CLIP-Inspector: Model-Level Backdoor Detection for Prompt-Tuned CLIP via OOD Trigger Inversion

1. Problématique et Contexte

Contexte d'adoption : De nombreuses organisations, limitées en données et en ressources de calcul, externalisent l'entraînement de modèles de vision-langage (VLM) comme CLIP vers des fournisseurs de services d'apprentissage automatique (MLaaS). Au lieu d'entraîner le modèle de zéro, ces fournisseurs utilisent souvent le prompt-tuning (notamment via la méthode CoCoOp), qui ajuste un petit réseau métacommun (meta-net) tout en gardant les encodeurs d'image et de texte figés.

La Menace : Dans ce scénario semi-honnête, un fournisseur malveillant peut suivre le protocole de prompt-tuning tout en implantant secrètement une porte dérobée (backdoor).

• Mécanisme de l'attaque : L'attaquant optimise une perturbation imperceptible (trigger) sur l'image et le meta-net. Lorsque l'image contient ce trigger, le meta-net génère des tokens biaisés qui réorientent fortement les embeddings textuels, forçant la classification vers une classe cible choisie par l'attaquant, même pour des données hors distribution (OOD).
• Limites des défenses existantes :
  • Les méthodes basées sur l'analyse des encodeurs échouent car les encodeurs restent intacts (seul le meta-net est modifié).
  • Les méthodes d'inversion de trigger supposant des triggers "rares" (sparse) ou localisés (patchs) échouent car les triggers dans ce contexte sont denses et imperceptibles (perturbations globales $\ell_\infty$).
  • Les méthodes de nettoyage de données ne répondent pas à la question critique : "Le modèle livré est-il ou non compromis ?"

Objectif : Développer une méthode de détection au niveau du modèle capable d'identifier si un modèle CLIP prompt-tuné est compromis, sans accès aux données d'entraînement ni aux échantillons piégés, en utilisant uniquement un ensemble d'images OOD non étiquetées.

---

2. Méthodologie : CLIP-Inspector (CI)

CLIP-Inspector est une méthode de détection basée sur l'inversion de trigger sur des données hors distribution (OOD). Elle fonctionne en supposant un accès en "boîte blanche" au modèle livré.

Principe de Base

L'idée centrale est que si un modèle est compromis, il existe une perturbation $\delta$ qui force n'importe quelle image OOD à être classée comme la classe cible du backdoor. Si le modèle est sain, aucune telle perturbation ne devrait exister avec une forte efficacité.

Algorithme de Détection

Pour chaque classe candidate $c$ (parmi un ensemble de classes potentielles) :

1. Optimisation du Trigger : CI cherche une perturbation $\delta_c$ (bornée par une norme $\ell_\infty$ pour assurer l'imperceptibilité) qui maximise le logit de la classe $c$ sur un ensemble d'images OOD non étiquetées.
   • L'objectif d'optimisation est une fonction de perte de marge : elle maximise la différence entre le logit de la classe cible et le logit de la classe non-cible la plus forte. Cela permet une convergence plus rapide et évite les faux positifs liés au bruit universel.
   • Formule : $\min_{\delta} - \frac{1}{|D|} \sum_{x \in D} [l_c(x+\delta) - \max_{c' \neq c} l_{c'}(x+\delta)]$ sous la contrainte $\|\delta\|_\infty \le \epsilon$.
2. Évaluation de l'Anomalie : Pour chaque classe, deux métriques sont calculées :
   • Taux de succès de l'attaque (ASR) : La proportion d'images OOD qui sont correctement reclassées en $c$ après l'ajout de $\delta_c$.
   • Perte d'optimisation moyenne : La facilité avec laquelle l'optimisation converge.
3. Score d'Anomalie : Un score global est calculé en combinant les scores Z de l'ASR (élevé = suspect) et de la perte (faible = suspect).
   • Si le score d'anomalie maximal dépasse un seuil (par défaut $k=2$), le modèle est déclaré compromis.

Réparation Post-Hoc

Une fois le trigger reconstruit identifié, CI propose une étape de réparation :

• Le modèle est fine-tuné sur un petit ensemble de données propres, mais avec les images perturbées par le trigger reconstruit $\delta_{recon}$ et leurs vraies étiquettes.
• Cela réaligne le modèle, réduisant drastiquement l'efficacité du backdoor tout en préservant la précision sur les données propres.

---

3. Contributions Clés

1. Formalisation du problème : Identification et étude de la détection de backdoors au niveau du modèle spécifiquement pour le prompt-tuning CLIP, où l'encodeur est figé et l'attaque passe par le meta-net.
2. Introduction de CLIP-Inspector : Un détecteur basé sur l'inversion de trigger OOD qui ne nécessite aucune donnée in-distribution étiquetée, capable de reconstruire des triggers imperceptibles et d'identifier la classe cible.
3. Validation exhaustive : Évaluation sur 10 jeux de données et 4 types d'attaques (BadCLIP, Blended, SIBA, WaNet), surpassant significativement les méthodes de l'état de l'art adaptées (Neural Cleanse, Pixel Backdoor).
4. Capacité de réparation : Démonstration que les triggers reconstruits sont fonctionnellement similaires aux triggers originaux et permettent de réduire le taux de succès de l'attaque (ASR) à moins de 10% en quelques étapes de fine-tuning.

---

4. Résultats Expérimentaux

Les expériences ont été menées sur 10 jeux de données (ImageNet, Caltech101, etc.) et 4 attaques différentes.

• Performance de Détection :
  • Précision : CLIP-Inspector atteint 94% de précision (47/50 modèles détectés) avec une seule époque d'optimisation.
  • AUROC : Le score AUROC est de 0.973, comparé à 0.495 pour Neural Cleanse (NC) et 0.687 pour Pixel Backdoor (PixB). Cela indique une séparation nette entre modèles sains et compromis.
  • Faux Positifs : Presque nuls. CI identifie correctement la classe cible avec un F1-score moyen de 0.92, contre 0.06 pour NC et 0.42 pour PixB.
• Efficacité de la Reconstruction :
  • Les triggers reconstruits par CI sont imperceptibles (SSIM moyen de 0.93, proche du trigger original de BadCLIP à 0.96), contrairement aux méthodes NC et PixB qui produisent des artefacts visibles (SSIM ~0.6-0.7).
  • La méthode fonctionne en une seule époque (environ 32 pas de gradient) sur 1000 images OOD, ce qui est beaucoup plus rapide que les méthodes concurrentes (6-8 heures).
• Robustesse :
  • CI reste efficace même face à une attaque adaptative ("BadCLIP Adaptive") conçue pour rendre le trigger très spécifique et résister à l'inversion. Bien que l'ASR de l'attaque adaptative baisse, CI parvient toujours à détecter la majorité des modèles compromis.
• Généralisation :
  • La méthode fonctionne également sur des backdoors au niveau de l'encodeur (sans meta-net), prouvant son agnosticisme vis-à-vis de l'architecture exacte de l'attaque.

---

5. Signification et Impact

Ce travail est crucial pour la sécurité de l'IA dans les scénarios d'externalisation (MLaaS) :

• Vérification Pré-déploiement : Il fournit un outil pratique pour auditer les modèles livrés par des tiers avant leur mise en production, répondant à la question de confiance fondamentale.
• Adaptation aux VLMs : Il comble un vide critique dans la littérature en traitant spécifiquement les vulnérabilités uniques des modèles fondationnels prompt-tunés, là où les défenses traditionnelles échouent.
• Défense Active : Au-delà de la simple détection, il offre un mécanisme de réparation ("post-hoc repair") permettant de nettoyer un modèle compromis sans avoir besoin de réentraîner à partir de zéro.
• Efficacité : Sa légèreté (faible besoin en données, temps de calcul réduit) le rend applicable dans des flux de travail réels de sécurité.

En résumé, CLIP-Inspector établit un nouveau standard pour la vérification de l'intégrité des modèles CLIP prompt-tunés, transformant la menace des backdoors imperceptibles en un problème détectable et réparable.