Detecting Trojaned DNNs via Spectral Regression Analysis

Sintesi Tecnica: Rilevamento di DNN Trojanate tramite Analisi di Regressione Spettrale

Enunciato del Problema
Le Reti Neurali Profonde (DNN) sono sempre più implementate come artefatti software in evoluzione che subiscono un affinamento continuo per incorporare nuovi dati e adattarsi a ambienti mutevoli. Questo flusso di lavoro evolutivo introduce un significativo rischio per la sicurezza: se i dati di aggiornamento non possono essere completamente fidati, gli avversari potrebbero iniettare campioni avvelenati per impiantare Trojan (backdoor) durante il processo di affinamento. Un modello Trojanato mantiene un'alta accuratezza su input puliti, ma esibisce un comportamento scelto dall'attaccante quando è presente uno specifico trigger, spesso impercettibile.

I meccanismi di difesa esistenti affrontano limitazioni critiche. Gli approcci che assumono il controllo del processo di addestramento (ad esempio, la sanificazione dei dati) sono inapplicabili negli scenari di supply chain in cui il difensore riceve solo un modello pre-addestrato o aggiornato. Le difese in fase di inferenza spesso si basano sulla ricostruzione dei pattern di trigger, un'ipotesi che fallisce contro trigger sofisticati, dipendenti dall'input o nello spazio delle caratteristiche. Inoltre, molti metodi di rilevamento offline tentano di ingegnerizzare all'inverso i trigger senza conoscere la forma, la posizione o la visibilità del trigger, rendendoli fragili di fronte a strategie di attacco diversificate.

Metodologia: MIST
Gli autori propongono MIST (Model Incremental Spectra Tracking), un approccio di rilevamento Trojan che sposta il focus dalla ricostruzione del trigger a livello di input all'analisi delle rappresentazioni interne del modello durante l'evoluzione. MIST tratta gli aggiornamenti del modello come eventi di regressione, valutando se i cambiamenti interni indotti dall'affinamento siano coerenti con un'evoluzione benigna o indicativi di una modifica malevola.

Il nucleo di MIST si basa sull'Analisi Spettrale delle pre-attivazioni. Invece di analizzare le attivazioni dei singoli neuroni (che sono instabili tra le diverse esecuzioni di addestramento), MIST riassume le pre-attivazioni a livello di strato come distribuzioni di probabilità (spettri). Questi spettri forniscono una caratterizzazione stabile delle rappresentazioni apprese, che è resiliente al rumore del re-addestramento ma sensibile ai cambiamenti sistematici.

La metodologia opera in due fasi:

1. Tracciamento degli Spettri Puliti: Il sistema stabilisce una distribuzione di riferimento delle variazioni spettrali (Distribuzione delle Distanze degli Spettri Puliti, o CSDD) simulando transizioni di affinamento benigno. Utilizzando un dataset pulito e fidato, il sistema addestra ripetutamente un modello di base e lo affina, calcolando la distanza $L_2$ tra gli spettri di pre-attivazione del modello di base e del modello affinato per ogni classe. Questo costruisce una baseline statistica di come gli aggiornamenti benigni alterano lo stato interno del modello.
2. Rilevamento delle Anomalie: Quando un nuovo aggiornamento del modello ($M_{i+1}$) viene prodotto da un checkpoint precedente ($M_i$) utilizzando dati potenzialmente non fidati, MIST calcola la distanza spettrale tra le due versioni utilizzando un piccolo sottoinsieme pulito e fidato dei nuovi dati. Successivamente, calcola la distanza di Mahalanobis al quadrato di questa variazione osservata rispetto alla CSDD di riferimento. Se la deviazione supera una soglia derivata statisticamente (basata su una distribuzione $\chi^2$), l'aggiornamento viene segnalato come Trojanato.

Crucialmente, MIST non richiede alcuna conoscenza del trigger, dei dati avvelenati o della strategia di attacco. Assume la disponibilità di un checkpoint di riferimento pulito e di un piccolo sottoinsieme pulito dei dati di aggiornamento per l'osservazione, ma non per il re-addestramento.

Contributi Chiave

• Prospettiva Basata sulla Regressione: Il documento riformula il rilevamento dei Trojan come un problema di regressione sugli aggiornamenti del modello, caratterizzando le modifiche malevole come deviazioni anomale nell'evoluzione spettrale piuttosto che come problemi di ricostruzione del trigger.
• Tecnica MIST: La proposta di una tecnica di rilevamento pratica basata sugli spettri di pre-attivazione che convalida gli aggiornamenti affinati rispetto a un riferimento pulito.
• Valutazione Completa: Uno studio empirico rigoroso su quattro dataset (CIFAR-10, SVHN, GTSRB, CelebA) e otto distinti attacchi Trojan (inclusi BadNet, Blended, Input-Aware, Refool, SIG, SSBA, TrojanNN e WaNet), confrontando MIST con tre rilevatori all'avanguardia (Neural Cleanse, ABS, FeatuRE).

Risultati Sperimentali

• Separabilità Spettrale (RQ1): Le distanze spettrali separano in modo affidabile i modelli Trojanati dai modelli affinati puliti, raggiungendo un ROC-AUC medio di 0,95 su tutte le combinazioni attacco-dataset. Ciò conferma che l'inserimento di Trojan induce cambiamenti spettrali interni distinti dall'evoluzione benigna.
• Efficacia del Rilevamento (RQ2): Negli scenari di aggiornamento a singolo passo, MIST raggiunge un'accuratezza di rilevamento media di 0,95, superando significativamente le baseline all'avanguardia (FeatuRE: 0,75, ABS: 0,73, Neural Cleanse: 0,64). MIST dimostra un profilo di errore favorevole con tassi di falsi positivi molto bassi, rendendolo adatto alla convalida degli aggiornamenti del modello senza rifiutare frequentemente quelli benigni.
• Robustezza (RQ3): Sotto un'evoluzione benigna a più passaggi, MIST rimane efficace con un'accuratezza media di 0,89. Il degrado delle prestazioni è graduale e limitato, manifestandosi principalmente come un aumento dei falsi positivi (dovuto alla deriva benigna accumulata) piuttosto che come mancati rilevamenti (falsi negativi).

Significato e Affermazioni
Il documento afferma che l'evoluzione spettrale fornisce un segnale stabile e con poche ipotesi per il rilevamento di aggiornamenti di modelli malevoli. Concentrandosi sui cambiamenti dello stato interno piuttosto che sui pattern esterni dei trigger, MIST offre una difesa robusta contro una vasta varietà di attacchi Trojan, inclusi quelli con trigger complessi o invisibili. Gli autori sottolineano che questo approccio è particolarmente adatto per ambienti di deployment in cui i modelli vengono aggiornati continuamente e devono essere convalidati prima del ridispiegamento, a condizione che sia disponibile un checkpoint di riferimento pulito. I risultati suggeriscono che l'analisi spettrale cattura una firma fondamentale della modifica malevola che persiste anche mentre i modelli evolvono, offrendo un'alternativa affidabile alle difese basate sulla ricostruzione del trigger.