💻 computer science

PASTA: A Patch-Agnostic Twofold-Stealthy Backdoor Attack on Vision Transformers

Ce papier présente PASTA, une attaque par porte dérobée furtive et agnostique aux patches pour les Vision Transformers, qui exploite un effet de rayonnement des déclencheurs via une optimisation bi-niveau pour atteindre un taux de succès élevé tout en améliorant considérablement la furtivité visuelle et attentionnelle ainsi que la robustesse face aux défenses existantes.

Auteurs originaux : Dazhuang Liu, Yanqi Qiao, Rui Wang, Kaitai Liang, Georgios Smaragdakis

Publié 2026-04-23

📖 5 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Dazhuang Liu, Yanqi Qiao, Rui Wang, Kaitai Liang, Georgios Smaragdakis

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

🍕 PASTA : Le "Super-Pizza" qui trompe les yeux et le cerveau

Imaginez que vous avez un robot très intelligent, un Vision Transformer (ViT), qui sert de garde du corps pour votre maison. Son travail est de regarder une photo et de dire : "C'est un chat" ou "C'est un chien".

Habituellement, on pense que pour tromper ce robot, il faut lui montrer un petit autocollant caché (un "déclencheur") à un endroit très précis de la photo, comme un point rouge sur le nez du chat. Si le robot voit ce point rouge, il panique et crie "C'est un chien !", même si c'est un chat.

Mais les chercheurs de cet article ont découvert quelque chose de surprenant et ont créé une nouvelle attaque appelée PASTA (qui signifie Patch-Agnostic Twofold-Stealthy Backdoor Attack).

Voici comment ça marche, en utilisant des analogies simples :

1. Le problème des anciennes attaques : Le "Point Rouge" rigide

Les anciennes méthodes fonctionnaient comme un système d'alarme à code PIN.

Si vous tapez le bon code au bon endroit (le point rouge sur le nez), l'alarme sonne.
Mais si vous tapez le même code un peu plus à gauche ou à droite (sur la joue du chat), l'alarme ne sonne pas.
De plus, le point rouge est souvent trop gros ou bizarre, ce qui permet aux humains de le voir facilement.

2. La découverte révolutionnaire : L'effet "Radiateur" (TRE)

Les chercheurs ont observé que les ViTs fonctionnent différemment des robots classiques. Grâce à leur mécanisme d'"attention" (leur façon de regarder l'image), ils sont comme une pièce chauffée par un radiateur.

L'analogie : Si vous allumez un radiateur au milieu d'une pièce, la chaleur ne reste pas juste au centre. Elle se propage et réchauffe tout le voisinage.
La découverte : Si vous mettez un petit "déclencheur" sur une image, le robot ViT ne le voit pas seulement à cet endroit précis. Il le "ressent" partout autour, comme une onde de chaleur. C'est ce qu'ils appellent l'Effet de Rayonnement du Déclencheur (TRE).
Le résultat : Peu importe où vous mettez le déclencheur sur la photo (sur l'oreille, la queue, le fond), le robot réagit de la même manière !

3. La solution PASTA : Le "Super-Pizza" invisible

PASTA utilise cette découverte pour créer une attaque parfaite en trois étapes :

Étape 1 : L'Entraînement Multi-Emplacements
Au lieu d'apprendre au robot à réagir à un seul endroit, les pirates entraînent le robot avec le déclencheur à des dizaines d'endroits différents sur la même image (comme si on mettait des petits points de moutarde sur toutes les parts d'une pizza).
- Résultat : Le robot apprend que "peu importe où c'est, c'est dangereux". Il devient hypersensible à l'odeur de la moutarde, où qu'elle soit.
Étape 2 : Le Double Camouflage (La "Double Stealth")
C'est là que PASTA devient génial. La plupart des attaques sont soit invisibles pour l'œil humain, soit invisibles pour les machines qui surveillent le robot. PASTA réussit les deux :
- Invisible pour l'œil : Le déclencheur est si petit et si bien mélangé qu'un humain ne le voit pas (comme une goutte d'encre dans un verre d'eau).
- Invisible pour la machine : Les autres attaques font que le robot "regarde" trop fort le déclencheur (comme s'il fixait un point fixe). PASTA, lui, ne change pas la façon dont le robot regarde l'image. Pour les systèmes de sécurité, l'image semble parfaitement normale.
Étape 3 : L'Optimisation Adaptative
Trouver le déclencheur parfait tout en restant invisible est un casse-tête mathématique complexe. Les chercheurs ont inventé une méthode où le robot et le déclencheur s'ajustent l'un à l'autre petit à petit, comme deux danseurs qui apprennent à se synchroniser sans se marcher sur les pieds. Cela évite de se coincer dans une solution moyenne.

4. Pourquoi c'est dangereux (et pourquoi c'est important) ?

PASTA est une arme redoutable car :

Elle est flexible : Le pirate n'a pas besoin de viser un endroit précis. Il peut mettre le déclencheur n'importe où sur l'image, et ça marche.
Elle résiste aux défenses : Les systèmes de sécurité actuels essaient de bloquer les zones où le robot "regarde" trop fort. Comme PASTA ne force pas le robot à regarder un endroit précis, ces défenses échouent.
Elle est invisible : Ni les humains, ni les logiciels de détection ne peuvent la repérer facilement.

En résumé

Imaginez que vous voulez pirater un système de sécurité qui vérifie les passagers d'un avion.

Les anciennes méthodes : Vous devez cacher un objet métallique exactement dans la poche gauche du passager. Si le passager le met dans la poche droite, ça ne marche pas. Et si l'objet est gros, on le voit.
PASTA : Vous apprenez au système de sécurité à réagir à une "odeur" spécifique. Peu importe où le passager porte l'objet (poches, ceinture, chaussures), le système sonne l'alarme. Et l'objet est si bien caché que même les chiens renifleurs (les défenses) ne le sentent pas.

C'est une démonstration puissante que les nouveaux modèles d'intelligence artificielle (les ViTs) ont des failles uniques que nous devons comprendre pour mieux les protéger.

1. Problématique et Contexte

Les Vision Transformers (ViTs) ont révolutionné la vision par ordinateur grâce à leur mécanisme d'auto-attention, qui permet de capturer des dépendances à longue portée entre les patches d'une image. Cependant, comme les réseaux de neurones convolutifs (CNN), ils sont vulnérables aux attaques par porte dérobée (backdoor attacks).

Les attaques existantes contre les ViTs souffrent de deux limitations majeures :

Dépendance à la localisation du déclencheur (Trigger Activation Location - TAL) : Les attaques actuelles nécessitent que le déclencheur soit inséré à un emplacement précis (défini lors de l'entraînement) pour être activé lors de l'inférence. Elles ne tirent pas pleinement parti de la capacité des ViTs à connecter des patches distants.
Manque de furtivité double (Twofold Stealthiness) : Les attaques optimisées pour maximiser l'attention du modèle sur le déclencheur (pour augmenter l'efficacité) créent des artefacts visuels et des anomalies dans les cartes d'attention, les rendant détectables par inspection humaine ou par des mécanismes de défense automatisés.

L'article pose la question suivante : Comment concevoir une attaque par porte dérobée sur les ViTs qui soit furtive à la fois visuellement et au niveau de l'attention, tout en permettant l'activation du backdoor via un déclencheur placé sur n'importe quel patch de l'image ?

2. Observations Fondamentales

Avant de proposer leur solution, les auteurs ont réalisé une étude empirique révélant deux phénomènes clés :

Effet de Rayonnement du Déclencheur (Trigger Radiating Effect - TRE) : Contrairement aux CNN où l'efficacité de l'attaque chute drastiquement si le déclencheur n'est pas à l'emplacement exact d'entraînement, les ViTs présentent un TRE. Un déclencheur inséré sur un patch spécifique reste efficace même si l'inférence place le déclencheur sur des patches voisins. Cet effet est dû au mécanisme d'auto-attention qui relie globalement les patches.
Effet Synergique Multi-Emplacements : L'entraînement d'un backdoor en insérant le déclencheur de manière aléatoire sur plusieurs emplacements potentiels (stratégie "inter-patch") améliore significativement le TRE par rapport à l'insertion sur un seul patch fixe.

3. Méthodologie : L'Attaque PASTA

Les auteurs proposent PASTA (Patch-Agnostic Twofold-Stealthy Attack), une attaque conçue pour contourner les défenses tout en maintenant une furtivité maximale.

A. Nouvelle Charge Utile (Payload)

Contrairement aux attaques classiques, PASTA permet d'activer le backdoor avec un déclencheur placé sur n'importe quel patch de l'image lors de l'inférence, tout en maintenant un taux de réussite élevé.

B. Stratégie d'Insertion Multi-Emplacements (MIS)

Pour maximiser le TRE, PASTA utilise une stratégie d'insertion hiérarchique :

Un ensemble de candidats de patches est défini (incluant le centre de l'image, le centre de chaque quadrant, et les coins).
Pour chaque échantillon empoisonné, un patch est sélectionné aléatoirement parmi ces candidats pour l'insertion du déclencheur. Cela force le modèle à apprendre à réagir au déclencheur quelle que soit sa position.

C. Furtivité Double (Twofold Stealthiness)

L'attaque vise deux types de furtivité :

Furtivité Visuelle : Le déclencheur est ajouté aux pixels (superposition) plutôt que de les remplacer, avec une contrainte de norme $L_2$ faible pour rester imperceptible à l'œil humain.
Furtivité de l'Attention : L'objectif est de minimiser la différence entre les cartes d'attention des images propres et des images empoisonnées. Contrairement aux attaques précédentes qui maximisent l'attention sur le déclencheur, PASTA la minimise pour éviter la détection par les mécanismes de surveillance de l'attention.

D. Optimisation Bi-Niveau et Cadre Adaptatif

Le défi principal est l'optimisation conjointe des paramètres du modèle ( $\theta$ ) et du déclencheur ( $t$ ), qui sont non séparables (la modification de l'un affecte la perte de l'autre).

Formulation Bi-niveau : Le problème est formulé comme une optimisation bi-niveau où le modèle optimise ses paramètres (niveau supérieur) et le déclencheur est optimisé conditionnellement (niveau inférieur).
Cadre d'Entraînement Adaptatif : Pour éviter les optima locaux, les auteurs proposent une alternance itérative :
1. Optimisation du déclencheur $t$ sur un petit nombre d'itérations (en gardant $\theta$ fixe).
2. Optimisation des paramètres du modèle $\theta$ sur un petit nombre d'itérations (en gardant $t$ fixe).
  Cette alternance fréquente permet aux deux variables de s'adapter progressivement l'une à l'autre, assurant une convergence vers une solution qui satisfait à la fois l'efficacité de l'attaque et les contraintes de furtivité.

4. Résultats Expérimentaux

Les expériences ont été menées sur quatre jeux de données (CIFAR-10, CIFAR-100, ImageNet, et un sous-ensemble d'ImageNet) en utilisant des architectures ViT-Base.

Efficacité de l'Attaque (ASR et TRE) :
- PASTA atteint un taux de réussite moyen (ASR) de 99,13 % sur tous les patches, démontrant un TRE exceptionnel.
- Cela est nettement supérieur aux attaques existantes (BadNets, BadViT, DBIA) dont le TRE moyen est d'environ 45 % sous la même charge utile.
- La précision sur les données propres (ACC) est préservée, avec une chute moyenne de seulement 0,99 %.
Furtivité Visuelle :
- PASTA surpasse toutes les autres attaques en termes de furtivité visuelle.
- Amélioration de 144,43 fois par rapport aux attaques de référence selon la métrique $L_2$ (erreur quadratique moyenne), rendant les images empoisonnées quasi indistingables des images propres.
Furtivité de l'Attention :
- Amélioration de 18,68 fois en termes de furtivité de l'attention (mesurée par la distance entre les cartes d'attention).
- Les cartes d'attention des images empoisonnées par PASTA sont statistiquement identiques à celles des images propres, contrairement aux autres attaques qui montrent un pic d'attention anormal sur le déclencheur.
Robustesse aux Défenses :
- Contre les opérations de patches (Patch Drop/Shuffle) : PASTA maintient une efficacité élevée (ASR > 90 %) en utilisant des stratégies multi-emplacements, là où les attaques fixes échouent.
- Contre les défenses basées sur l'attention (BAVT) : En insérant le déclencheur sur 10 emplacements différents, PASTA atteint un ASR de 100 %, rendant la défense BAVT (qui bloque le patch à l'attention la plus forte) inefficace.
- Contre DBAVT (Détection) : Le taux de faux négatifs (FNR) pour les images propres est faible, et le taux de vrais positifs (TPR) pour détecter les images empoisonnées est extrêmement bas (0,2 % sur ImageNet), montrant que PASTA échappe à la détection.

5. Contributions Clés et Signification

Découverte du TRE : Première identification et quantification de l'effet de rayonnement des déclencheurs sur les ViTs, prouvant que l'auto-attention permet une activation du backdoor sur des patches adjacents ou variés.
Nouveau Payload "Patch-Agnostic" : Introduction d'une charge utile permettant l'activation du backdoor sur n'importe quel patch, rendant les défenses basées sur la localisation fixe obsolètes.
Furtivité Double : Réussite à concilier une efficacité d'attaque maximale avec une furtivité visuelle et attentionnelle extrême, comblant le fossé entre les attaques CNN et ViT.
Cadre d'Optimisation Innovant : Proposition d'une méthode d'entraînement adaptatif bi-niveau pour résoudre le problème d'optimisation non séparable entre le modèle et le déclencheur.

Signification :
Ce travail met en lumière une vulnérabilité fondamentale des ViTs : leur mécanisme d'attention global, conçu pour améliorer la compréhension des images, peut être exploité pour créer des backdoors extrêmement robustes et furtifs. PASTA démontre que les défenses actuelles, souvent calibrées pour des déclencheurs fixes et visibles, sont insuffisantes face à des attaques adaptatives et distribuées. Cela appelle à de nouvelles stratégies de défense pour les modèles basés sur l'attention, capables de détecter des anomalies subtiles indépendamment de la position spatiale du déclencheur.