Technische Samenvatting: BadSNN – Achterdeuraanvallen op Spiking Neural Networks via Adversariële Spiking Neuronen

Probleemstelling

Spiking Neural Networks (SNN's) zijn opgekomen als energie-efficiënte, biologisch plausibele alternatieven voor Deep Neural Networks (DNN's), met name voor randapparatuur en veiligheidskritieke toepassingen zoals autonoom rijden en medische surveillance. Hoewel DNN's bekend staan om hun kwetsbaarheid voor achterdeuraanvallen – waarbij een aanvaller de trainingsdata vergiftigt om specifieke verkeerde classificaties af te dwingen bij injectie van een trigger – blijven SNN-kwetsbaarheden onderbelicht.

Bestaande SNN-achterdeuraanvallen (bijvoorbeeld Sneaky Spikes, Flashy Backdoor) vertrouwen voornamelijk op het manipuleren van neuromorfe data (tijdsgebonden stromen op gebeurtenisbasis) of het injecteren van fysieke triggers (lichtflitsen) die samenvloeien met natuurlijke dynamiek van het tafereel. Deze benaderingen richten zich op datamanipulatie in plaats van het benutten van de intrinsieke architecturale eigenschappen van SNN's. Specifiek is het unieke gedrag van spiking neuron, bepaald door hyperparameters zoals de membraanpotentiaaldrempel ($V_{thr}$) en de membraantijdsconstante ($\tau$), niet onderzocht als een vector voor het inbedden van achterdeuren. De kernvraag die in dit onderzoek wordt behandeld is: Kan een aanvaller de gevoeligheid van spiking neuron voor variaties in hyperparameters benutten om een achterdeur in te bouwen zonder de invoerdata te wijzigen?

Methodologie: BadSNN

De auteurs stellen BadSNN voor, een innovatieve achterdeuraanval die kwaadaardig gedrag inbedt door de hyperparameters van spiking neuron tijdens het trainen af te stemmen, in plaats van de invoerdataset te vergiftigen met triggers. De aanval bestaat uit drie hoofdfasen:

1. Achterdeurtraining via Kwaadaardige Spike-vergiftiging

In tegenstelling tot conventionele aanvallen die gebruikmaken van verkeerd gelabelde samples met triggers, hanteert BadSNN een dual spike learning-strategie:

• Hyperparametermanipulatie: De aanvaller manipuleert de hyperparameters van spiking neuron ($V_{thr}$ en $\tau$) tijdens het trainen. Er worden twee configuraties gebruikt:
  • Nominaal ($S_n$): Standaard hyperparameters voor het leren van schone data.
  • Kwaadaardig ($S_t$): Gewijzigde hyperparameters die ervoor zorgen dat het model specifieke invoertransformaties behandelt als data buiten de verdeling (OD-data).
• Trainingsdoel: Een subset van de data van de doelklasse wordt getraind met zowel $S_n$ als $S_t$. Het model leert de "kwaadaardige spikepatronen" (gegenereerd door $S_t$) te associëren met het doellabel, terwijl het tegelijkertijd schone bruikbaarheid behoudt op nominale data.
• Kerninzicht: De aanval berust op de observatie dat het variëren van $V_{thr}$ het aantal spikes ($N_{spike}$) van invoer kan verschuiven. Als het model erop is vooringenomen om invoer met verhoogde spikeaantallen te classificeren als het doellabel, is er een achterdeur gevestigd zonder de ruwe trainingspixels te wijzigen.

2. Triggeroptimalisatie

Om de achterdeur tijdens inferentie te activeren, moet de aanvaller invoer genereren die het "kwaadaardige spike"-gedrag triggert.

• Initiële Trigger: Een niet-lineaire machtstransformatie ($x^q$) wordt gebruikt om spikeaantallen te verhogen, maar dit degradeert vaak semantische informatie en is waarneembaar.
• Optimalisatie: Een trigger-surrrogaatmodel (gebaseerd op U-Net) wordt getraind om minimaal waarneembare verstoringen ($\Delta x$) te genereren.
• Functie voor Verlies: Het surrogaatmodel wordt geoptimaliseerd met een combinatie van:
  • Cosinusgelijkheid ($L_{sim}$): Om de structurele kenmerken van de verstoring af te stemmen op de doeltransformatie.
  • Adversariële Verlies ($L_{adv}$): Om ervoor te zorgen dat de verstoord afbeelding verkeerd wordt geclassificeerd als het doellabel.
  • Gewogen MSE ($L_{wmse}$): Om de grootte en ruimtelijke verdeling van de verstoring te matchen.
• Neuromorfe Uitbreiding: Voor data op gebeurtenisbasis (bijvoorbeeld N-MNIST) introduceert een triggerfunctie tijdsvariërende willekeurige verstoringen in spikeframes om de totale spikeactiviteit te verhogen.

3. Inferentiestrategie

Tijdens inferentie gebruikt het slachtoffer het achterdeur-SNN. De aanvaller moet een aanvalshyperparameterconfiguratie ($V^a_{thr}, \tau^a$) selecteren die ligt tussen de nominale en kwaadaardige instellingen in. Deze balans zorgt ervoor dat:

• Schone invoer correct wordt geclassificeerd (hoge Schone Nauwkeurigheid).
• Getriggerde invoer (met geoptimaliseerde verstoringen) spikepatronen genereert die het model associeert met het doellabel (hoge Aanvalsuccesratio).

Belangrijkste Bijdragen

1. Kwetsbaarheidsontdekking: Het artikel toont aan dat variaties in hyperparameters van spiking neuron ($V_{thr}$ en $\tau$) een uitbuitbaar aanvalsoppervlak creëren, waardoor het model data binnen de verdeling kan behandelen als data buiten de verdeling op basis van spikeaantallen.
2. Nieuwe Aanvalsvector (BadSNN): Een achterdeuraanval die de noodzaak voor manipulatie van invoerdata (vergiftiging) of injectie van triggers tijdens het trainen elimineert. De achterdeur wordt volledig ingebed via het intrinsieke spikegeneratiemechanisme van het model.
3. Triggeroptimalisatie: Een proces om onwaarneembare verstoringen te genereren die de achterdeur activeren, waarbij gebruik wordt gemaakt van een U-Net surrogaatmodel dat is getraind met een multi-objectieve verliesfunctie.
4. Uitgebreide Evaluatie: Uitgebreide experimenten over vier datasets (CIFAR-10, GTSRB, CIFAR-100, N-MNIST) en drie architecturen (Spiking ResNet-19, Spiking VGG-16, N-MNIST Net).

Experimentele Resultaten

De auteurs hebben BadSNN geëvalueerd tegen state-of-the-art baselines (BadNet, Blend, WaNet) en vijf verdedigingsmechanismen (Fine-Tuning, CLP, ANP, TSBD, NAD).

• Aanvalseffectiviteit:

  • BadSNN bereikt hoge Aanvalsuccesratio's (ASR) terwijl het een aanvaardbare Schone Nauwkeurigheid (CA) behoudt. Bijvoorbeeld, op CIFAR-10 bereikte het een ASR van 82,65% met een CA van 87,22% (vergeleken met een schone baseline van 91,34%).
  • Op neuromorfe data (N-MNIST) is de aanval bijzonder krachtig, met een 100% ASR en minimale degradatie van de CA.
  • De relatie tussen vergiftigingsratio en aanvalsucces is niet-lineair; oneven ratio's (1%, 3%, 5%) leverden betere prestaties op dan evene.

• Robuustheid tegen Verdedigingen:

  • Op Pruning gebaseerde Verdedigingen (CLP, ANP): BadSNN bleek zeer robuust. Hoewel ANP de ASR voor baseline-aanvallen verlaagde, faalde het tegen BadSNN (ASR bleef >70% op CIFAR-10). De auteurs schrijven dit toe aan de "verstrengeling" van achterdeur- en schone neuron via dual-spike learning, waardoor het onmogelijk is om achterdeur-neuronen te verwijderen zonder de schone bruikbaarheid te vernietigen.
  • Fine-Tuning Verdedigingen (TSBD, NAD): BadSNN behield een hoge ASR (bijvoorbeeld 84,55% op CIFAR-10 na fine-tuning) waar baseline-aanvallen werden gemitigeerd. Het ontbreken van gelokaliseerde triggerpatronen in BadSNN voorkomt dat op attentie gebaseerde verdedigingen (zoals NAD) de achterdeur kunnen identificeren en onderdrukken.

• Gevoeligheid voor Hyperparameters: De studie vond uit dat het instellen van de kwaadaardige trainingsdrempel ($V^t_{thr}$) voldoende hoger dan de nominale drempel ($V^n_{thr}$) (bijvoorbeeld 1,5 versus 1,0) een goed gescheiden spikeverdeling creëert, wat een betere afweging tussen CA en ASR faciliteert.

Betekenis en Claims

Het artikel claimt dat BadSNN een fundamentele verschuiving in SNN-beveiligingsbedreigingen vertegenwoordigt. De betekenis ligt in twee primaire voordelen ten opzichte van conventionele datavergiftiging:

1. Stilte: Door het vermijden van manipulatie van invoerdata en injectie van triggers tijdens het trainen, is de aanval moeilijker te detecteren via standaard data-inspectie of trigger-inversietechnieken.
2. Weerbaarheid: De afhankelijkheid van de aanval van intrinsieke modelhyperparameters en dual-spike learning maakt deze aanzienlijk robuuster tegen state-of-the-art mitigerende technieken, met name pruning en fine-tuning, die vertrouwen op het isoleren van trigger-specifieke kenmerken of neuron.

De auteurs concluderen dat de unieke kenmerken van spiking neuron, specifiek hun gevoeligheid voor hyperparameters, een kritieke, over het hoofd geziene kwetsbaarheid vormen. Dit werk motiveert de ontwikkeling van nieuwe verdedigingsstrategieën die specifiek zijn toegespitst op de architecturale nuances van SNN's, in plaats van DNN-verdedigingen simpelweg aan te passen.