" le piège. C'est comme essayer de nettoyer une tache d'encre en frottant très fort avec une brosse à dents.

Pour les taches simples : Ça marche. Si le piège était juste un petit point de bruit aléatoire, le frottement l'enlève.
Pour les taches structurées : Ça échoue. Les auteurs de cet article ont créé de nouveaux pièges plus intelligents : des rayures, des triangles ou du texte ("Marqué").
- L'analogie : Imaginez que le piège est un dessin au feutre rouge sur une photo. Si vous retournez la photo ou changez les couleurs (les méthodes anciennes), le dessin rouge est toujours là, juste à l'envers ou en bleu. Le génie voit toujours le dessin et tombe dans le piège.

Les anciennes méthodes échouent parce qu'elles supposent que le piège est "n'importe quoi", alors que les attaquants utilisent des formes précises que le frottement ne détruit pas.

✨ La Solution : PAR (Perturber et Récupérer)

Les auteurs proposent une nouvelle méthode appelée PAR (Perturb and Recover). Au lieu de frotter l'image, ils vont directement dans la tête du modèle pour le "réinitialiser" doucement.

Voici comment ça marche, étape par étape :

Perturber (Faire oublier) :
Imaginez que le modèle empoisonné a une habitude bizarre (répondre "banane" quand il voit un triangle). La méthode PAR force le modèle à bouger dans son espace de pensée. On lui dit : "Éloigne-toi de l'endroit où tu as appris ce truc bizarre".
- L'analogie : C'est comme si vous preniez un élève qui a appris par cœur une mauvaise réponse à un examen, et que vous le faisiez marcher dans la classe en lui disant : "Oublie cette réponse, change de place, regarde ailleurs". On brise le lien automatique entre le triangle et la banane.
Récupérer (Apprendre à nouveau) :
Pendant qu'on le fait bouger, on lui montre de vraies images propres (ou même des images créées par ordinateur, pas besoin de photos réelles !) et on lui rappelle : "Non, ce triangle, c'est juste un triangle, pas une banane".
- On utilise une formule mathématique qui dit : "Éloigne-toi du poison, mais reviens vite à ton bon comportement normal".

🚀 Les Résultats Magiques

Les auteurs ont testé cette méthode sur plein de modèles différents :

Efficacité : PAR élimine presque tous les pièges, même les plus intelligents (rayures, texte), là où les anciennes méthodes échouaient.
Préservation : Le modèle reste très intelligent pour ses tâches normales (reconnaître des chats, des voitures, etc.).
Le Super-Pouvoir (Données Synthétiques) : Le plus fou, c'est que PAR fonctionne même si on n'a aucune vraie photo à lui montrer pour le nettoyer ! On peut utiliser des images générées par une IA (des dessins d'ordinateur) pour le guérir.
- L'analogie : C'est comme si vous pouviez guérir un malade en lui montrant des dessins de la maladie plutôt que de vraies photos de patients. C'est moins cher et plus facile !

📝 En Résumé

Le danger : Les modèles d'IA comme CLIP peuvent être piratés avec des signaux cachés (triangles, textes) qui les font planter.
L'ancien remède : Frotter les images (augmentations) ne marche plus contre les pièges modernes.
Le nouveau remède (PAR) : On force le modèle à "oublier" le poison en le déplaçant dans son cerveau, puis on le rééduque avec des données simples (même des images de synthèse).
Le résultat : Un modèle propre, sûr, et toujours aussi intelligent, sans avoir besoin de réapprendre tout depuis le début.

C'est une victoire importante pour la sécurité de l'IA, car cela rend beaucoup plus difficile pour les pirates de garder leurs pièges cachés dans les systèmes que nous utilisons tous les jours.

1. Le Problème : Vulnérabilité des Modèles Vision-Langage

Les modèles fondationnels multimodaux comme CLIP (Contrastive Language-Image Pre-training) sont devenus essentiels pour des tâches telles que la classification zéro-shot, la recherche d'images et l'alimentation de grands modèles vision-langage (LVLM). Cependant, leur entraînement sur des milliards de paires image-texte provenant du web les rend extrêmement vulnérables aux attaques par porte dérobée (backdoor attacks).

Menace : Un attaquant peut injecter un petit pourcentage de données empoisonnées (avec un "déclencheur" ou trigger) dans le jeu de données d'entraînement. Cela force le modèle à produire une sortie spécifique (ex: classer une image comme "banane") dès que le déclencheur est présent, tout en conservant un comportement normal sur les images propres.
Limites des solutions existantes : Les méthodes de nettoyage actuelles pour CLIP, telles que CleanCLIP et RoCLIP, reposent sur l'utilisation d'augmentations de données fortes (ex: AutoAugment, retournements, changements de couleur) pour briser les corrélations spurious apprises lors de l'empoisonnement.
La faille découverte : Les auteurs démontrent que ces méthodes sont inefficaces contre des déclencheurs structurés (ex: rayures, triangles, texte superposé). Contrairement au bruit aléatoire (Gaussien) utilisé dans les attaques classiques (BadNet, Blended), ces motifs structurés ne sont pas perturbés par les augmentations standard, permettant aux portes dérobées de survivre au processus de nettoyage. De plus, l'application d'augmentations fortes sur des paires image-texte peut dégrader les performances standards du modèle (car les légendes textuelles ne correspondent plus aux images transformées).

2. Méthodologie : PAR (Perturb and Recover)

Pour surmonter ces limitations, les auteurs proposent PAR, une méthode de fine-tuning simple mais efficace qui ne dépend pas de la connaissance du déclencheur ni d'augmentations agressives.

Principes Fondamentaux

L'approche PAR repose sur deux objectifs simultanés pendant le fine-tuning sur un petit ensemble de données propres (réelles ou synthétiques) :

Perturber (Forget) : Forcer le modèle à s'éloigner de son état empoisonné initial en modifiant ses représentations internes.
Récupérer (Recover) : Restaurer les performances standards du modèle en minimisant la perte CLIP originale sur les données propres.

Fonctionnement Technique

Le processus d'optimisation utilise une fonction de perte combinée :
$\mathcal{L}_{\text{PAR}} = \mathcal{L}_{\text{CLIP}} - \mathcal{L}_{\text{PERT}}$

$\mathcal{L}_{\text{CLIP}}$ : La perte contrastive standard CLIP, appliquée aux données propres pour maintenir la capacité de généralisation du modèle.
$\mathcal{L}_{\text{PERT}}$ (Term de Perturbation) : Ce terme mesure la distance $\ell_2$ $ℓ_{2}$ entre les embeddings (représentations) du modèle nettoyé et ceux du modèle empoisonné original ( $\phi_P, \psi_P$ $ϕ_{P}, ψ_{P}$ ) sur un batch de données propres.
- L'objectif est de maximiser cette distance (d'où le signe moins dans la perte totale) jusqu'à ce que le modèle ait "oublié" les corrélations spurious liées au déclencheur.
- Un seuil $\tau$ est utilisé : tant que la distance est inférieure à $\tau$ , la perturbation est active. Une fois le seuil dépassé, le modèle est considéré comme suffisamment éloigné de l'état empoisonné et l'optimisation se concentre uniquement sur la récupération des performances via $\mathcal{L}_{\text{CLIP}}$ .

Avantages clés de PAR :

Indépendance du déclencheur : Ne nécessite aucune connaissance préalable de la forme du déclencheur (structuré ou non).
Faible coût de données : Fonctionne avec un petit ensemble de données propres (250k échantillons, soit 1/1600 du jeu de données d'origine).
Utilisation de données synthétiques : Les auteurs montrent que des données générées par des modèles image-texte (SynthCLIP) sont suffisantes pour nettoyer efficacement les modèles, éliminant le besoin de données réelles coûteuses à obtenir.

3. Contributions Clés

Démonstration de la vulnérabilité des augmentations : Les auteurs prouvent que les méthodes de nettoyage basées sur des augmentations fortes (CleanCLIP, RoCLIP) peuvent être contournées par des déclencheurs structurés simples (rayures, triangles, texte), ce qui expose une faille critique pour le déploiement réel.
Proposition de PAR : Introduction d'un mécanisme de fine-tuning "Perturb and Recover" qui supprime les backdoors sans biais envers des déclencheurs spécifiques et sans dégrader excessivement les performances standards.
Validation sur données synthétiques : Preuve que le nettoyage peut être effectué uniquement avec des données synthétiques, rendant la défense accessible même sans accès à des données propres réelles.
Évaluation exhaustive : Tests sur plusieurs architectures (ResNet50, ViT-B/32, ViT-L/14, SigLIP), plusieurs types d'attaques (BadNet, Blended, WaNet, BadCLIP) et plusieurs tâches (classification zéro-shot, recherche).

4. Résultats Expérimentaux

Les expériences montrent que PAR surpasse systématiquement les méthodes de référence (CleanCLIP, RoCLIP) :

Efficacité de nettoyage (ASR - Attack Success Rate) :
- Pour les déclencheurs structurés (ex: BadNet-Stripes), CleanCLIP échoue souvent à réduire l'ASR (restant souvent > 40-60%), tandis que PAR réduit l'ASR à des niveaux négligeables (souvent < 1% ou 0%).
- Sur l'attaque Blended-Text, PAR réduit l'ASR de 42,4% (CleanCLIP) à 18,1% (et jusqu'à 0,1% avec des paramètres optimisés).
Préservation des performances (Clean Accuracy - CA) :
- PAR maintient une précision sur ImageNet comparable à celle des modèles nettoyés par CleanCLIP, évitant la dégradation souvent observée avec RoCLIP.
- Exemple : Sur ResNet50 avec BadNet-Stripes, PAR atteint 53,3% de CA contre 53,0% pour CleanCLIP, mais avec un ASR de 6,3% contre 14,5%.
Robustesse aux taux d'empoisonnement : PAR reste efficace même avec des taux d'empoisonnement très faibles (0,05%), là où CleanCLIP montre des signes de faiblesse.
Données synthétiques : L'utilisation de données SynthCLIP permet de nettoyer les modèles avec une efficacité quasi équivalente aux données réelles, bien que la précision standard soit légèrement inférieure.

5. Signification et Impact

Ce travail est significatif pour la sécurité des modèles fondationnels multimodaux pour plusieurs raisons :

Changement de paradigme : Il remet en question l'hypothèse selon laquelle les augmentations de données fortes sont une solution universelle pour le nettoyage des backdoors dans les modèles vision-langage. Il montre que la structure du déclencheur est cruciale.
Solution pratique et économique : En proposant une méthode de fine-tuning qui fonctionne sans ré-entraînement à partir de zéro (coûteux) et qui peut utiliser des données synthétiques, PAR offre une voie de défense réaliste pour les organisations disposant de modèles CLIP pré-entraînés potentiellement compromis.
Sécurité des LVLM : Étant donné que CLIP est un composant central de nombreux grands modèles vision-langage (LLaVA, CogVLM, etc.), la capacité à nettoyer efficacement ces encodeurs visuels est une étape critique pour sécuriser l'écosystème de l'IA générative.

En conclusion, PAR représente une avancée majeure en offrant une défense robuste, agnostique au type de déclencheur, et économiquement viable pour sécuriser les modèles vision-langage contre les attaques par porte dérobée.