Résumé Technique : Backdoors Statistiquement Indétectables dans les Réseaux de Neurones Profonds

1. Énoncé du Problème

L'article traite des implications pour la sécurité et la confiance du paradigme « Machine-Learning-as-a-Service » (MLaaS), où un petit nombre d'institutions entraînent des réseaux de neurones profonds (DNN) pour la masse. La question centrale est de savoir si un adversaire (l'entraîneur du modèle) peut implanter une « backdoor » (porte dérobée) dans un DNN qui lui accorde un contrôle exclusif sur des sorties spécifiques du modèle (plus précisément, la capacité de générer des exemples adverses) tout en restant statistiquement indiscernable d'un modèle entraîné honnêtement, même lorsque l'utilisateur dispose de l'intégralité des paramètres du modèle (accès white-box).

Les auteurs se concentrent sur les exemples adverses basés sur l'invariance, où des changements de grande ampleur choisis de manière adversaire sur l'entrée résultent en des changements anormalement faibles sur la sortie (c'est-à-dire que $M(x) \approx M(x')$ pour $x \neq x'$). L'objectif est de démontrer une asymétrie de puissance où l'entraîneur peut générer efficacement de telles collisions, tandis que tout adversaire de temps polynomial sans la backdoor ne le peut pas.

2. Méthodologie et Construction

2.1 Contraintes du Modèle

La construction s'applique à une classe spécifique de DNN feedforward satisfaisant trois contraintes :

1. Première Couche de Compression Gelée : La première couche est une matrice gaussienne aléatoire $m \times n$ ($m < n$) qui n'est pas mise à jour pendant l'entraînement. Elle agit comme une application de caractéristiques aléatoires (random feature map).
2. Composition Bi-Lipschitzienne : La composition de toutes les couches suivantes est bi-lipschitzienne (avec une distorsion $\beta_{upper}$). Cela garantit que de petits changements dans l'entrée ne provoquent pas de changements arbitrairement grands dans la sortie, et vice versa. Ceci est réalisé en utilisant des fonctions d'activation bi-lipschitziennes (par exemple, Leaky ReLU) et des matrices de poids bien conditionnées.
3. Entrées Discrètes : Les entrées sont des entiers issus d'une plage bornée (par exemple, des valeurs de pixels).

2.2 Le Mécanisme de la Backdoor

Le cœur de la construction repose sur l'implantation d'un vecteur de backdoor $z \in \{\pm 1\}^n$ dans la matrice gaussienne $A$ de la première couche.

• Génération : L'entraîneur échantillonne un $z$ aléatoire, puis échantillonne les lignes de $A$ de telle sorte que $\|Az\|_\infty$ soit extrêmement petit (spécifiquement $\leq \kappa\sqrt{n}$). Ceci est réalisé via un processus d'échantillonnage par rejet (ou échantillonnage conditionnel direct) où les lignes $a_i$ sont échantillonnées à partir d'une distribution gaussienne conditionnée sur $|a_i^\top z| \leq \kappa\sqrt{n}$.
• Activation : Pour générer un exemple adverse pour n'importe quel intrant $x$, l'entraîneur calcule simplement $x' = x + z$. En raison de la linéarité de la première couche, $A(x+z) = Ax + Az \approx Ax$. Comme les couches suivantes sont bi-lipschitziennes, la sortie finale $M(x')$ reste proche de $M(x)$.
• Indétectabilité : Les auteurs prouvent que la distribution de la matrice $A$ possédant la backdoor est statistiquement proche d'une matrice gaussienne i.i.d. standard $N(0, 1)^{m \times n}$ en termes de distance de Variation Totale (TV). Cette proximité est établie en analysant la concentration du nombre de solutions $N(A)$ (le compte de $z$ tels que $\|Az\|_\infty$ est petit). Ils montrent que le second moment de $N(A)$ est proche du carré de son premier moment, impliquant que la densité de la matrice avec la backdoor diffère de la gaussienne honnête uniquement par un facteur multiplicatif négligeable.

2.3 Dureté Cryptographique

La sécurité de la backdoor repose sur la difficulté computationnelle de trouver un tel vecteur $z'$ étant donné uniquement la matrice $A$. Ce problème est équivalent à la recherche d'un vecteur court dans un réseau ou à la résolution du problème du Symmetric Binary Perceptron (SBP). Sous les hypothèses cryptographiques standards (spécifiquement, la dureté dans le pire des cas des problèmes de réseaux comme LWE), il est computationnellement intraitable pour tout algorithme de temps polynomial de trouver un vecteur $z'$ tel que $\|Az'\|_\infty$ soit aussi petit que le $\|Az\|_\infty$ implanté.

3. Contributions Clés et Résultats

3.1 Indétectabilité Statistique

L'article prouve que pour tout algorithme d'entraînement efficace $A$ produisant un modèle $M_A$ sous les contraintes énoncées, il existe un algorithme de backdoor $B$ produisant un modèle $M_B$ et une backdoor $z$ tels que :

• La distance de Variation Totale entre les descriptions de $M_A$ et $M_B$ (incluant tous les poids) est $\epsilon = \tilde{O}(\sqrt{m/n})$.
• Aucun algorithme, quelle que soit sa puissance de calcul, ne peut distinguer $M_A$ de $M_B$ avec un avantage supérieur à $\epsilon$. Il s'agit d'une garantie statistique, plus forte que l'indétectabilité computationnelle trouvée dans les travaux précédents (ex: [GKVZ22]).

3.2 Asymétrie de Puissance Exponentielle

L'article définit la force de la backdoor comme le ratio entre la meilleure collision qu'un adversaire peut trouver et la collision que le détenteur de la backdoor peut trouver.

• Théorème 7 : Pour les modèles satisfaisant les contraintes, la force de la backdoor est au moins de l'ordre de $\tilde{\Omega}\left(\frac{2^{n/m}}{\sqrt{nm} \cdot \beta_{upper}}\right)$.
• Cela implique un avantage exponentiel (dans le rapport de compression $n/m$) pour le détenteur de la backdoor. Alors que l'entraîneur peut générer des collisions avec une distance $\delta_0 \approx 2^{-n/m}$, tout adversaire de temps polynomial est limité à des collisions avec une distance $\delta_1 \approx \text{negl}(n)$ (ou significativement plus grande selon l'hypothèse de dureté), rendant la capacité du détenteur de la backdoor exponentiellement plus forte.

3.3 Mécanisme d'Authentification

Les auteurs interprètent ces backdoors comme un mécanisme d'authentification « intégré ». Puisque le vecteur de la backdoor $z$ permet de générer une preuve (une paire $x, x+z$ avec une petite distance de sortie) qu'il est computationnellement infaisable pour les autres de forger, l'entraîneur peut prouver la propriété du processus d'entraînement du modèle sans altérer le comportement d'entrée/sortie du modèle.

3.4 Validation Empirique

L'article inclut une implémentation de preuve de concept sur le jeu de données Fashion-MNIST :

• Architecture : Un DNN avec une première couche gaussienne gelée de $256 \times 784$ et des couches suivantes bi-lipschitziennes.
• Résultats : Le modèle avec la backdoor a atteint environ $86,5 \%$ de précision (légèrement inférieure au modèle honnête en raison du décalage de distribution dû au passage à l'échelle des entrées).
• Force de Collision : Les expériences ont montré que la solution implantée $z$ résultait en $\|Az\| \approx 10^{-10}$, tandis que les meilleures solutions trouvées par les algorithmes standards (incluant LLL et les méthodes heuristiques) étaient de plusieurs ordres de grandeur supérieures ($\approx 0,1$), démontrant une force de backdoor d'environ $10^9$.
• Indétectabilité : Les tests statistiques (D'Agostino-Pearson) sur les lignes de la matrice avec la backdoor n'ont montré aucune déviation significative de la normalité, soutenant les affirmations théoriques d'indétectabilité.

4. Signification et Revendications

L'article affirme démontrer une asymétrie de puissance fondamentale entre les entraîneurs de modèles et les utilisateurs dans le contexte des DNN.

• Percée Théorique : Il établit que des composants naturels de l'apprentissage automatique (spécifiquement les projections gaussiennes aléatoires utilisées dans l'apprentissage de caractéristiques aléatoires) possèdent intrinsèquement des propriétés de dureté cryptographique (liées aux problèmes de réseaux) qui peuvent être exploitées pour créer des backdoors statistiquement indétectables.
• Sécurité White-Box : Contrairement aux travaux précédents qui n'atteignaient que l'indétectabilité computationnelle ou nécessitaient un accès black-box, ce travail atteint l'indétectabilité statistique, même lorsque l'adversaire dispose d'un accès white-box complet aux poids du modèle.
• Limites et Modestie : Les auteurs reconnaissent que leur construction repose sur des contraintes architecturales spécifiques (première couche gelée, couches suivantes bi-lipschitziennes). Ils notent que bien que leurs bornes théoriques soient serrées à des facteurs logarithmiques près, leurs résultats empiriques suggèrent que la force réelle de la backdoor pourrait être encore plus élevée que les bornes inférieures théoriques, potentiellement parce que la distance statistique ne devient non-négligeable qu'à des valeurs de $\kappa$ extrêmement petites où les tests computationnels échouent. Ils ne prétendent pas briser les primitives cryptographiques standards, mais plutôt montrer que les hypothèses de dureté sous-jacentes à celles-ci sont naturellement intégrées dans certaines architectures de DNN.

L'article conclut que si ces contraintes sont courantes en pratique (comme elles le sont dans l'apprentissage de caractéristiques aléatoires et les réseaux régularisés par Lipschitz), alors la robustesse de ces DNN ne peut être pleinement certifiée contre un entraîneur malveillant capable de planter ces backdoors.