Lite-BD: A Lightweight Black-box Backdoor Defense via Reviving Multi-Stage Image Transformations

Probleemstelling

Diepe Neurale Netwerken (DNN's) zijn kwetsbaar voor backdoor-aanvallen. In een dergelijke aanval injecteert een adversary een kwaadaardige trigger in het model (tijdens training of fine-tuning), waardoor het model normaal functioneert op schone data, maar een specifieke, door de aanval gedefinieerde output produceert wanneer de trigger aanwezig is.

Hoewel er veel verdedigingsmethodes zijn ontwikkeld, zijn de meeste white-box methoden (waarbij de verdediger toegang heeft tot de modelparameters). In de praktijk van Machine Learning as a Service (MLaaS) heeft de eindgebruiker echter geen toegang tot het interne model, wat white-box verdediging onmogelijk maakt. Bestaande black-box verdedigingen (die alleen de output van het model kunnen observeren) hebben echter ernstige beperkingen:

1. Gebrek aan onderbouwing voor de keuze van specifieke ruimtelijke transformaties.
2. Zware afhankelijkheid van specifieke datasets.
3. Hoge rekenkosten, vooral bij methoden die gebruikmaken van diffusion-modellen voor beeldherstel.
4. Verwaarlozing van frequentiedomein-transformaties als alternatief wanneer ruimtelijke methoden falen.

Methodologie: Lite-BD

Het paper introduceert Lite-BD, een lichtgewicht, twee-staps black-box verdedigingsframework dat geen toegang vereist tot de modelparameters en geen extra training nodig heeft (zero-shot). Het doel is om vergiftigde samples te zuiveren door triggers te vernietigen terwijl de semantische betekenis van het beeld behouden blijft.

Het framework bestaat uit twee fasen:

Fase 1: Stochastische Downscaling en Neuronale Super-Resolution

• Downscaling: Een vergiftigd beeld wordt willekeurig verkleind (downscaled) met een schalingsfactor $s$. Dit verstoort de ruimtelijke coherentie van pixel-gebaseerde triggers (zoals patches of vlekken).
• Upscaling (Super-Resolution): Het verkleinde beeld wordt vervolgens weer vergroot naar de originele afmetingen met behulp van een voorgeladen super-resolution (SR) netwerk (bijv. Real-ESRGAN of SwinIR).
• Principe: Omdat SR-netwerken zijn getraind op natuurlijke beelden (in-distribution), reconstructeren ze de semantische inhoud van het beeld. Kwaadaardige triggers zijn echter vaak "out-of-distribution" (OOD) en worden door het SR-netwerk niet gereconstrueerd, waardoor ze effectief worden verwijderd.
• Check: Als de label van het beeld na deze stap verandert (van het doelwit terug naar de oorspronkelijke klasse), wordt het beeld als veilig beschouwd.

Fase 2: Band-voor-band Frequentiefiltering

• Als Fase 1 faalt (de trigger blijft bestaan en het model geeft nog steeds de verkeerde label), gaat het beeld naar Fase 2.
• Er wordt een 2D Discrete Fourier Transform (DFT) toegepast om het beeld naar het frequentiedomein te vertalen.
• Het frequentiespectrum wordt opgedeeld in concentrische banden. Er wordt een band-stop filter toegepast op elke band om specifieke frequenties te blokkeren.
• Door het beeld te reconstrueren na het filteren van verschillende banden, kan de verdediger identificeren in welke frequentieband de trigger zit.
• Als een gefilterde versie van het beeld een labelflip veroorzaakt (terug naar de juiste klasse), wordt die versie als de zuivere output gebruikt.

Belangrijkste Bijdragen

1. Preliminair Onderzoek: Een uitgebreide evaluatie van diverse ruimtelijke transformaties (blur, ruis, rotatie, etc.) waarbij downscaling-then-upscaling werd geïdentificeerd als de meest effectieve techniek voor het verstoren van triggers.
2. Lite-BD Framework: De ontwikkeling van een innovatieve, twee-staps black-box verdediging die zowel ruimtelijke als frequentiedomein-transformaties combineert.
3. Efficiëntie en Generalisatie: Het bewijzen dat het gebruik van voorgeladen SR-modellen (in plaats van dure diffusion-modellen) leidt tot een zero-shot, dataset-onafhankelijke methode met zeer lage rekenkosten.

Resultaten

De auteurs hebben Lite-BD getest tegen 10 state-of-the-art (SOTA) backdoor-aanvallen (waaronder BadNets, Blend, WaNet, SIG, BPPAttack) op drie datasets (CIFAR-10, Fashion-MNIST, GTSRB) en diverse modelarchitecturen (ResNet-18, VGG-11, MobileNet, ViT).

• Effectiviteit: Lite-BD bereikte de laagste gemiddelde Attack Success Rate (ASR) in vergelijking met bestaande black-box methoden zoals ShrinkPad, ZIP en SampDetox. Het slaagde erin om de ASR drastisch te verlagen (vaak < 5%) terwijl de Clean Accuracy (CA) en Poisoned Accuracy (PA) hoog bleven.
• Vergelijking met SOTA:
  • Tegenover ZIP en SampDetox (die diffusion-modellen gebruiken) presteerde Lite-BD beter in termen van ASR-reductie en was aanzienlijk sneller.
  • Bijvoorbeeld, op CIFAR-10 is Lite-BD (RE) 123x sneller dan SampDetox en 34x sneller dan ZIP.
• Robuustheid: De methode werkt effectief op verschillende modelarchitecturen (van CNN's tot Vision Transformers), wat aantoont dat het model-agnostisch is.
• Fase-analyse: De meeste aanvallen werden al opgelost in Fase 1. Fase 2 was vooral nodig voor complexe aanvallen zoals SIG en LF die sterk afhankelijk zijn van frequentie-informatie.

Betekenis en Impact

Dit paper biedt een cruciale oplossing voor de beveiliging van MLaaS-systemen. De belangrijkste implicaties zijn:

• Praktische Toepasbaarheid: Het is een echte black-box oplossing die geen interne kennis van het model vereist, wat essentieel is voor cloud-gebaseerde AI-diensten.
• Rekenkundige Efficiëntie: Door te voorkomen dat er zware diffusion-modellen getraind of gebruikt moeten worden, maakt Lite-BD real-time verdediging haalbaar, wat eerder een bottleneck was.
• Complementaire Aanpak: Het combineert ruimtelijke en frequentiedomein-analyse, waardoor het effectief is tegen een breder scala aan aanvallen dan methoden die zich op slechts één domein richten.
• Zero-Shot: De methode vereist geen extra training op de specifieke dataset van de gebruiker, wat de implementatie vereenvoudigt en de kosten verlaagt.

Kortom, Lite-BD stelt een nieuwe standaard voor in lichtgewicht, robuuste en efficiënte black-box verdediging tegen backdoor-aanvallen.