Riepilogo Tecnico: BadSNN – Attacchi Backdoor alle Reti Neurali a Spiking tramite Neurone a Spiking Avversario

Enunciato del Problema

Le Reti Neurali a Spiking (SNN) si sono affermate come alternative efficienti dal punto di vista energetico e biologicamente plausibili alle Reti Neurali Profonde (DNN), in particolare per dispositivi edge e applicazioni critiche per la sicurezza come la guida autonoma e la sorveglianza medica. Sebbene le DNN siano note per essere vulnerabili agli attacchi backdoor, in cui un avversario avvelena i dati di addestramento per forzare classificazioni errate specifiche al momento dell'iniezione del trigger, le vulnerabilità delle SNN rimangono poco esplorate.

Gli attacchi backdoor esistenti per le SNN (ad esempio, Sneaky Spikes, Flashy Backdoor) si basano principalmente sulla manipolazione di dati neuromorfici (flussi temporali basati su eventi) o sull'iniezione di trigger fisici (lampi di luce) che si fondono con le dinamiche naturali della scena. Questi approcci si concentrano sulla manipolazione dei dati piuttosto che sullo sfruttamento delle proprietà architetturali intrinseche delle SNN. Nello specifico, il comportamento unico dei neuroni a spiking, governato da iperparametri come la soglia del potenziale di membrana ($V_{thr}$) e la costante di tempo di membrana ($\tau$), non è stato indagato come vettore per l'incorporazione di backdoor. La domanda di ricerca fondamentale affrontata è: Un attaccante può sfruttare la sensibilità dei neuroni a spiking alle variazioni degli iperparametri per incorporare un backdoor senza modificare i dati di input?

Metodologia: BadSNN

Gli autori propongono BadSNN, un nuovo attacco backdoor che incorpora un comportamento malevolo regolando gli iperparametri dei neuroni a spiking durante l'addestramento, anziché avvelenando il dataset di input con trigger. L'attacco consta di tre fasi principali:

1. Addestramento Backdoor tramite Avvelenamento di Spike Malevoli

A differenza degli attacchi convenzionali che utilizzano campioni con etichette errate contenenti trigger, BadSNN impiega una strategia di apprendimento a doppio spike:

• Manipolazione degli Iperparametri: L'avversario manipola gli iperparametri del neurone a spiking ($V_{thr}$ e $\tau$) durante l'addestramento. Vengono utilizzate due configurazioni:
  • Nominale ($S_n$): Iperparametri standard per l'apprendimento su dati puliti.
  • Malevola ($S_t$): Iperparametri alterati che causano al modello di trattare specifiche trasformazioni di input come dati fuori distribuzione (OD).
• Obiettivo di Addestramento: Un sottoinsieme dei dati della classe target viene addestrato sia con $S_n$ che con $S_t$. Il modello impara ad associare i "pattern di spike malevoli" (generati da $S_t$) all'etichetta target, mantenendo al contempo un'utilità pulita sui dati nominali.
• Insight Chiave: L'attacco si basa sull'osservazione che variare $V_{thr}$ può spostare il conteggio degli spike ($N_{spike}$) degli input. Se il modello è predisposto a classificare gli input con conteggi di spike elevati come l'etichetta target, viene stabilito un backdoor senza alterare i pixel grezzi di addestramento.

2. Ottimizzazione del Trigger

Per attivare il backdoor durante l'inferenza, l'avversario deve generare input che innescano il comportamento "spike malevolo".

• Trigger Iniziale: Viene utilizzata una trasformazione di potenza non lineare ($x^q$) per aumentare il conteggio degli spike, ma ciò spesso degrada le informazioni semantiche ed è percettibile.
• Ottimizzazione: Viene addestrato un modello surrogato per il trigger (basato su U-Net) per generare perturbazioni minimamente percettibili ($\Delta x$).
• Funzione di Perdita: Il modello surrogato viene ottimizzato utilizzando una combinazione di:
  • Similarità del Coseno ($L_{sim}$): Per allineare le caratteristiche strutturali della perturbazione con la trasformazione target.
  • Perdita Avversariale ($L_{adv}$): Per garantire che l'immagine perturbata venga classificata erroneamente come l'etichetta target.
  • MSE Ponderata ($L_{wmse}$): Per corrispondere alla magnitudine e alla distribuzione spaziale della perturbazione.
• Estensione Neuromorfica: Per dati basati su eventi (ad esempio, N-MNIST), una funzione di trigger introduce perturbazioni casuali variabili nel tempo ai frame di spike per elevare l'attività totale degli spike.

3. Strategia di Inferenza

Durante l'inferenza, la vittima utilizza la SNN compromessa. L'avversario deve selezionare una configurazione di iperparametri di attacco ($V^a_{thr}, \tau^a$) che si collochi tra le impostazioni nominali e quelle malevole. Questo equilibrio garantisce:

• Gli input puliti vengono classificati correttamente (alta Accuratezza Pulita).
• Gli input attivati (con perturbazioni ottimizzate) generano pattern di spike che il modello associa all'etichetta target (alto Tasso di Successo dell'Attacco).

Contributi Chiave

1. Scoperta di Vulnerabilità: Il documento dimostra che le variazioni negli iperparametri dei neuroni a spiking ($V_{thr}$ e $\tau$) creano una superficie di attacco sfruttabile, permettendo al modello di trattare dati in distribuzione come dati fuori distribuzione basandosi sui conteggi degli spike.
2. Nuovo Vettore di Attacco (BadSNN): Un attacco backdoor che elimina la necessità di manipolazione dei dati di input (avvelenamento) o iniezione di trigger durante l'addestramento. Il backdoor è incorporato interamente attraverso il meccanismo intrinseco di generazione degli spike del modello.
3. Ottimizzazione del Trigger: Un processo per generare perturbazioni impercettibili che attivano il backdoor, sfruttando un modello surrogato U-Net addestrato con una funzione di perdita multi-obiettivo.
4. Valutazione Completa: Esperimenti estesi su quattro dataset (CIFAR-10, GTSRB, CIFAR-100, N-MNIST) e tre architetture (Spiking ResNet-19, Spiking VGG-16, N-MNIST Net).

Risultati Sperimentali

Gli autori hanno valutato BadSNN rispetto a baseline all'avanguardia (BadNet, Blend, WaNet) e cinque meccanismi di difesa (Fine-Tuning, CLP, ANP, TSBD, NAD).

• Efficacia dell'Attacco:

  • BadSNN raggiunge alti Tassi di Successo dell'Attacco (ASR) mantenendo un'Accuratezza Pulita (CA) accettabile. Ad esempio, su CIFAR-10, ha raggiunto un ASR dell'82,65% con una CA dell'87,22% (rispetto a una baseline pulita del 91,34%).
  • Su dati neuromorfici (N-MNIST), l'attacco è particolarmente potente, raggiungendo un 100% di ASR con una degradazione minima della CA.
  • La relazione tra il rapporto di avvelenamento e il successo dell'attacco è non lineare; rapporti dispari (1%, 3%, 5%) hanno prodotto prestazioni migliori rispetto a quelli pari.

• Robustezza contro le Difese:

  • Difese basate sulla Potatura (CLP, ANP): BadSNN si è dimostrato altamente robusto. Mentre ANP ha ridotto l'ASR per gli attacchi baseline, ha fallito contro BadSNN (l'ASR è rimasto >70% su CIFAR-10). Gli autori attribuiscono ciò all'"intreccio" tra neuroni backdoor e neuroni puliti tramite l'apprendimento a doppio spike, rendendo impossibile potare i neuroni backdoor senza distruggere l'utilità pulita.
  • Difese basate sul Fine-Tuning (TSBD, NAD): BadSNN ha mantenuto un ASR elevato (ad esempio, 84,55% su CIFAR-10 dopo il fine-tuning) dove gli attacchi baseline sono stati mitigati. La mancanza di pattern di trigger localizzati in BadSNN impedisce alle difese basate sull'attenzione (come NAD) di identificare e sopprimere il backdoor.

• Sensibilità agli Iperparametri: Lo studio ha rilevato che impostare la soglia di addestramento malevola ($V^t_{thr}$) sufficientemente più alta della soglia nominale ($V^n_{thr}$) (ad esempio, 1,5 contro 1,0) crea una distribuzione degli spike ben separata, facilitando un migliore compromesso tra CA e ASR.

Significato e Affermazioni

Il documento afferma che BadSNN rappresenta un cambiamento fondamentale nelle minacce alla sicurezza delle SNN. La sua importanza risiede in due vantaggi principali rispetto all'avvelenamento convenzionale dei dati:

1. Furtività: Evitando la manipolazione dei dati di input e l'iniezione di trigger durante l'addestramento, l'attacco è più difficile da rilevare tramite ispezione standard dei dati o tecniche di inversione del trigger.
2. Resilienza: La dipendenza dell'attacco dagli iperparametri intrinseci del modello e dall'apprendimento a doppio spike lo rende significativamente più robusto rispetto alle tecniche di mitigazione all'avanguardia, in particolare la potatura e il fine-tuning, che si basano sull'isolamento di caratteristiche o neuroni specifici del trigger.

Gli autori concludono che le caratteristiche uniche dei neuroni a spiking, in particolare la loro sensibilità agli iperparametri, costituiscono una vulnerabilità critica e trascurata. Questo lavoro stimola lo sviluppo di nuove strategie di difesa specificamente adattate alle sfumature architetturali delle SNN, piuttosto che semplicemente adattando le difese delle DNN.