Sintesi Tecnica: DRL-CLBA

Definizione del Problema

I modelli di deep learning impiegati per compiti di classificazione del parlato, come il Keyword Spotting (KWS) e la Speaker Verification (SV), sono vulnerabili ad attacchi backdoor. Sebbene gli attacchi tradizionali di tipo "poisoned label" (dove i trigger vengono iniettati e le etichette alterate) siano efficaci, essi sono sempre più rilevabili tramite l'audit manuale dei dati o difese automatizzate che identificano incongruenze tra etichetta e contenuto.

Al contrario, gli attacchi "clean label" backdoor, che manomettono i campioni di addestramento senza alterare le loro etichette di verità fondamentale (ground-truth), offrono una maggiore furtività. Tuttavia, i metodi existing di clean label affrontano limitazioni significative:

1. Dipendenza dal Gradiente: Molti approcci (ad es., CSSBA) richiedono l'accesso all'intera informazione del gradiente del modello target, che spesso non è disponibile negli scenari reali di black-box.
2. Trigger Fissi: Alcuni metodi si affidano a trigger con pattern statici e fissi che possono essere filtrati dai meccanismi di difesa.
3. Sfide di Ottimizzazione: Raggiungere alti tassi di successo dell'attacco (ASR) mantenendo la coerenza semantica e l'impercettibilità nello spazio delle feature complesso dei modelli di parlato è difficile utilizzando la standard ottimizzazione basata su gradiente (ad es., PGD).

Metodologia: DRL-CLBA

Il documento propone DRL-CLBA (Deep Deterministic Policy Gradient-based Clean Label Backdoor Attack), un framework che combina la stegonografia audio profonda con l'apprendimento per rinforzo per generare backdoor clean-label specifiche per ogni campione.

1. Componenti Core

• Stegonografia Audio Profonda (Generazione dell'Anchor):
  • Un modello di stegonografia encoder-decoder viene utilizzato per incorporare un trigger nel parlato della classe sorgente.
  • A differenza dei trigger fissi, questo genera trigger specifici per il campione che variano per ogni campione backdoor.
  • L'output funge da "ancora" (anchor) nello spazio delle feature latenti profonde. L'obiettivo è costringere il modello a apprendere una similitudine semantica tra questi campioni sorgente triggerati e specifici campioni della classe target.
• Framework di Reinforcement Learning (DDPG):
  • L'attacco è formulato come un Processo Decisionale di Markov (MDP) per ottimizzare i campioni avvelenati senza richiedere l'accesso al gradiente completo del modello target.
  • Stato ($S$): Composto dalle rappresentazioni delle feature profonde dell'attuale campione avvelenato, dalla feature dell'ancora, dalla distanza tra esse e dall'entità della perturbazione.
  • Azione ($A$): Un incremento di perturbazione continuo ($\Delta x_t$) applicato al campione target.
  • Ricompensa ($R$): Una funzione multi-obiettivo che bilancia:
    1. Collisione delle Feature: Minimizzare la distanza tra le feature del campione avvelenato e le feature dell'ancora.
    2. Impercettibilità: Vincolare l'entità della perturbazione ($\|x_{t+1} - x_{tar}\|_2$).
    3. Coerenza Semantica: Garantire che il campione avvelenato sia ancora predetto come la classe target originale (clean label) dal modello.
  • Reti: Una rete Actor ($\mu$) genera azioni basate sullo stato, mentre una rete Critic ($Q$) valuta la ricompensa cumulativa attesa. Reti target ($\mu', Q'$) sono utilizzate per la stabilità tramite aggiornamenti soft.

2. Pipeline dell'Attacco

1. Inizializzazione: Generare i vettori anchor utilizzando il modello di stegonografia e inizializzare le reti DDPG.
2. Addestramento: L'agente DDPG ottimizza iterativamente i campioni avvelenati per minimizzare la distanza delle feature rispetto agli anchor soddisfacendo i vincoli della ricompensa.
3. Generazione del Dataset Avvelenato: La policy addestrata viene congelata e utilizzata per generare campioni avvelenati dal dataset della classe target. Fondamentalmente, le etichette originali sono preservate.
4. Impianto del Backdoor: I campioni avvelenati vengono uniti al set di addestramento benigno. Il modello vittima viene addestrato su questo dataset misto utilizzando la standard loss di cross-entropy.

Contributi Chiave

1. Nuovo Paradigma di Attacco: Introduzione di un attacco backdoor clean label, specifico per campione, per la classificazione del parlato che non richiede l'accesso al gradiente completo del modello target.
2. Anchor Steganografici: Utilizzo della stegonografia audio profonda per creare trigger dinamici e specifici per campione che fungono da robusti anchor nello spazio delle feature, evitando la rilevabilità dei pattern statici.
3. Ottimizzazione guidata da RL: Integrazione di DDPG per navigare nel complesso panorama di ottimizzazione della collisione delle feature, bilanciando efficacemente successo dell'attacco, furtività e coerenza semantica.
4. Validazione Esaustiva: Valutazione rigorosa su tre dataset (KWS, SV, SER) e quattro diverse architetture DNN (ERes2Net, KWS-ViT, EAT-S, CAM++).

Risultati Sperimentali

Gli autori hanno valutato DRL-CLBA contro cinque metodi baseline (inclusi Ultra, OneSpec, CBA, CSSBA e TUAPBA) attraverso tre compiti:

• Keyword Spotting (KWS): DRL-CLBA ha raggiunto ASR medi dell'88,09% (SCD), 89,76% (AudioMNIST) e 90,12% (LibriKWS-20), superando significativamente tutte le baseline (che si aggiravano approssimativamente tra il 30% e l'80%).
• Speaker Verification (SV): Ha raggiunto ASR medi dell'88,77% (AISHELL3-50) e dell'87,45% (VoxCeleb1-50), superando nuovamente tutte le baseline.
• Speech Emotion Recognition (SER): Ha raggiunto ASR medi del 77,44% (ESD-CN) e del 79,18% (ESD-EN). Sebbene inferiori a KWS/SV (attribuito alla natura dispersa delle feature emotive), hanno comunque superato le baseline.
• Accuratezza Benigna (BA): In tutti gli scenari, l'attacco ha mantenuto un'alta accuratezza benigna (tipicamente >90%), dimostrando che il modello con backdoor opera normalmente sui dati puliti.
• Robustezza:
  • Fine-tuning: L'attacco ha mantenuto circa il 60-65% di ASR dopo 40 epoche di fine-tuning.
  • Pruning del Modello: Alti tassi di pruning hanno degradato sia l'ASR che la BA in modo simile, indicando che il backdoor è profondamente incorporato ma non facilmente rimovibile senza distruggere l'utilità del modello.
  • Difesa STRIP: L'analisi della distribuzione dell'entropia ha mostrato che i campioni avvelenati e quelli puliti erano quasi indistinguibili, eludendo con successo la rilevazione STRIP.
• Trasferibilità: Il metodo ha dimostrato una forte generalizzazione in scenari black-box (trasferimento cross-model), mantenendo un ASR del 77-84% quando il modello surrogato differiva dal modello di inferenza target.

Significato e Rivendicazioni

Il documento sostiene che DRL-CLBA espone vulnerabilità critiche nei sistemi controllati tramite voce, dimostrando che:

1. Gli attacchi clean label sono altamente efficaci nei domini del parlato quando combinati con l'apprendimento per rinforzo e la stegonografia, eludendo le difese basate sull'ispezione delle etichette o sulla rilevazione di trigger fissi.
2. L'Apprendimento per Rinforzo è superiore all'ottimizzazione tradizionale basata sul gradiente per questo compito, poiché cattura efficacemente le dipendenze a lungo termine ed evita gli ottimi locali nel processo decisionale sequenziale della generazione dei campioni avvelenati.
3. I trigger specifici per campione, generati tramite stegonografia, fornis spesso un livello di furtività e robustezza che i trigger statici non possono eguagliare.

Gli autori concludono che gli attuali sistemi di interazione uomo-computer basati sulla voce corrono un rischio significativo, poiché i loro modelli possono essere compromessi con alti tassi di successo pur rimanendo funzionalmente normali e difficili da rilevare tramite audit o difese standard.