Inevitable Encounters: Backdoor Attacks Involving Lossy Compression

Probleemstelling

In de huidige big data-omgeving zijn diepe leersystemen vaak afhankelijk van datasets die opgeslagen en getransporteerd worden via verliesbeperkende compressie (lossy compression), zoals JPEG-bestanden. Bestaande backdoor-aanvallen (vooral "onzichtbare" triggers die hoge frequentie-componenten manipuleren) gaan ervan uit dat de aanval direct op de ruwe RGB-afbeeldingen werkt.

Het paper identificeert een fundamenteel probleem: wanneer deze vergiftigde afbeeldingen worden gecomprimeerd naar een binaire bitstream (bijv. .jpeg) en vervolgens weer gedecodeerd, worden de trigger-informatie en de hoge frequentie-componenten vaak vervormd of verwijderd door het compressieproces. Hierdoor verliezen de vergiftigde data hun kwaadaardige effect, wat leidt tot het falen van de backdoor-injectie in de getrainde modellen. Bestaande onzichtbare triggers zijn dus kwetsbaar voor de "inevitable" (onvermijdelijke) compressie in real-world scenario's.

Methodologie

De auteurs stellen dat aanvallers expliciet rekening moeten houden met het compressieproces. Ze maken gebruik van de Region of Interest (ROI) functionaliteit, een standaardoptie in veel compressiecodecs (zowel traditioneel als Learned Image Compression - LIC). ROI stelt de codec in staat om verschillende bitrates toe te wijzen aan verschillende delen van een afbeelding; gebieden met een hogere ROI-maas krijgen meer bits en ondergaan dus minder vervorming.

Op basis hiervan worden twee strategieën voorgesteld:

1. Universal Attack Activation (Universele Aanval-Activering):

   • Doel: Bestaande, maar onder compressie falende, onzichtbare triggers weer effectief maken.
   • Techniek: De methode genereert een steekproefspecifieke ROI-masker ($M_{freq}$) voor elke vergiftigde afbeelding.
   • Werkingsprincipe: Door de afbeelding naar het frequentiedomein te transformeren (bijv. via Fast Fourier Transform), worden de hoge frequentie-componenten geïdentificeerd die essentieel zijn voor de trigger. Het masker wijst extra bits toe aan deze specifieke gebieden. Hierdoor worden de hoge frequentie-componenten tijdens de compressie minder vervormd, waardoor de trigger intact blijft in het gedecodeerde beeld.
   • Toepasbaarheid: Voornamelijk gericht op LIC-modellen die pixel-niveau ROI ondersteunen.

2. Compression-Adapted Attack (CAA - Compressie-Aangepaste Aanval):

   • Doel: Een nieuwe, volledig onzichtbare aanval ontwerpen die inherent bestand is tegen compressie.
   • Techniek: In plaats van een bestaande trigger te redden, wordt de trigger zelf ontworpen als een specifiek frequentiepatroon dat wordt gecreëerd door de ROI-maskers.
   • Werkingsprincipe: Vergiftigde afbeeldingen krijgen een aangepast ROI-masker (bijv. een schaakbordpatroon of concentrische vierkanten) dat een specifieke verdeling van hoge frequenties creëert. Onvergiftigde (schone) afbeeldingen krijgen een uniform masker. Na decompressie vertonen de vergiftigde afbeeldingen een herkenbaar, onzichtbaar frequentiepatroon dat als trigger fungeert.
   • Toepasbaarheid: Werkt zowel voor traditionele codecs (JPEG, BPG) als voor LIC-modellen, zolang deze gebieds-niveau ROI ondersteunen.

Belangrijkste Bijdragen

• Inzicht in kwetsbaarheid: Het paper onthult dat bestaande onzichtbare backdoor-aanvallen (inclusief "clean-label" aanvallen) in de praktijk vaak falen door verliesbeperkende compressie, omdat de hoge frequentie-componenten worden verwijderd.
• Universal Attack Activation: Een generieke methode om de effectiviteit van bestaande onzichtbare triggers te herstellen onder compressie door gebruik te maken van sample-specifieke ROI-maskers.
• Compression-Adapted Attack (CAA): Een nieuwe, robuuste aanvalsmethode die specifiek is ontworpen om te werken binnen de beperkingen van verliesbeperkende compressie, zonder de onzichtbaarheid te verliezen.
• Praktische relevantie: Het benadrukt dat beveiligingsbeoordelingen van deep learning-systemen realistische data-verwerkingscondities (zoals compressie) moeten omvatten.

Resultaten

Uitgebreide experimenten op datasets zoals GTSRB, CIFAR-10 en CelebA met verschillende backbone-modellen (ResNet, MobileNet, SENet) en codecs (JPEG, BPG, JPEG2000, en diverse LIC-modellen) tonen het volgende:

• Herstel van faalende aanvallen: De Universal Attack Activation methode verbetert de Attack Success Rate (ASR) van bestaande methoden (zoals WaNet, FTrojan, BppAttack) aanzienlijk onder compressie. Waar deze aanvallen zonder herstel vaak <20% ASR halen, stijgt dit naar >90% met de ROI-methode.
• Superioriteit van CAA: De nieuwe CAA-methode bereikt consistent een ASR van >94% (vaak bijna 100%) over alle datasets en codecs, terwijl de Benign Accuracy (BA) van het model nauwelijks wordt beïnvloed.
• Robuustheid: CAA is bestand tegen hercompressie (re-compression) en diverse verdedigingsmechanismen zoals Fine-Pruning, STRIP, en ruis/blur-defensies.
• Onzichtbaarheid: Visuele inspectie en objectieve metrics (PSNR, SSIM) tonen aan dat de aanval onmerkbaar is voor het blote oog en zelfs beter presteert dan zichtbare aanvallen (zoals BadNet) in termen van stealth.
• Efficiëntie: De methode verhoogt de bestandsomvang niet significant, omdat de bits alleen worden herverdeeld (meer naar de trigger-gebieden, minder naar andere) in plaats van dat de totale bitrate wordt verhoogd.

Betekenis en Conclusie

Dit werk legt een kritieke schakel in de beveiliging van machine learning systemen bloot: de overgang van "lab-omstandigheden" (ruwe data) naar "real-world omstandigheden" (gecompressieerde data). Het toont aan dat verdedigingen en aanvallen die compressie negeren, theoretisch en praktisch onvolledig zijn.

De voorgestelde methoden tonen aan dat aanvallers de compressie-architectuur zelf kunnen manipuleren om triggers te verstoppen. Dit onderstreept de noodzaak voor de gemeenschap om nieuwe verdedigingsstrategieën te ontwikkelen die specifiek gericht zijn op het detecteren van anomalieën in gecomprimeerde bitstreams of in de frequentie-domeinen van gedecodeerde beelden, in plaats van alleen te kijken naar de ruwe pixelwaarden.