💻 computer science

TimeGuard: Channel-wise Pool Training for Backdoor Defense in Time Series Forecasting

Pour répondre aux défis de l'enchevêtrement des données et du changement de formulation des tâches qui rendent les défenses existantes inefficaces pour la prévision de séries temporelles, les auteurs proposent TimeGuard, une défense appliquée lors de l'entraînement qui utilise un entraînement par regroupement canal par canal et une sélection de fonction de perte régularisée par la distance pour améliorer considérablement la robustesse face aux attaques par porte dérobée tout en préservant les performances du modèle sur des données propres.

Auteurs originaux : Quang Duc Nguyen, Siyuan Liang, Yiming Li, Fushuo Huo, Dacheng Tao

Publié 2026-05-22

📖 6 min de lecture🧠 Analyse approfondie

CC BY 4.0

Auteurs originaux : Quang Duc Nguyen, Siyuan Liang, Yiming Li, Fushuo Huo, Dacheng Tao

Article original sous licence CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Ceci est une explication générée par l'IA de l'article ci-dessous. Elle n'a pas été rédigée ni approuvée par les auteurs. Pour une précision technique, consultez l'article original. Lire la clause de non-responsabilité complète

Imaginez que vous soyez un météorologue qui s'appuie sur une équipe de 100 capteurs pour prédire la température de demain. Vous faites confiance à ces capteurs pour vous offrir une image claire du vent, de la pluie et de la chaleur.

Maintenant, imaginez qu'un saboteur s'introduise furtivement dans votre salle de contrôle. Il ne brise pas tous les capteurs ; il ne manipule que trois capteurs spécifiques. Il programme ces trois-là pour émettre un signal secret, caché (comme un motif particulier de bips) chaque fois qu'une tempête approche. Lorsqu'ils voient ce signal, ils forcent les trois capteurs à hurler : « Il va faire 100 degrés ! » même s'il gèle en réalité.

Si vous entraînez votre modèle de prévision sur ces données corrompues, il apprend une règle dangereuse : « Si je vois ce bip secret sur ces trois capteurs, ignore les 97 autres capteurs et prédit 100 degrés. »

Il s'agit d'une attaque par porte dérobée sur la prévision de séries temporelles. Le modèle fonctionne parfaitement les jours normaux, mais dès que le déclencheur secret apparaît, il devient fou.

Le Problème : Pourquoi les anciennes défenses ont échoué

L'article explique que les scientifiques ont essayé d'utiliser d'anciennes « gardes du corps » (des défenses conçues pour la reconnaissance d'images ou de texte) pour attraper ces saboteurs dans les données de séries temporelles, mais ils ont échoué pour deux raisons principales :

Le Problème de la « Soupe Diluée » (Enchevêtrement des données) :
Dans la sécurité des images, si une photo est empoisonnée, toute la photo paraît étrange. Mais dans les séries temporelles, le « poison » ne se trouve que sur quelques canaux (capteurs). Si vous considérez l'ensemble du jeu de données comme une grande soupe, les trois capteurs empoisonnés sont noyés par les 97 capteurs propres. Le garde du corps regarde le pot entier et dit : « Cela semble bien », manquant ainsi la petite cuillère empoisonnée.
- Analogie : Tenter de trouver une seule goutte de poison dans une piscine en goûtant toute la piscine. Vous ne la goûterez pas car l'eau propre est trop envahissante.
Le Problème de la « Mathématique Confuse » (Changement de formulation de la tâche) :
Les anciennes défenses examinent souvent le « score d'erreur » (perte) pendant l'entraînement. Elles supposent que les données empoisonnées commettent de grosses erreurs, tandis que les données propres en commettent de petites. Mais dans les séries temporelles, les mathématiques sont différentes. Le modèle apprend à prédire des nombres, pas des catégories. Les données empoisonnées et les données propres finissent par commettre des erreurs de taille similaire, de sorte que le garde du corps ne peut pas les distinguer.
- Analogie : Un enseignant essayant de repérer un élève tricheur en regardant sa note à un examen. Mais le tricheur et l'élève honnête ont tous deux obtenu un « B », donc l'enseignant ne peut pas dire qui est qui.

La Solution : TIMEGUARD

Les auteurs proposent une nouvelle défense appelée TIMEGUARD. Au lieu de considérer l'ensemble du jeu de données comme un seul gros bloc, ils changent complètement de stratégie.

1. Le « Pool par Canal » (L'Approche du Capitaine d'Équipe)
Au lieu de traiter les 100 capteurs comme un seul groupe géant, TIMEGUARD traite chaque capteur comme un membre individuel de l'équipe. Il construit un « Pool Fiable » pour chaque capteur séparément.

Analogie : Au lieu de juger tout l'orchestre, le chef d'orchestre écoute chaque violoniste individuellement. Si le 3e violoniste joue un code secret étrange, le chef retire uniquement les notes de ce violoniste de la séance de répétition, tout en conservant les notes des 97 autres musiciens. Cela empêche le « poison » de diluer le signal.

2. Les Filtres « Conscients du Temps » (Les Deux Indices du Détective)
Pour décider quelles notes de capteurs sont sûres à conserver, TIMEGUARD utilise deux vérifications astucieuses :

La Vérification de la « Cohérence Inverse » : Les données de séries temporelles s'écoulent généralement vers l'avant (Passé $\to$ $\to$ Futur). La porte dérobée est conçue pour fonctionner uniquement dans cette direction. TIMEGUARD tente de faire défiler les données à l'envers (Futur $\to$ $\to$ Passé). Les données propres ont du sens dans les deux sens, mais les données empoisonnées (le déclencheur secret) s'effondrent lorsqu'elles sont jouées à l'envers.
- Analogie : Regarder un film d'un verre qui se brise. Si vous le passez à l'endroit, cela semble réel. Si vous le passez à l'envers (les morceaux de verre volant vers le haut pour se reformer), cela semble impossible. La porte dérobée est comme le « film à l'envers impossible ».
La Vérification de la « Diversité du Voisinage » : Les données empoisonnées ont tendance à ressembler de manière suspecte à d'autres données empoisonnées car l'attaquant utilise le même motif de déclencheur. TIMEGUARD recherche des points de données qui sont « isolés » ou diversifiés. Si un groupe de points de données est tous regroupés ensemble, se ressemblant exactement, il s'agit probablement d'un piège.
- Analogie : Dans une foule, si un groupe de personnes porte toutes exactement le même masque étrange et se tient en cercle serré, ce sont probablement les saboteurs. TIMEGUARD garde les personnes diversifiées et d'apparence normale, et expulse le « clan ».

3. L'Entraînement « Régularisé par la Distance » (L'Expansion Lente)
Une fois que TIMEGUARD a trouvé un petit groupe de données sûr, il commence à entraîner le modèle. Mais il ne rejette pas toutes les données d'un coup. Il étend lentement le « pool sûr », vérifiant constamment que les nouvelles données ne sont pas trop similaires à l'ancien « clan » de poison. Cela garantit que le modèle apprend la vérité sans réapprendre accidentellement le code secret.

Les Résultats

L'article a testé TIMEGUARD contre les saboteurs les plus intelligents (attaques) en utilisant des données réelles telles que le flux de trafic, la météo et la consommation d'électricité.

Le Résultat : TIMEGUARD a été un succès massif. Il a empêché le modèle de suivre les commandes secrètes (améliorant la robustesse de près de 2 fois par rapport à la meilleure méthode précédente).
Le Coût : Il n'a pas ruiné la capacité du modèle à prédire la météo ou le trafic normaux. La performance « propre » est restée presque exactement la même (dans une marge de 5 %).

En résumé : TIMEGUARD est un système de sécurité intelligent qui arrête de regarder la « grande image » et commence à écouter chaque « voix individuelle » dans les données. En vérifiant si les données ont du sens à l'envers et si les points de données sont trop similaires les uns aux autres, il filtre le poison sans jeter les bonnes données.

Résumé Technique : TIMEGUARD

Énoncé du Problème

La prévision de séries temporelles (TSF) est cruciale pour des domaines tels que la prédiction climatique et l'analyse économique, mais elle est vulnérable aux attaques par porte dérobée. Dans ces attaques, des adversaires injectent des motifs déclencheurs cachés dans les données d'entraînement pour manipuler les prédictions du modèle lorsque des déclencheurs spécifiques apparaissent lors de l'inférence, tout en maintenant des performances normales sur des entrées bénignes.

Malgré des recherches extensives dans les modèles de classification et génératifs, les défenses contre les portes dérobées pour la TSF restent considérablement sous-explorées. L'article identifie deux défis fondamentaux qui empêchent les défenses basées sur la classification existantes de se transférer efficacement vers la TSF :

Enchevêtrement des Données : Les séries temporelles multivariées présentent des structures de canaux simultanées et des dépendances temporelles. Les attaques empoisonnent souvent uniquement un sous-ensemble de canaux, ce qui dilue les signaux de porte dérobée au niveau du canal. Cela rend les défenses de filtrage au niveau de l'échantillon et de synthèse de déclencheurs inefficaces, car elles ne peuvent pas localiser les portes dérobées lorsque la granularité de l'attaque (sous-ensemble de canaux) ne correspond pas à la granularité de la défense (échantillon entier).
Changement de Formulation de la Tâche : La TSF implique une régression à valeurs continues avec des fenêtres d'entrée-sortie chevauchantes, contrairement à la classification discrète. Ce changement fait que les fenêtres empoisonnées et propres présentent des distributions de perte similaires lors des premières étapes de l'entraînement, entraînant une dégradation de la perte d'entraînement. Par conséquent, les défenses reposant uniquement sur la séparation de la perte d'entraînement échouent à distinguer les données empoisonnées des données propres.

Méthodologie : TIMEGUARD

Pour répondre à ces défis, les auteurs proposent TIMEGUARD, une défense contre les portes dérobées opérant pendant l'entraînement, qui fonctionne sans nécessiter de données propres supplémentaires. Le paradigme central passe de l'entraînement au niveau de l'échantillon à l'entraînement de pool fiable par canal.

La méthode se déroule en deux étapes :

1. Initialisation du Pool Fiable par Canal (Étape I)

Au lieu de rejeter des échantillons entiers, TIMEGUARD traite l'objectif de chaque canal indépendamment. Il construit un pool initial fiable ( $D_{rel}$ ) à haute confiance en intersectant deux critères complémentaires et conscients du temps :

Filtrage par Cohérence Inverse (RCF) : Exploitation de l'asymétrie temporelle des portes dérobées en TSF. Alors que les déclencheurs sont conçus pour la direction de prévision (passé $\to$ futur), ils n'imposent pas de dépendances inverses cohérentes (futur $\to$ passé). Un backcaster auxiliaire est entraîné pour reconstruire l'historique inversé à partir du futur inversé. Les échantillons avec une faible perte de cohérence inverse sont sélectionnés, car les dépendances de porte dérobée échouent généralement dans le sens inverse.
Filtrage par Diversité de Voisinage (NDF) : Basé sur l'insight théorique selon lequel les portes dérobées TSF réussies induisent des clusters serrés et très similaires de fenêtres d'entrée empoisonnées. TIMEGUARD calcule une distance de voisinage basée sur la corrélation de Pearson pondérée par une gaussienne. Les échantillons avec de grandes distances de voisinage (indiquant une diversité temporelle) sont sélectionnés pour éviter les clusters concentrés typiques des données empoisonnées.

Le pool fiable initial est l'intersection des échantillons passant à la fois le RCF et le NDF.

2. Sélection de Perte Régularisée par Distance (Étape II)

Pendant la phase principale d'entraînement, le modèle est entraîné sur le pool fiable. Pour étendre progressivement ce pool tout en empêchant la réintroduction de fenêtres empoisonnées corrélées, TIMEGUARD introduit la Sélection de Perte Régularisée par Distance (DRLS).

Ce mécanisme sélectionne de nouveaux candidats basés sur une faible perte d'entraînement, mais régularise cette sélection avec une contrainte de diversité de voisinage.
Il garantit que même si des fenêtres empoisonnées atteignent une faible perte (en raison du changement de formulation de la tâche), elles ne sont pas admises si elles sont fortement corrélées avec des échantillons empoisonnés existants dans le pool.
La taille du pool est progressivement étendue d'un ratio initial $\alpha$ à un ratio maximum $\beta$ pendant l'entraînement.

Contributions Clés

Évaluation Systématique : L'article présente la première évaluation systématique de 13 défenses contre les portes dérobées représentatives à travers le cycle de vie de la TSF. Il révèle deux modes d'échec spécifiques à la TSF : la dilution du signal due à l'enchevêtrement des données et la dégradation de la perte due au changement de formulation de la tâche.
Proposition de TIMEGUARD : Une nouvelle défense opérant pendant l'entraînement qui apprend à partir de données fiables par canal. Elle atténue la dilution du signal et la dégradation de la perte d'entraînement sans nécessiter d'échantillons propres supplémentaires, en utilisant une initialisation de pool consciente du temps et une expansion régularisée par distance.
Validation Étendue : La méthode est évaluée sur trois jeux de données (PEMS03, Weather, ETTm1), trois architectures de prévision (FEDformer, TimesNet, SimpleTM) et trois attaques représentatives (Random, FreqBack-TSF, BackTime). Elle démontre également sa transférabilité vers des prévisionneurs basés sur des LLM.

Résultats

Des expériences extensives démontrent que TIMEGUARD améliore substantiellement la robustesse tout en préservant les performances de prévision propres :

Robustesse : TIMEGUARD réalise une amélioration de 1,96 $\times$ du MAEP (Erreur Absolue Moyenne sur les entrées empoisonnées) par rapport à la ligne de base de pointe (PDB) sur le jeu de données PEMS03.
Performance Propre : Il préserve les performances propres (MAEC) à moins de 5% du modèle non défendu.
Efficacité de la Défense : La métrique proposée Forecasting Defense Effectiveness Rating (FDER) montre que TIMEGUARD surpasse constamment les méthodes existantes, atteignant des scores FDER supérieurs à 0,80 dans divers contextes.
Généralisation : La méthode reste efficace sur différents jeux de données, architectures de modèles, et se transfère même aux prévisionneurs basés sur des LLM (produisant un gain MAEP d'au moins 5,14 $\times$ avec seulement un changement de 3,8% du MAEC propre). Elle maintient également son efficacité sous un empoisonnement extrême de tous les canaux ( $\eta_S = 1.0$ ).
Efficacité : Bien que TIMEGUARD entraîne une surcharge de temps d'entraînement (environ 1,58 $\times$ l'entraînement vanilla), il évite la lourde surcharge de temps d'inférence (4–100 $\times$ ) associée aux défenses opérant lors de l'inférence, le rendant pratique pour les systèmes de TSF en temps réel.

Importance et Revendications

L'article revendique que TIMEGUARD répond aux défis structurels et de formulation de tâche spécifiques aux données de séries temporelles qui ont entravé l'adoption des défenses contre les portes dérobées existantes. En reformulant le problème du niveau de l'échantillon au niveau du canal et en exploitant l'asymétrie temporelle et la diversité de voisinage, TIMEGUARD fournit une défense robuste et agnostique au modèle qui ne dépend pas de la disponibilité de données propres de confiance. Les auteurs soulignent que leur travail met en évidence la nécessité de systèmes de prévision plus robustes et dignes de confiance, et suggère que les travaux futurs devraient se concentrer sur le développement de défenses efficaces opérant lors de l'inférence pour la TSF.