기술 요약: BadSNN – 적대적 스파이킹 뉴런을 통한 스파이킹 신경망의 백도어 공격

문제 제기

스파이킹 신경망 (SNN) 은 에지 장치와 자율 주행 및 의료 감시와 같은 안전-중요 애플리케이션을 위한 에너지 효율적이고 생물학적으로 타당한 심층 신경망 (DNN) 대안으로 부상했습니다. DNN 이 트리거 주입 시 특정 오분류를 강제로 발생시키기 위해 공격자가 훈련 데이터를 오염시키는 백도어 공격에 취약한 것으로 알려져 있는 반면, SNN 의 취약성은 아직 충분히 탐구되지 않았습니다.

기존 SNN 백도어 공격 (예: Sneaky Spikes, Flashy Backdoor) 은 주로 뉴로모픽 데이터 (이벤트 기반의 시간적 스트림) 를 조작하거나 자연스러운 장면 역학과 혼합되는 물리적 트리거 (빛 깜빡임) 를 주입하는 데 의존합니다. 이러한 접근 방식은 SNN 의 고유한 아키텍처 속성을 악용하기보다는 데이터 조작에 초점을 맞추고 있습니다. 구체적으로, 막 전위 임계값 ($V_{thr}$) 과 막 시간 상수 ($\tau$) 와 같은 하이퍼파라미터에 의해 지배되는 스파이킹 뉴런의 고유한 행동은 백도어 임베딩을 위한 벡터로서 조사되지 않았습니다. 다루어진 핵심 연구 질문은 다음과 같습니다: 공격자가 입력 데이터를 수정하지 않고도 스파이킹 뉴런의 하이퍼파라미터 변화에 대한 민감성을 악용하여 백도어를 임베딩할 수 있는가?

방법론: BadSNN

저자들은 입력 데이터셋에 트리거를 포함시켜 오염시키는 대신, 훈련 중에 스파이킹 뉴런의 하이퍼파라미터를 조정함으로써 악성 행위를 임베딩하는 새로운 백도어 공격인 BadSNN을 제안합니다. 이 공격은 세 가지 주요 단계로 구성됩니다:

1. 악성 스파이킹 오염을 통한 백도어 훈련

트리거가 포함된 오분류된 샘플을 사용하는 기존 공격과 달리, BadSNN 은 이중 스파이킹 학습 전략을 사용합니다:

• 하이퍼파라미터 조작: 공격자는 훈련 중에 스파이킹 뉴런 하이퍼파라미터 ($V_{thr}$ 및 $\tau$) 를 조작합니다. 두 가지 구성이 사용됩니다:
  • 정식 ($S_n$): 깨끗한 데이터 학습을 위한 표준 하이퍼파라미터.
  • 악성 ($S_t$): 모델이 특정 입력 변환을 분포 밖 (OD) 데이터로 취급하게 만드는 변경된 하이퍼파라미터.
• 훈련 목표: 대상 클래스 데이터의 일부는 $S_n$과 $S_t$ 모두로 훈련됩니다. 모델은 $S_t$에 의해 생성된 "악성 스파이킹 패턴"을 대상 라벨과 연관시키면서, 동시에 정식 데이터에서는 깨끗한 유틸리티를 유지하도록 학습합니다.
• 핵심 통찰: 이 공격은 $V_{thr}$을 변화시키면 입력의 스파이킹 수 ($N_{spike}$) 가 변할 수 있다는 관찰에 의존합니다. 모델이 증가된 스파이킹 수를 가진 입력을 대상 라벨로 분류하도록 편향되어 있다면, 원시 훈련 픽셀을 변경하지 않고도 백도어가 확립됩니다.

2. 트리거 최적화

추론 중에 백도어를 활성화하기 위해 공격자는 "악성 스파이킹" 행동을 유발하는 입력을 생성해야 합니다.

• 초기 트리거: 스파이킹 수를 증가시키기 위해 비선형 전력 변환 ($x^q$) 이 사용되지만, 이는 종종 의미 정보를 저하시키고 감지 가능합니다.
• 최적화: 최소한의 감지 가능한 교란 ($\Delta x$) 을 생성하기 위해 U-Net 기반의 트리거 대리 모델이 훈련됩니다.
• 손실 함수: 대리 모델은 다음을 결합하여 최적화됩니다:
  • 코사인 유사도 ($L_{sim}$): 교란의 구조적 특징을 대상 변환과 정렬시키기 위해.
  • 적대적 손실 ($L_{adv}$): 교란된 이미지가 대상 라벨로 오분류되도록 보장하기 위해.
  • 가중 MSE ($L_{wmse}$): 교란의 크기와 공간적 분포를 일치시키기 위해.
• 뉴로모픽 확장: 이벤트 기반 데이터 (예: N-MNIST) 의 경우, 트리거 함수는 총 스파이킹 활동을 높이기 위해 스파이킹 프레임에 시간적으로 변하는 무작위 교란을 도입합니다.

3. 추론 전략

추론 중에 피해자는 백도어가 삽입된 SNN 을 사용합니다. 공격자는 정식 설정과 악성 설정 사이에 있는 공격 하이퍼파라미터 구성 ($V^a_{thr}, \tau^a$) 을 선택해야 합니다. 이 균형은 다음을 보장합니다:

• 깨끗한 입력은 올바르게 분류됨 (높은 깨끗한 정확도).
• 트리거된 입력 (최적화된 교란 포함) 은 모델이 대상 라벨과 연관시키는 스파이킹 패턴을 생성함 (높은 공격 성공률).

주요 기여

1. 취약성 발견: 본 논문은 스파이킹 뉴런 하이퍼파라미터 ($V_{thr}$ 및 $\tau$) 의 변화가 스파이킹 수를 기반으로 분포 내 데이터를 분포 밖 데이터로 취급할 수 있게 하는 악용 가능한 공격 표면을 생성함을 입증합니다.
2. 새로운 공격 벡터 (BadSNN): 훈련 중 입력 데이터 조작 (오염) 또는 트리거 주입이 필요 없는 백도어 공격입니다. 백도어는 모델의 고유한 스파이킹 생성 메커니즘을 통해 완전히 임베딩됩니다.
3. 트리거 최적화: 다목적 손실 함수로 훈련된 U-Net 대리 모델을 활용하여 백도어를 활성화하는 감지 불가능한 교란을 생성하는 과정.
4. 종합 평가: CIFAR-10, GTSRB, CIFAR-100, N-MNIST 의 네 가지 데이터셋과 Spiking ResNet-19, Spiking VGG-16, N-MNIST Net 의 세 가지 아키텍처에 걸친 광범위한 실험.

실험 결과

저자들은 BadSNN 을 최첨단 베이스라인 (BadNet, Blend, WaNet) 과 다섯 가지 방어 메커니즘 (Fine-Tuning, CLP, ANP, TSBD, NAD) 에 대해 평가했습니다.

• 공격 효과성:

  • BadSNN 은 허용 가능한 깨끗한 정확도 (CA) 를 유지하면서 높은 공격 성공률 (ASR) 을 달성합니다. 예를 들어, CIFAR-10 에서 ASR 은 **82.65%**이며 CA 는 **87.22%**입니다 (깨끗한 베이스라인 91.34% 대비).
  • 뉴로모픽 데이터 (N-MNIST) 에서는 공격이 특히 강력하여 CA 의 최소 저하로 100% ASR을 달성합니다.
  • 오염 비율과 공격 성공률 사이의 관계는 비선형적이며, 홀수 비율 (1%, 3%, 5%) 이 짝수 비율보다 더 나은 성능을 보였습니다.

• 방어에 대한 견고성:

  • 가지치기 기반 방어 (CLP, ANP): BadSNN 은 매우 견고함이 입증되었습니다. ANP 는 베이스라인 공격에 대한 ASR 을 감소시켰으나, BadSNN 에 대해서는 실패했습니다 (CIFAR-10 에서 ASR 은 70% 이상 유지). 저자들은 이중 스파이킹 학습을 통한 백도어 뉴런과 깨끗한 뉴런의 "얽힘"으로 인해 깨끗한 유틸리티를 파괴하지 않고는 백도어 뉴런을 가지치기하는 것이 불가능하기 때문이라고 설명합니다.
  • 파인튜닝 방어 (TSBD, NAD): 베이스라인 공격이 완화된 반면, BadSNN 은 높은 ASR 을 유지했습니다 (예: 파인튜닝 후 CIFAR-10 에서 84.55%). BadSNN 에는 국소화된 트리거 패턴이 부족하여 NAD 와 같은 주의 기반 방어가 백도어를 식별하고 억제하는 것을 방지합니다.

• 하이퍼파라미터 민감성: 연구는 악성 훈련 임계값 ($V^t_{thr}$) 을 정식 임계값 ($V^n_{thr}$) 보다 충분히 높게 설정하는 것 (예: 1.5 대 1.0) 이 잘 분리된 스파이킹 분포를 생성하여 CA 와 ASR 사이의 더 나은 균형을 facilitat 함을 발견했습니다.

중요성과 주장

본 논문은 BadSNN 이 SNN 보안 위협의 근본적인 전환을 나타낸다고 주장합니다. 그 중요성은 기존 데이터 오염 대비 두 가지 주요 장점에 있습니다:

1. 은밀성: 훈련 중 입력 데이터 조작과 트리거 주입을 피함으로써, 표준 데이터 검사 또는 트리거 역변환 기술을 통한 탐지가 더 어렵습니다.
2. 회복탄력성: 고유한 모델 하이퍼파라미터와 이중 스파이킹 학습에 대한 공격의 의존성은 가지치기 및 파인튜닝과 같은 최첨단 완화 기술에 대해 훨씬 더 견고하게 만듭니다. 이러한 기술들은 트리거 특정 특징이나 뉴런을 격리하는 데 의존합니다.

저자들은 스파이킹 뉴런의 고유한 특성, 특히 하이퍼파라미터에 대한 민감성이 중요하지만 간과된 취약점이라고 결론지었습니다. 이 작업은 단순히 DNN 방어를 적용하는 것이 아니라 SNN 의 아키텍처 뉘앙스에 맞춰 특별히 설계된 새로운 방어 전략의 개발을 촉진합니다.