Prototype-Guided Robust Learning against Backdoor Attacks

1. Énoncé du problème

Les attaques par porte dérobée compromettent les réseaux de neurones profonds (DNN) en empoisonnant l'ensemble de données d'entraînement. Le modèle résultant se comporte normalement sur des entrées propres, mais classe incorrectement les entrées contenant un motif "déclencheur" spécifique vers une classe cible choisie par l'attaquant.

• Le défi : Se défendre contre ces attaques est difficile, particulièrement lorsque le défenseur a un accès limité aux données propres (un seul petit ensemble de validation).
• Limites des défenses existantes : Les méthodes d'apprentissage robuste actuelles reposent sur des hypothèses restrictives qui échouent dans des scénarios spécifiques :
  • Groupe G1 (Apprentissage précoce des portes dérobées) : Suppose que les échantillons empoisonnés sont appris plus rapidement (perte plus faible) que les échantillons bénins. Cela échoue face aux portes dérobées faibles (par exemple, petits déclencheurs, faibles ratios d'empoisonnement, ou attaques utilisant des "échantillons de couverture" qui confondent le modèle), où le modèle apprend d'abord les données bénignes.
  • Groupe G2 (Faible supervision / Auto-supervision) : Suppose que la suppression des étiquettes brise l'association déclencheur-cible. Cela échoue face aux attaques à étiquettes propres, où des déclencheurs sont injectés dans de véritables échantillons de la classe cible, renforçant le lien déclencheur-cible même sans corruption d'étiquette.
  • Méthodes hybrides : Héritent souvent des faiblesses des groupes G1 et G2, échouant soit contre les attaques faibles à étiquettes corrompues, soit contre les attaques à étiquettes propres.

2. Méthodologie : Apprentissage robuste guidé par prototypes (PGRL)

Les auteurs proposent PGRL, un cadre de défense qui ne nécessite qu'un petit ensemble d'échantillons bénins vérifiés (par exemple, 10 par classe) et intègre deux composants complémentaires lors du fine-tuning. L'approche s'adapte en fonction de la force de l'attaque par porte dérobée.

Composants principaux

1. Vérification de la cohérence des étiquettes (LCV) – Pour les portes dérobées faibles :

   • Mécanisme : Utilise le modèle actuel pour générer des pseudo-étiquettes pour les échantillons d'entraînement basées sur leur proximité avec les prototypes de classe (dérivés de l'ensemble de validation propre).
   • Logique : Dans les scénarios de portes dérobées faibles (avec échantillons de couverture), le modèle apprend d'abord les caractéristiques bénignes. Par conséquent, les pseudo-étiquettes des échantillons empoisonnés différeront probablement de leurs étiquettes originales (empoisonnées).
   • Action : Les échantillons dont la pseudo-étiquette correspond à l'étiquette originale sont considérés comme fiables ; les autres sont filtrés. Cela élimine efficacement les échantillons empoisonnés que le modèle n'a pas encore "appris" à associer au déclencheur.
   • Détail technique : Pour éviter l'effondrement des pseudo-étiquettes (où tous les échantillons sont mappés vers une seule classe), PGRL utilise le Transport Optimal (OT) pour imposer une distribution uniforme des pseudo-étiquettes à travers les classes, combinant la similarité cosinus avec l'uniformité de l'ensemble de données.

2. Estimation de la distance des caractéristiques (FDE) – Pour les portes dérobées fortes :

   • Mécanisme : Calcule un poids pour chaque échantillon d'entraînement basé sur sa distance de caractéristiques par rapport aux échantillons de validation propres dans l'espace des caractéristiques (en utilisant une distribution normale multivariée).
   • Logique : Dans les scénarios de portes dérobées fortes (sans échantillons de couverture), les échantillons empoisonnés sont des valeurs aberrantes distinctes dans l'espace des caractéristiques par rapport aux données bénignes.
   • Action : Les échantillons éloignés de la distribution propre reçoivent des poids négatifs, forçant le modèle à les "oublier". Les échantillons proches de la distribution propre reçoivent des poids positifs.
   • Détail technique : Les dimensions des caractéristiques sont réduites via UMAP pour éviter le fléau de la dimensionnalité. Les poids sont mis à jour par momentum pour assurer la stabilité.

Flux de travail

Le modèle est d'abord réchauffé sur l'ensemble de validation propre. Pendant le fine-tuning sur l'ensemble de données potentiellement empoisonné :

• LCV filtre les échantillons basés sur la cohérence des étiquettes.
• FDE attribue des poids aux échantillons basés sur la distance des caractéristiques.
• La fonction de perte finale est une entropie croisée pondérée, où les échantillons avec des poids négatifs sont activement "oubliés".

3. Contributions clés

• Cadre de défense unifié : PGRL est la première méthode d'apprentissage robuste à se défendre efficacement contre à la fois les portes dérobées fortes (via FDE) et les portes dérobées faibles (via LCV), surmontant le "fossé des hypothèses" des méthodes précédentes.
• Mécanisme guidé par prototypes : Introduit une utilisation novatrice des prototypes de classe issus d'un petit ensemble de validation propre pour guider à la fois le pseudo-étiquetage (LCV) et l'estimation de la distance des caractéristiques (FDE).
• Intégration du Transport Optimal : Intègre le Transport Optimal dans le processus de pseudo-étiquetage pour assurer la robustesse contre l'effondrement des étiquettes lors des premières étapes d'entraînement.
• Exigence minimale de données propres : Atteint une haute robustesse en utilisant uniquement un tout petit ensemble de validation propre (10 échantillons par classe), le rendant pratique pour des scénarios réels où les données propres sont rares.

4. Résultats expérimentaux

Les auteurs ont évalué PGRL contre huit défenses de l'état de l'art (y compris ABL, ASD, DBD, ESTI, etc.) sur divers ensembles de données (CIFAR-10, ImageNette, Speech Commands) et architectures (ResNet, VGG, DenseNet, ViT).

• Efficacité :
  • PGRL a constamment atteint une Précision (ACC) > 0,90 et un Taux de succès de l'attaque (ASR) < 0,1 sur tous les types d'attaques testés (Pattern, AdapBlend, Freq, Ultrasonic, Wanet, Combat, Lotus).
  • En revanche, les défenses de base ont échoué sur au moins un type d'attaque, entraînant souvent un ASR > 0,6.
  • Plus précisément, LCV excellait contre les attaques à échantillons de couverture (AdapBlend), tandis que FDE excellait contre les attaques sans échantillons de couverture (Pattern, Freq). La combinaison (PGRL) gérait tous les cas.
• Efficacité :
  • PGRL a entraîné une surcharge de temps d'entraînement de 1,15× par rapport à un entraînement naïf. Cela est comparable à d'autres défenses (par exemple, ABL, ESTI) et nettement plus rapide que des méthodes comme DBD (qui utilise SimCLR).
• Généralisation :
  • La méthode s'est révélée robuste à travers différentes architectures de modèles (VGG16, DenseNet121, ViT-B-16) et contre quatre autres attaques avancées (Ultrasonic, Wanet, Combat, Lotus).
• Études d'ablation :
  • La suppression du Transport Optimal a provoqué un effondrement des performances (l'ASR a bondi de 0,01 à 0,99), confirmant sa nécessité pour un pseudo-étiquetage stable.
  • La méthode est restée efficace même avec des ensembles de validation très petits (jusqu'à 10 échantillons au total).

5. Signification

Ce papier établit une nouvelle norme pour la défense pratique et généralisable contre les portes dérobées. En s'éloignant des hypothèses rigides concernant la force de l'attaque ou la corruption des étiquettes, PGRL fournit une solution flexible et unique qui s'adapte aux caractéristiques spécifiques de l'empoisonnement. Sa capacité à fonctionner avec un minimum de données propres la rend hautement déployable dans des scénarios réels où la désinfection des données est difficile. Les auteurs décrivent également des travaux futurs visant à étendre ce cadre à des tâches complexes telles que la détection d'objets, la segmentation et les grands modèles de langage (LLM).