技術要約：CLEAR – バックドア・サンプル検出のためのクロスレイヤー極値活性化表現

1. 問題定義

自動運転やコンピュータビジョンなどのセキュリティクリティカルな領域において、ディープラーニングモデルの信頼性はデータ・ポイズニングによるバックドア攻撃によって脅かされています。これらの攻撃では、攻撃者は訓練セットに隠されたトリガーを含む少数の悪意のあるサンプルを注入します。モデルはトリガーとターゲット出力の間の隠れた関連性を学習し、クリーンな入力に対しては正常に動作しますが、トリガーが作動すると攻撃者が指定した誤った出力を生成します。

既存の防御メカニズムには、主に3つの限界があります：

1. 事前知識への依存性： 多くの手法は、クリーンな検証セット、特定のトリガーパターン、または攻撃ターゲットに関する知識を必要とします。
2. 単一レイヤーへの焦点： ほとんどの検出器は、単一の隠れ層（通常は最後から2番目の層）または入出力のマッピングに依存しています。これは、「クロスレイヤー分散（cross-layer dispersion）」、すなわち、ステルス性の高いトリガー（例：All-to-AllやUntargeted攻撃）に対する異常な応答が、ネットワークの複数の深さに疎に分布している現象を捉えることができません。
3. 弱い信号の検出能力： 低いポイズニング率や複雑なトリガーパターン（例：WaNet、Blend）の下では、異常な信号はあまりに弱く分散しているため、単一レイヤーの特徴量では捉えきれず、高い偽陰性率（見逃し）を招いたり、比較のためにクリーンなデータに依存したりすることになります。

目標は、クリーンなラベルや攻撃の仕様にアクセスすることなく、信頼できない訓練セットからポイズニングされたサンプルを特定し除去できる、事前知識を必要としない（prior-free）、教師なしのデータセットレベルの防御策を開発することです。

2. 手法：CLEARフレームワーク

提案するCLEAR（Cross-Layer Extreme Activation Representation）フレームワークは、以下の3段階のプロセスを通じてこれらの限界に対処します。

ステージ1：クロスレイヤー極値特徴抽出

弱まったトリガー由来の異常を増幅し、異なるネットワーク深さ間での特徴スケールを整合させるために以下を行います：

• 特徴量の整合（Feature Alignment）： バッチ正規化（BN）の統計量（実行平均および分散）を使用して、選択された隠れ層（$L$）における活性化マップを正規化します。これにより、内部共変量シフトを排除し、異なる層からの特徴量を統一された統計的スケール上に配置します。
• 極値抽出（Extreme-Value Extraction）： グローバル平均プーリング（GAP）の代わりに、CLEARは整列された特徴マップの空間次元からチャネルごとの極値応答（具体的にはグローバル最小値）を抽出します。経験的な分析により、バックドア・トリガーは特定のチャネルにおいて抑制応答（負の異常）を誘発することが示唆されています。チャネルごとに最小値を選択することで、他のプーリング戦略では平均化されてしまう可能性のある、これらの微細で識別的な異常信号を保持します。
• 潜在表現（Latent Representation）： すべての $L$ 個の選択された層からの極値ベクトルを結合し、各サンプルに対する初期の重みなしクロスレイヤー潜在表現を形成します。

ステージ2：粒子群最適化（PSO）による適応的レイヤー重み最適化

隠れ層の重要性は攻撃に応じて異なるため、CLEARはクリーンな検証セットなしで、これらの層の最適な重み付けを適応的に探索するためにPSOを採用します。

• 粒子の表現： $L$ 個の隠れ層に割り当てられるアテンション重みは、連続的な探索空間における粒子の位置ベクトルとしてモデル化されます。
• 適合度関数（Fitness Function）： 粒子の適合度（特定の重み構成）は、クラスタ安定性を用いて評価されます。
  1. 重み付けされた特徴量は、UMAP（Uniform Manifold Approximation and Projection）を用いて低次元多様体に投影されます。
  2. HDBSCAN（Hierarchical Density-Based Spatial Clustering of Applications with Noise）を適用して、局所的な高密度クラスタを特定します。
  3. 適合度は、最も安定した「異常マイクロクラスタ」（サンプル比率が閾値 $\tau$、例：15%未満のクラスタ）の安定度スコアとして定義されます。
• 最適化： PSOアルゴリズムは、この適合度スコアを最大化するように粒子の位置を反復的に更新します。その論理は、最適な重み構成を用いることで、ポイズニングされたサンプル（共通のトリガーを共有するもの）が、支配的なベニンのクラスタとは明確に区別される、低次元空間内の非常に安定したコンパクトなマイクロクラスタを形成するという点にあります。

ステージ3：密度ベースの異常マイクロクラスタ検出

最適なレイヤー重みが決定された後：

• 全訓練セットが最適化された重みを用いて再エンコードされます。
• 最終的な重み付き特徴量に対して、再びUMAPとHDBSCANが適用されます。
• アルゴリズムは、サイズ制約（比率 $< \tau$）を満たす最も安定したマイクロクラスタを特定します。このクラスタ内のサンプルはポイズニング・サブセット（$D_{poison}$）としてフラグが立てられ、訓練セットから除去されます。

3. 主な貢献

1. クロスレイヤー分散の発見： 本論文は、複雑な攻撃パラダイム（A2A、Untargeted）の下では、異常な活性化は単一のレイヤーに集中するのではなく、ネットワーク全体に疎に分布することを経験的に証明しました。これは単一レイヤーの検出仮定を無効にし、クロスレイヤー集約の必要性を動機付けています。
2. 適応的検出フレームワーク： CLEARは、クロスレイヤー極値抽出とPSOベースの重み最適化の新しい統合を導入しました。HDBSCANの安定性を適合度関数として使用することで、本手法はどのレイヤーが特定の攻撃に対して最も情報量が多いかを適応的に決定し、手動のレイヤー選択やクリーンな参照データを不要にします。
3. 事前知識を必要としない堅牢性： 本手法は、攻撃の事前知識、クリーンな検証セット、または定義済みのクラスタ数なしで動作します。多様なデータセットと攻撃タイプに対してポイズニングされたサンプルを検出することに成功し、高い真陽性率（TPR）と低い偽陽性率（FPR）を維持しています。

4. 実験結果

実験は、ResNet-18、VGG-19、およびMobileNet v2アーキテクチャを用い、CIFAR-10およびTiny-ImageNetに対して実施されました。手法は4種類の攻撃タイプ（BadNets, Blend, Trojan, WaNet）と3種類のパラダイム（A2O, A2A, UT）に対してテストされました。

• 検出性能：
  • CIFAR-10: 平均TPR 97.54%、平均FPR **0.16%**を達成。
  • Tiny-ImageNet: 平均TPR 99.54%, 平均FPR **0.03%**を達成。
  • CLEARは、一部のベースライン手法が失敗（一部のケースでTPRが0%に接近）するような困難なA2AおよびUntargetedシナリオにおいても、ベースラインを大幅に上回りました。
• 防御効果：
  • CLEARによって浄化されたデータセットで再学習されたモデルは、クリーンなモデルと同等のベニン精度（BA）（例：CIFAR-10で約94%）を維持しました。
  • 攻撃成功率（ASR）は、ほとんどのシナリオでほぼゼロレベル（例：Tiny-ImageNetで1%未満）に減少しており、効果的なバックドア除去が実証されました。
• アブレーション研究：
  • PSOを除去した場合（一様重みを使用）、TPRは大幅に低下しました（例：Trojan攻撃において99.9%から54.7%へ）。これは適応的な重み最適化の必要性を裏付けています。
  • 極値抽出をグローバル平均プーリング（GAP）に置き換えると、ステルス性の高い攻撃（Blend, WaNet）において性能が劇的に低下しました。これは、極値的な局所異常を保持することの重要性を検証しています。
  • HDBSCANをK-Meansに置き換えると、高いFPR（>26%）を招きました。これは、非凸で不均衡な特徴分布を扱うための密度ベースのクラスタリングの必要性を強調しています。

5. 意義と主張

本論文は、CLEARが堅牢で汎用性があり、かつ事前知識を必要としないバックドア・サンプル検出ソリューションを提供すると主張しています。その意義は以下の点にあります：

• 「低ポイズニング率」の障壁の克服： クロスレイヤー情報と極値保持を活用することで、単一レイヤーの手法が見逃してしまう微細な異常を検出できます。
• クリーンデータの必要性の排除： 多くの最新の防御策とは異なり、CLEARはクリーンな検証セットやトリガーに関する知識を必要としません。そのため、データの出自が信頼できない現実世界のシナリオにも適用可能です。
• 実用的な有用性： 本手法は訓練データの浄化を効果的に行い、高い精度と最小限の残留バックドアリスクでモデルを再学習することを可能にします。これは、安全なディープラーニング展開のための重要なフロントエンド防御モジュールとして機能します。

著者らは、本手法は画像データに対して非常に効果的であるが、今後の課題として、テキストや音声タスクへの適用可能性、および複数のトリガーやクリーンラベル攻撃を含むより複雑なシナリオへの拡張を検討していると結論付けています。