Résumé Technique : BadSNN – Attaques par Porte Dérobée sur les Réseaux de Neurones à Spikes via des Neurones à Spikes Adversariaux

Énoncé du Problème

Les Réseaux de Neurones à Spikes (SNN) sont apparus comme des alternatives économes en énergie et biologiquement plausibles aux Réseaux de Neurones Profonds (DNN), en particulier pour les dispositifs périphériques et les applications critiques pour la sécurité telles que la conduite autonome et la surveillance médicale. Bien que les DNN soient connus pour être vulnérables aux attaques par porte dérobée — où un adversaire empoisonne les données d'entraînement pour forcer des classifications erronées spécifiques lors de l'injection d'un déclencheur — les vulnérabilités des SNN restent sous-explorées.

Les attaques par porte dérobée existantes sur les SNN (par exemple, Sneaky Spikes, Flashy Backdoor) reposent principalement sur la manipulation de données neuromorphiques (flux temporels basés sur des événements) ou sur l'injection de déclencheurs physiques (flashes lumineux) qui se fondent dans la dynamique naturelle de la scène. Ces approches se concentrent sur la manipulation des données plutôt que sur l'exploitation des propriétés architecturales intrinsèques des SNN. Plus précisément, le comportement unique des neurones à spikes, régi par des hyperparamètres tels que le seuil de potentiel membranaire ($V_{thr}$) et la constante de temps membranaire ($\tau$), n'a pas été investigué comme vecteur pour l'incrustation de portes dérobées. La question de recherche centrale abordée est : Un attaquant peut-il exploiter la sensibilité des neurones à spikes aux variations d'hyperparamètres pour incruster une porte dérobée sans modifier les données d'entrée ?

Méthodologie : BadSNN

Les auteurs proposent BadSNN, une nouvelle attaque par porte dérobée qui incruste un comportement malveillant en ajustant les hyperparamètres des neurones à spikes durant l'entraînement, plutôt qu'en empoisonnant le jeu de données d'entrée avec des déclencheurs. L'attaque se compose de trois phases principales :

1. Entraînement de la Porte Dérobée via un Empoisonnement Malveillant de Spikes

Contrairement aux attaques conventionnelles qui utilisent des échantillons mal étiquetés avec des déclencheurs, BadSNN emploie une stratégie d'apprentissage à double spike :

• Manipulation des Hyperparamètres : L'adversaire manipule les hyperparamètres des neurones à spikes ($V_{thr}$ et $\tau$) durant l'entraînement. Deux configurations sont utilisées :
  • Nominale ($S_n$) : Hyperparamètres standards pour l'apprentissage sur des données propres.
  • Malveillante ($S_t$) : Hyperparamètres altérés qui amènent le modèle à traiter des transformations d'entrée spécifiques comme des données hors distribution (OD).
• Objectif d'Entraînement : Un sous-ensemble des données de la classe cible est entraîné avec à la fois $S_n$ et $S_t$. Le modèle apprend à associer les « motifs de spikes malveillants » (générés par $S_t$) à l'étiquette cible, tout en maintenant une utilité propre sur les données nominales.
• Insight Clé : L'attaque repose sur l'observation que la variation de $V_{thr}$ peut modifier le nombre de spikes ($N_{spike}$) des entrées. Si le modèle est biaisé pour classer les entrées avec un nombre de spikes élevé comme appartenant à l'étiquette cible, une porte dérobée est établie sans altérer les pixels bruts d'entraînement.

2. Optimisation du Déclencheur

Pour activer la porte dérobée lors de l'inférence, l'adversaire doit générer des entrées qui déclenchent le comportement de « spike malveillant ».

• Déclencheur Initial : Une transformation de puissance non linéaire ($x^q$) est utilisée pour augmenter le nombre de spikes, mais cela dégrade souvent l'information sémantique et est perceptible.
• Optimisation : Un modèle substitut de déclencheur (basé sur U-Net) est entraîné pour générer des perturbations minimalement perceptibles ($\Delta x$).
• Fonction de Perte : Le modèle substitut est optimisé en utilisant une combinaison de :
  • Similarité Cosinus ($L_{sim}$) : Pour aligner les caractéristiques structurelles de la perturbation avec la transformation cible.
  • Perte Adversariale ($L_{adv}$) : Pour s'assurer que l'image perturbée est mal classée comme l'étiquette cible.
  • MSE Pondérée ($L_{wmse}$) : Pour correspondre à l'amplitude et à la distribution spatiale de la perturbation.
• Extension Neuromorphique : Pour les données basées sur des événements (par exemple, N-MNIST), une fonction de déclencheur introduit des perturbations aléatoires variant dans le temps sur les trames de spikes pour élever l'activité totale de spikes.

3. Stratégie d'Inférence

Lors de l'inférence, la victime utilise le SNN compromis. L'adversaire doit sélectionner une configuration d'hyperparamètres d'attaque ($V^a_{thr}, \tau^a$) qui se situe entre les paramètres nominaux et malveillants. Cet équilibre assure :

• Que les entrées propres sont correctement classées (haute Précision sur Données Propres).
• Que les entrées déclenchées (avec des perturbations optimisées) génèrent des motifs de spikes que le modèle associe à l'étiquette cible (haut Taux de Réussite de l'Attaque).

Contributions Clés

1. Découverte de Vulnérabilité : L'article démontre que les variations des hyperparamètres des neurones à spikes ($V_{thr}$ et $\tau$) créent une surface d'attaque exploitable, permettant au modèle de traiter des données en distribution comme étant hors distribution en fonction des comptes de spikes.
2. Nouveau Vecteur d'Attaque (BadSNN) : Une attaque par porte dérobée qui élimine le besoin de manipulation des données d'entrée (empoisonnement) ou d'injection de déclencheurs durant l'entraînement. La porte dérobée est incrustée entièrement via le mécanisme intrinsèque de génération de spikes du modèle.
3. Optimisation du Déclencheur : Un processus pour générer des perturbations imperceptibles activant la porte dérobée, exploitant un modèle substitut U-Net entraîné avec une fonction de perte multi-objectifs.
4. Évaluation Complète : Expériences extensives sur quatre jeux de données (CIFAR-10, GTSRB, CIFAR-100, N-MNIST) et trois architectures (Spiking ResNet-19, Spiking VGG-16, N-MNIST Net).

Résultats Expérimentaux

Les auteurs ont évalué BadSNN par rapport à des références de l'état de l'art (BadNet, Blend, WaNet) et cinq mécanismes de défense (Fine-Tuning, CLP, ANP, TSBD, NAD).

• Efficacité de l'Attaque :

  • BadSNN atteint des Taux de Réussite d'Attaque (ASR) élevés tout en maintenant une Précision sur Données Propres (CA) acceptable. Par exemple, sur CIFAR-10, il a atteint un ASR de 82,65 % avec une CA de 87,22 % (comparé à une base propre de 91,34 %).
  • Sur les données neuromorphiques (N-MNIST), l'attaque est particulièrement puissante, atteignant 100 % d'ASR avec une dégradation minimale de la CA.
  • La relation entre le ratio d'empoisonnement et le succès de l'attaque est non linéaire ; les ratios impairs (1 %, 3 %, 5 %) ont donné de meilleures performances que les pairs.

• Robustesse face aux Défenses :

  • Défenses basées sur l'Élagage (CLP, ANP) : BadSNN s'est révélé hautement robuste. Alors que l'ANP a réduit l'ASR pour les attaques de base, il a échoué contre BadSNN (l'ASR est resté >70 % sur CIFAR-10). Les auteurs attribuent cela à l'« enchevêtrement » des neurones de porte dérobée et des neurones propres via l'apprentissage à double spike, rendant impossible l'élagage des neurones de porte dérobée sans détruire l'utilité propre.
  • Défenses par Affinage (TSBD, NAD) : BadSNN a maintenu un ASR élevé (par exemple, 84,55 % sur CIFAR-10 après affinage) là où les attaques de base ont été atténuées. L'absence de motifs de déclencheurs localisés dans BadSNN empêche les défenses basées sur l'attention (comme NAD) d'identifier et de supprimer la porte dérobée.

• Sensibilité des Hyperparamètres : L'étude a révélé que fixer le seuil d'entraînement malveillant ($V^t_{thr}$) suffisamment plus élevé que le seuil nominal ($V^n_{thr}$) (par exemple, 1,5 contre 1,0) crée une distribution de spikes bien séparée, facilitant un meilleur compromis entre CA et ASR.

Importance et Revendications

L'article revendique que BadSNN représente un changement fondamental dans les menaces de sécurité des SNN. Son importance réside dans deux avantages principaux par rapport à l'empoisonnement de données conventionnel :

1. Discrétion : En évitant la manipulation des données d'entrée et l'injection de déclencheurs durant l'entraînement, l'attaque est plus difficile à détecter via des inspections de données standard ou des techniques d'inversion de déclencheur.
2. Résilience : La dépendance de l'attaque aux hyperparamètres intrinsèques du modèle et à l'apprentissage à double spike la rend significativement plus robuste face aux techniques d'atténuation de l'état de l'art, en particulier l'élagage et l'affinage, qui reposent sur l'isolement de caractéristiques ou de neurones spécifiques au déclencheur.

Les auteurs concluent que les caractéristiques uniques des neurones à spikes, spécifiquement leur sensibilité aux hyperparamètres, constituent une vulnérabilité critique et négligée. Ce travail motive le développement de nouvelles stratégies de défense spécifiquement adaptées aux nuances architecturales des SNN, plutôt que de simplement adapter les défenses des DNN.