Sintesi Tecnica: HARVEY – Imparare il Backdoor per Rimuovere il Backdoor

Definizione del Problema

Il documento affronta la sfida dei backdoor neurali introdotti tramite data poisoning (avvelenamento dei dati). In questo modello di minaccia, un avversario inietta una piccola frazione di campioni avvelenati in un dataset di addestramento senza avere accesso al processo di addestramento. Questi campioni contengono un pattern di trigger specifico che causa la previsione di un'etichetta target predefinita quando il trigger è presente, mantenendo al contempo un'alta accuratezza sugli input benigni.

Le difese esistenti spesso faticano nel setting di fase di addestramento (training-time), dove non è disponibile alcun dataset di riferimento pulito. Gli approcci precedenti tentano tipicamente di identificare e rimuovere i campioni benigni o di sopprimere il backdoor utilizzando soglie fisse o l'apprendimento iterativo di un modello di riferimento benigno. Tuttavia, gli autori osservano che questi metodi affrontano una difficoltà fondamentale: distinguere i campioni benigni da quelli avvelenati è difficile perché le distribuzioni di perdita (loss) dei campioni benigni "difficili da apprendere" spesso si sovrappongono a quelle dei campioni avvelenati.

Metodologia: HARVEY

Gli autori propongono HARVEY, una nuova difesa in fase di addestramento che inverte il paradigma standard. Invece di cercare di apprendere un modello di riferimento per i campioni benigni, HARVEY apprende iterativamente un modello di riferimento fortemente influenzato dal backdoor per servire come oracle per i campoli avvelenati. L'intuizione fondamentale è che apprendere il backdoor (un pattern specifico, facile da apprendere) è significativamente più facile che apprendere il compito naturale generale, permettendo un'identificazione più accurata dei dati avvelenati.

HARVEY opera in quattro fasi distinte:

1. Inizializzazione: Un modello viene addestrato ingenuamente sul dataset avvelenato ($\tilde{D}$). Utilizzando la componente di Reverse Cross-Entropy (RCE) della perdita Symmetric Cross-Entropy (SCE), il dataset viene diviso in due sottoinsiemi: un sottoinsieme iniziale di campioni avvelenati ($D^{(0)}_{bad}$) contenente il 50% dei campioni con la RCE loss più bassa, e un sottoinsieme benigno ($D^{(0)}_{bng}$).
2. Apprendimento del Backdoor: Un modello di riferimento ($\theta_{ref}$) viene addestrato iterativamente per $n$ round per diventare sempre più specializzato nella funzionalità del backdoor.
   • Apprendimento (Learning): Il modello viene perfezionato (fine-tuning) sul sottoinsieme avvelenato corrente ($S^{(i)}$) utilizzando una perdita modificata che incoraggia l'apprendimento del backdoor.
   • Disapprendimento (Unlearning): Il modello viene addestrato per disimparare i campioni benigni (dal precedente set benigno dell'iterazione) massimizzando la Cross-Entropy (CE) loss per i campioni benigni correttamente predetti.
   • Suddivisione (Splitting): Il modello di riferimento aggiornato viene utilizzato per suddividere nuovamente l'intero dataset basandosi sulla RCE loss. Poiché il modello è ora altamente sensibile al backdoor, la RCE loss crea una separazione netta tra campioni avvelenati e benigni. Il 50% dei campioni con la RCE loss più bassa forma il nuovo sottoinsieme avvelenato per l'iterazione successiva.
3. Meta-Suddivisione (Meta-Splitting): Dopo $n$ round, il modello di riferimento finale ($\theta^{(n)}_{ref}$) è così polarizzato verso il backdoor che potrebbe classificare erroneamente i campioni benigni della classe target come avvelenati. Per risolvere questo, gli autori utilizzano il primo modello di riferimento ($\theta^{(1)}_{ref}$), che conserva ancora una nozione di funzionalità benigna, per eseguire una "meta-suddivisione" sul sottoinsieme avvelenato finale. Questo isola i rimanenti campioni benigni (specificamente quelli della classe target) che sono stati erroneamente raggruppati con il backdoor.
4. Addestramento Finale: I sottoinsiemi benigni isolati (dalla Fase 2 e dalla Fase 3) vengono combinati per formare un dataset pulito ($D_{bng}$). Un modello finale viene addestrato su questo dataset utilizzando l'apprendimento supervisionato standard (CE loss) per produrre un modello privo di backdoor.

Contributi Chiave

Il documento evidenzia tre contributi primari:

• Suddivisione del Dataset Basata su RCE: Gli autori analizzano la perdita Symmetric Cross-Entropy (SCE) e dimostrano che la sua componente di Reverse Cross-Entropy (RCE) da sola è superiore nel separare i campioni avvelenati da quelli benigni. A differenza della piena perdita SCE, la RCE fornisce un intervallo di output fisso e una soglia di separazione chiara, consentendo una suddivisione del dataset stabile ed efficace senza rapporti fissi.
• Cambio di Paradigma nei Modelli di Riferimento: Il lavoro introduce un passaggio dall'uso di modelli di riferimento per identificare campioni benigni all'uso di essi per identificare campioni avvelenati. Sfruttando l'osservazione che i campioni avvelenati sono più facili da apprendere rispetto ai benigni, HARVEY costruisce un "oracle del backdoor" che ottiene un recall più elevato nell'identificare i dati avvelenati rispetto a quanto le precedenti metodologie riescano a fare nell'identificare i dati benigni.
• Miglioramento Decisivo della Difesa: Il metodo è valutato su molteplici tipi di attacco, dataset e architetture. Riduce costantemente i backdoor a livelli prossimi allo zero pur mantenendo l'accuratezza naturale, superando le difese allo stato dell'arte che spesso soffrono di una significativa degradazione dell'accuratezza o falliscono contro attacchi furtivi.

Risultati Sperimentali

Gli autori hanno valutato HARVEY su CIFAR-10, Tiny-ImageNet e GTSRB utilizzando architetture come ResNet18, WRN16-1 e ResNet34. Hanno testato contro sei tipi di attacco: BadNets, Trojan, Blend, Clean-Label (CLB), IAB e WaNet.

• Attack Success Rate (ASR): HARVEY ha ridotto l'ASR a meno del 2% nei peggiori scenari attraverso tutti i dataset e gli attacchi. In molti casi (ad esempio, Tiny-ImageNet), l'ASR è stato ridotto a < 0,5%.
• Accuratezza Naturale (ACC): A differenza di altre difese (come ABL o CBD) che spesso sacrificano l'accuratezza naturale per mitigare i backdoor, HARVEY mantiene un'accuratezza naturale in linea con il baseline "No Defense". Ad esempio, su CIFAR-10 con ResNet18, HARVEY ha raggiunto un ACC medio del 93,56% con un ASR dello 0,85%, mentre il baseline "No Defense" aveva un ASR del 99,99%.
• Prestazioni di Suddivisione: In termini di metriche di suddivisione del dataset (F1 score e rapporto di avvelenamento nel set benigno $\rho_{bng}$), HARVEY ha superato significativamente il lavoro correlato. Su CIFAR-10 con WRN16-1, HARVEY ha ottenuto un F1 score del 79,82% con $\rho_{bng} \approx 0,04\%$, rispetto al miglior lavoro correlato (DBD) che aveva un F1 del 22,12% e $\rho_{bng} \approx 6,73\%$.
• Efficienza: Sebbene HARVEY comporti un addestramento iterativo, il suo consumo totale di tempo è paragonabile all'addestramento ingenuo ed è significativamente più veloce di difese come DBD, che può richiedere quasi un giorno su CIFAR-10.

Significato e Rivendicazioni

Il documento afferma che HARVEY stabilisce un nuovo standard per le difese da backdoor in fase di addestramento. La sua importanza risiede in:

1. Robustezza: Mitiga con successo una vasta gamma di attacchi backdoor, inclusi quelli furtivi come Blend e WaNet, dove altri metodi falliscono (ASR > 90%).
2. Nessuna Richiesta di Dati Puliti: Opera efficacementamente senza alcuna conoscenza preventiva dell'attacco o accesso a un dataset di riferimento pulito.
3. Preservazione delle Prestazioni: Raggiunge una rimozione quasi perfetta del backdoor senza compromettere l'utilità del modello sui compiti naturali.
4. Cambio Concettuale: Inquadrando il problema come "imparare il backdoor per rimuovere il backdoor", gli autori dimostrano che sfruttare la facilità di apprendimento dei campioni avvelenati è una strategia più affidabile rispetto al tentativo di isolare i campioni benigni difficili.

Gli autori concludono che il loro approccio previene efficacementamente l'apprendimento dei backdoor rimuovendo i campioni avvelenati alla radice, garantendo che il modello finale sia sia pulito che performante.