Rethinking Backdoor Adversarial Unlearning through the Lens of Catastrophic Forgetting in Continual Learning

Résumé Technique : Repenser l'oubli d'attaques par porte dérobée (Backdoor) à travers le prisme de l'oubli catastrophique dans l'apprentissage continu

Énoncé du Problème
Les stratégies actuelles de défense contre les portes dérobées, en particulier les méthodes de réglage de sécurité (safety tuning), n'offrent souvent qu'une protection superficielle. Bien qu'elles puissent réduire initialement le taux de réussite de l'attaque (ASR), elles échouent fréquemment à éliminer complètement les caractéristiques de la porte dérobée intégrées. Des preuves récentes indiquent que les modèles « purifiés » conservent des connaissances résiduelles de la porte dérobée, qui peuvent être rapidement réactivées par des adversaires via un ré-ajustement (Attaque de Ré-ajustement/Retuning Attack) ou des perturbations basées sur des requêtes (Attaque de Réactivation par Requête/Query-based Reactivation Attack). Les défenses existantes peinent à équilibrer l'élimination des caractéristiques de la porte dérobée avec la préservation de la performance sur les tâches saines, en particulier contre les attaques caractérisées par une faible orthogonalité ou une faible linéarité où les caractéristiques saines et de la porte dérobée sont entremêlées.

Méthodologie
Les auteurs proposent un nouveau cadre qui réinterprète l'apprentissage et l'oubli de portes dérobées comme un processus d'apprentissage continu (CL) séquentiel en trois étapes : une tâche saine ($\tau_c$), une tâche de porte dérobée ($\tau_b$) et une tâche d'oubli de porte dérobée ($\tau_u$).

1. Fondement Théorique via l'Oubli Catastrophique :

   • Le document définit l'Oubli Complet de Porte Dérobée comme un état où la tâche d'oubli $\tau_u$ élimine complètement l'effet de la porte dérobée (faisant en sorte que la sortie du modèle purifié sur les données empoisonnées corresponde à la sortie du modèle sain) tout en préservant la performance sur la tâche saine.
   • En s'appuyant sur le cadre du Noyau Tangent Neural (NTK), les auteurs dérivent une condition nécessaire pour y parvenir : la tâche d'oubli doit être antagoniste et parallèle à la tâche de la porte dérobée (pour maximiser l'oubli des caractéristiques de la porte dérobée) tout en restant orthogonale à la tâche saine (pour éviter l'oubli catastrophique des connaissances saines).
   • Cela conduit à un principe de conception pour les exemples adverses : ils doivent s'aligner sur les caractéristiques de la porte dérobée pour déclencher le modèle de la porte dérobée, tout en préservant le contenu sémantique de l'échantillon original pour satisfaire le modèle sain.

2. Oubli d'Attaque par Porte Dérobée par Inversion Aveugle (BI-BAU - Blind Inversion-Backdoor Adversarial Unlearning) :

   • Puisque le défenseur n'a pas accès au jeu de données empoisonné original ni au déclencheur (trigger) exact de la porte dérobée, le problème est formulé comme un problème d'Inversion Aveugle. L'objectif est de récupérer des exemples adverses (la « source ») qui satisfont des contraintes spécifiques étant donné uniquement les sorties du modèle (les « mesures »).
   • Les auteurs résolvent cela en utilisant un cadre d'algorithme d'Espérance-Maximisation (EM) pour optimiser un objectif de Maximum A Posteriori (MAP) :
     • Étape E (Maximisation Interne) : Génère des exemples adverses ($\tilde{x}$) qui satisfont deux conditions : (1) ils déclenchent la prédiction de l'étiquette cible par le modèle de la porte dérobée, et (2) ils préservent la sémantique saine de l'échantillon original. Ceci est réalisé via une perte composite impliquant l'entropie croisée, la distillation de connaissances (pour maintenir la cohérence sémantique), et une perte de priorité qui aligne la perturbation des caractéristiques avec la direction du gradient de la porte dérobée tout en maintenant l'orthogonalité par rapport à la direction des caractéristiques saines.
     • Étape M (Minimisation Externe) : Met à jour les paramètres du modèle en utilisant les exemples adverses générés. Cette étape incorpore un terme d'EWC (Elastic Weight Consolidation) inverse pour encourager les mises à jour des paramètres le long du gradient de la porte dérobée (favorisant l'oubli) et un terme EWC standard pour préserver la performance de la tâche saine.

3. Extensions :

   • La méthode est étendue aux scénarios non ciblés où la classe cible est inconnue.
   • Elle est également adaptée à l'apprentissage contrastif multi-modal (par exemple, les modèles CLIP), élargissant ainsi son applicabilité aux modèles de fondation pré-entraînés.

Contributions Clés

• Cadre Théorique : Le document est le premier à étudier systématiquement l'oubli de porte dérobée sous l'angle de l'apprentissage continu et de l'oubli catastrophique. Il fournit une définition formelle de l'oubli complet de porte dérobée et dérive les conditions nécessaires (alignement des tâches et orthogonalité) pour y parvenir.
• Algorithme BI-BAU : Les auteurs proposent BI-BAU, une méthode d'oubli robuste qui formule le problème comme une tâche d'inversion aveugle résolue via une optimisation bi-niveau au sein d'un cadre EM. Elle gère efficacement les scénarios avec des classes cibles inconnues et les contextes multi-modaux.
• Évaluation Complète : Des expériences approfondies démontrent que BI-BAU parvient à une suppression quasi complète des effets de porte dérobée à travers un large spectre d'attaques, y compris les attaques difficiles à faible orthogonalité et faible linéarité (ex: Refool, SIG, Narcissus) où les méthodes de référence de l'état de l'art échouent.

Résultats Expérimentaux

• Robustesse face à diverses attaques : Sur CIFAR-10 et d'autres benchmarks, BI-BAU atteint systématiquement un ASR faible (souvent < 5 %) tout en maintenant une précision saine (CA) élevée, surpassant la synthèse de déclencheurs (ex: BTI-DBF), la reconstruction de modèle (ex: ANP, CLP) et d'autres méthodes d'oubli adverse (ex: SAU, I-BAU).
• Résilience Post-Purification : Crucialement, BI-BAU démontre une forte résistance aux attaques de réactivation. Lorsqu'il est soumis à des attaques de ré-ajustement (RA) et de réactivation par requête (QRA), l'ASR des modèles purifiés par BI-BAU reste faible (R-ASR moyen ~12,48 %, Q-ASR ~5,75 %), se rapprochant des performances d'un scénario idéal où le défenseur aurait accès aux véritables données empoisonnées. En revanche, d'autres méthodes montrent des hausses d'ASR significatives (souvent > 60-80 %) lors de la réactivation.
• Performance en Faible Orthogonalité : La méthode défend efficacement contre les attaques où les caractéristiques saines et de la porte dérobée sont fortement entremêlées, une faiblesse connue des défenses existantes.
• Vérification au Niveau Neural : En utilisant le Coefficient d'Existence de Porte Dérobée (BEC), les auteurs vérifient que BI-BAU réduit les signatures neurales internes des portes dérobées, confirmant que l'oubli n'est pas simplement superficiel.

Signification et Revendications
Le document affirme qu'en déplaçant la perspective de la manipulation directe des paramètres vers la dynamique de l'oubli catastrophique dans l'apprentissage continu, il est possible d'établir des conditions fondées pour éliminer véritablement les portes dérobées. Les auteurs soutiennent que BI-BAU comble l'écart critique des stratégies actuelles de réglage de sécurité, qui laissent souvent des vulnérabilités résiduelles. En formalisant le processus d'oubli comme un problème d'inversion aveugle et en le résolvant via une optimisation bi-niveau basée sur l'EM, la méthode offre une solution robuste et généralisable qui maintient l'utilité du modèle tout en supprimant de manière approfondie les comportements malveillants, même dans des scénarios de déploiement réels complexes impliquant des modèles pré-entraînés et des configurations d'attaque inconnues.