Backdoor Mitigation in Object Detection via Adversarial Fine-Tuning

Sintesi Tecnica: Mitigazione delle Backdoor nel Rilevamento di Oggetti tramite Fine-Tuning Adversarial

Enunciato del Problema
Gli attacchi backdoor nel rilevamento di oggetti costituiscono una minaccia significativa per i sistemi di visione critici per la sicurezza (ad esempio, guida autonoma, sorveglianza). A differenza della classificazione di immagini, dove un modello restituisce un'unica etichetta, i rilevatori di oggetti producono un insieme di riquadri delimitatori con punteggi di classe associati. Questa complessità strutturale amplia la superficie di attacco e introduce obiettivi di attacco eterogenei. Lavori precedenti hanno identificato due modelli di minaccia primari: Attacchi di Errata Classificazione di Regione (RMA), in cui gli oggetti contenenti il trigger vengono erroneamente classificati in una classe target scelta dall'attaccante, e Attacchi di Scomparsa di Oggetti (ODA), in cui le previsioni per gli oggetti attaccati vengono soppresse completamente.

Le difese esistenti per il rilevamento di oggetti sono limitate. I metodi di rilevamento del trigger in fase di inferenza sono computazionalmente costosi e spesso richiedono procedure separate per diversi tipi di attacco. I metodi di sintesi del trigger presuppongono la conoscenza della classe vittima, il che non è sempre il caso. Le strategie di mitigazione diretta, come il fine-tuning di un modello compromesso utilizzando un piccolo dataset pulito, rimangono sottosviluppate per il rilevamento. L'adattamento del fine-tuning adversarial orientato alla classificazione al rilevamento non è banale perché:

1. Obiettivo di Attacco Sconosciuto: Il difensore spesso non sa se la backdoor mira all'errata classificazione (RMA) o alla scomparsa (ODA).
2. Diluizione del Gradiente: Le perdite standard di rilevamento aggregano errori su molte previsioni candidate (incluso lo sfondo). Quando si esegue il fine-tuning su un esempio adversarial, il segnale del gradiente rilevante per l'oggetto target specifico viene diluito da previsioni non correlate, indebolendo il segnale di riparazione.

Metodologia
Gli autori propongono un framework di fine-tuning adversarial consapevole del rilevamento progettato per mitigare le backdoor quando il difensore ha accesso solo a un rilevatore compromesso e a un dataset pulito limitato, senza conoscenza dell'obiettivo specifico dell'attacco. L'approccio consta di due componenti principali:

1. Generazione di Esempi Adversarial:
   Il framework introduce due strategie per generare trigger surrogati allineati alla struttura basata sulla soglia di punteggio del rilevamento di oggetti:

   • Massimizzazione della Perdita di Classificazione (CLM): Un adattamento della massimizzazione adversarial standard che si concentra sulla massimizzazione della perdita di classificazione ($L_{CLS}$) limitata alle previsioni corrispondenti all'oggetto target. Questo funge da surrogato indiretto per indurre errata classificazione o soppressione.
   • Minimizzazione del Ramo Morbido (SBM): Una strategia innovativa progettata per obiettivi di attacco sconosciuti. SBM definisce due rami di ottimizzazione: uno per RMA (incoraggiando un punteggio di classe non target a superare la soglia di rilevamento $\tau$) e uno per ODA (incoraggiando tutti i punteggi di primo piano a scendere sotto $\tau$). Questi rami sono combinati tramite un cancello morbido (softmax sulle perdite negative) che dà priorità dinamica al ramo più vicino alla soddisfazione. Ciò consente la generazione di perturbazioni efficaci contro entrambi i tipi di attacco senza conoscenza preventiva della minaccia specifica. SBM include anche una penalità di concentrazione basata sull'entropia per garantire che gli attacchi RMA risultino in un'unica classe errata dominante invece di una diffusione diffusa dei punteggi.

2. Fine-Tuning Consapevole del Rilevamento:
   Per affrontare la diluizione del gradiente, gli autori propongono una perdita di difesa a doppio obiettivo applicata specificamente all'insieme delle previsioni corrispondenti all'oggetto target ($J_{i^*}$), piuttosto che all'insieme completo delle rilevazioni. Questa perdita integra la perdita standard di rilevamento ($L_{OD}$) con due termini:

   • Termine di Recupero ($L_{REC}$): Incoraggia il punteggio della classe ground-truth a superare la soglia di rilevamento $\tau$, contrastando ODA e RMA.
   • Termine di Soppressione ($L_{SUP}$): Penalizza i punteggi elevati delle classi non target, impedendo al modello di ripristinare il punteggio ground-truth assegnando contemporaneamente punteggi elevati a classi concorrenti (il che porterebbe all'errata classificazione).

   Il framework introduce inoltre la Selezione Pesata Filtrata (FWS) per la selezione dell'oggetto target durante la generazione adversarial. Invece di una selezione casuale, FWS restringe i candidati agli oggetti che sono correttamente rilevati su input puliti e li pesa in base alla loro confidenza, garantendo che il ciclo di ottimizzazione interna si concentri su target stabili e informativi piuttosto che su ambiguità di rilevamento preesistenti.

Contributi Chiave

• Generazione Adversarial Consapevole del Rilevamento: L'introduzione di SBM, che gestisce obiettivi di attacco sconosciuti (RMA vs. ODA) attraverso un obiettivo regolarizzato dall'entropia e con cancello morbido, e CLM, un adattamento specifico per il rilevamento della massimizzazione della perdita di classificazione.
• Obiettivo di Riparazione Concentrato: Una perdita di difesa a doppio obiettivo limitata alle previsioni corrispondenti al target, che previene la diluizione del segnale di riparazione da parte dello sfondo o di oggetti non target.
• Valutazione Completa: Il metodo è valutato su rilevatori basati su CNN (YOLOv5, FCOS) e basati su Transformer (DINO) sui dataset Pascal VOC, MTSD e COCO contro attacchi sia RMA che ODA.

Risultati
Gli esperimenti dimostrano che l'approccio proposto supera significativamente i baseline orientati alla classificazione (Fine-Tuning, Fine-Pruning, FT-SAM) nel compromesso tra Tasso di Successo dell'Attacco (ASR) e Tasso di Rilevamento Vero (TDR):

• Riduzione dell'ASR: La configurazione più forte (SBM con FWS e la perdita di difesa) ha ridotto l'ASR mediano dell'83% su Pascal VOC e del 94% su MTSD rispetto al baseline più forte.
• Preservazione del TDR: Riducendo l'ASR, il metodo mantiene un favorevole Tasso di Rilevamento Vero, con guadagni TDR di 0,52 (VOC) e 0,43 (MTSD) rispetto ai baseline, a un costo modesto per le prestazioni su dati puliti (Rapporto costo mAP $\le$ 0,10).
• Robustezza alla Scarsità di Dati: Il metodo rimane efficace anche quando il budget di dati puliti viene ridotto dal 5% all'1,25%, superando i baseline addestrati sull'intero budget del 5% in molti casi.
• Generalizzazione: L'approccio generalizza su diverse architetture di rilevatori e tipi di trigger, e mostra una forte trasferibilità dai dataset sintetici (MTSD) a trigger fisici del mondo reale (PTSD).

Significato e Affermazioni
Il documento afferma di colmare una lacuna critica nella sicurezza del rilevamento di oggetti fornendo una strategia di mitigazione a scopo generale che non richiede l'accesso ai dati backdoor o la conoscenza dell'obiettivo specifico dell'attacco. Gli autori sottolineano che il loro approccio è motivato dalle discrepanze strutturali tra gli scenari di classificazione e quelli di rilevamento.

Gli autori sono modesti nelle loro affermazioni, riconoscendo che:

• Il recupero completo delle rilevazioni corrette per gli oggetti contenenti il trigger rimane una sfida, con il TDR che mantiene una "lunga coda inferiore" in alcune impostazioni, coerente con le limitazioni osservate nelle difese basate sulla classificazione.
• L'analisi teorica fornisce una giustificazione a livello di meccanismo per le scelte di progettazione (ad esempio, allineamento del gradiente, margini di punteggio) piuttosto che una garanzia di robustezza globale per tutte le architetture di rilevatori.
• L'attuale framework è centrato sull'oggetto e non affronta direttamente gli attacchi di generazione di oggetti (dove i trigger nelle regioni di sfondo inducono rilevazioni fantasma), identificando questo come una direzione per lavori futuri.

Il lavoro si posiziona come un meccanismo di riparazione pratico per sistemi critici per la sicurezza, offrendo un compromesso robusto tra sicurezza (basso ASR) e utilità (alto TDR e mAP pulito) in condizioni realistiche in cui il difensore ha dati puliti limitati e nessuna conoscenza del trigger o dell'obiettivo specifico della backdoor.