PASTA: A Patch-Agnostic Twofold-Stealthy Backdoor Attack on Vision Transformers

Probleemstelling

Vision Transformers (ViTs) hebben zich bewezen als krachtige modellen voor computer vision-taken, maar ze zijn kwetsbaar voor backdoor-aanvallen. Bestaande patch-gebaseerde aanvallen op ViTs hebben twee fundamentele beperkingen:

1. Locatie-afhankelijkheid: Deze aanvallen vereisen dat de trigger tijdens de inferentie op een exact vooraf gedefinieerde locatie wordt geplaatst om het backdoor-gedrag te activeren. Ze exploiteren niet de eigenschap van het self-attention mechanisme dat lange-afstandsafhankelijkheden tussen patches kan vastleggen.
2. Gebrek aan "Twofold Stealthiness": Bestaande ViT-specifieke aanvallen maximaliseren vaak de model-attention op de trigger om de aanvalseffectiviteit te vergroten. Dit leidt echter tot zichtbare artefacten (visuele onopvallendheid) en abnormale attention-maps (attention-onopvallendheid), waardoor ze kwetsbaar zijn voor zowel menselijke inspectie als machine-gebaseerde detectie.

De auteurs stellen de vraag of het mogelijk is om een backdoor-aanval te creëren die werkt op willekeurige patches (patch-agnostisch) terwijl deze tegelijkertijd zowel visueel als in de attention-domeinen onopvallend blijft.

Methodologie: PASTA

De auteurs introduceren PASTA (Patch-Agnostic Twofold-Stealthy Attack), een nieuwe aanval die gebruikmaakt van een uniek fenomeen in ViTs en een geavanceerd optimalisatiekader.

1. Observation: Trigger Radiating Effect (TRE)

Het onderzoek toont aan dat ViTs, in tegenstelling tot CNNs, een Trigger Radiating Effect (TRE) vertonen. Door het self-attention mechanisme blijft een patch-wise trigger effectief, zelfs als deze tijdens de inferentie op een naburige patch wordt geplaatst in plaats van de exacte trainingslocatie.

• Observatie: Een trigger geïntroduceerd in één patch kan de aanval succesvol activeren op aangrenzende patches.
• Synergie: Het trainen van het model met triggers die willekeurig worden ingevoegd op meerdere locaties (inter-patch) versterkt dit TRE-effect aanzienlijk in vergelijking met training op één enkele locatie.

2. Multi-location Trigger Insertion Strategy (MIS)

Om een hoge aanvalseffectiviteit op willekeurige patches te garanderen, gebruikt PASTA een strategie waarbij de trigger tijdens het trainen willekeurig wordt geplaatst in een vooraf gedefinieerde set van kandidaat-locaties (centrale patches en hoekpatches). Dit zorgt ervoor dat het model leert om de backdoor te activeren ongeacht de exacte positie van de trigger.

3. Bi-level Optimalisatie en Adaptief Trainingskader

Het grootste uitdaging is om een sterke TRE te bereiken terwijl de trigger visueel en attention-technisch onzichtbaar blijft. De auteurs formuleren dit als een bi-level optimalisatieprobleem:

• Bovenste niveau: Optimalisatie van de modelparameters ($\theta$).
• Onderste niveau: Optimalisatie van de trigger ($t$).
• Doel: Minimaliseren van de cross-entropy loss (voor de backdoor), minimaliseren van de visuele verstoring ($L_{vis}$, gemeten via $l_2$-norm), en minimaliseren van de dispariteit in attention-maps tussen schone en vergiftigde samples ($L_{attn}$).

Om het probleem van niet-separabele loss-termen (waarbij veranderingen in $\theta$ direct de loss van $t$ beïnveden en vice versa) op te lossen, introduceren ze een adaptief trainingskader. In plaats van beide variabelen tegelijkertijd of volledig sequentieel te optimaliseren, worden ze afwisselend met kleine iteraties bijgewerkt. Dit zorgt ervoor dat de trigger en het model zich geleidelijk aanpassen aan elkaar, wat convergeert naar een beter optimum en lokale minima vermindert.

Belangrijkste Bijdragen

1. Ontdekking van TRE: Eerste observatie dat patch-wise triggers in ViTs een stralend effect hebben op de aanvalseffectiviteit van naburige patches, veroorzaakt door self-attention.
2. Nieuwe Payload: Een backdoor-payload die het mogelijk maakt om de aanval te activeren via triggers op willekeurige patches tijdens de inferentie, wat traditionele verdedigingen omzeilt die op vaste locaties vertrouwen.
3. Twofold Stealthiness: PASTA bereikt zowel visuele onopvallendheid (geen zichtbare artefacten) als attention-onopvallendheid (geen afwijkingen in de attention-maps), waardoor het zowel voor mensen als voor AI-detectoren moeilijk te onderscheiden is van schone data.
4. Adaptief Kader: Een nieuw trainingsframework dat bi-level optimalisatie effectief oplost voor backdoor-aanvallen met niet-separabele doelen.

Resultaten

Experimenten op vier datasets (CIFAR-10, CIFAR-100, ImageNet, en een subset van ImageNet) tonen aan dat PASTA superieur is aan state-of-the-art CNN- en ViT-specifieke aanvallen:

• Aanvalseffectiviteit: PASTA bereikt een gemiddelde aanvalssuccesratio (ASR) van 99,13% over alle patches, wat aanzienlijk hoger is dan bestaande methoden die vaak falen bij afwijkende trigger-locaties.
• Visuele Onopvallendheid: Een verbetering van 144,43x in visuele onopvallendheid (gemeten via $l_2$-norm) vergeleken met bestaande ViT-aanvallen. De vergiftigde beelden zijn voor het menselijk oog ononderscheidbaar van de originele beelden.
• Attention Onopvallendheid: Een verbetering van 18,68x in attention-onopvallendheid. De attention-maps van vergiftigde beelden lijken identiek op die van schone beelden, wat detectie via attention-analyse onmogelijk maakt.
• Robuustheid tegen Verdedigingen: PASTA is 2,79x robuuster tegen bestaande ViT-specifieke verdedigingen (zoals patch-drop en patch-shuffle) en test-time blokkering van attention-locaties.

Significantie

Dit werk heeft belangrijke implicaties voor de beveiliging van Vision Transformers:

• Het onthult een fundamenteel kwetsbaarheid in het self-attention mechanisme van ViTs: het vermogen om lange-afstandsafhankelijkheden te leren maakt ze kwetsbaar voor "stralende" backdoors die niet gebonden zijn aan een specifieke locatie.
• Het toont aan dat bestaande verdedigingen die vertrouwen op het detecteren van triggers op vaste locaties of het analyseren van abnormale attention-maps, inefficiënt zijn tegen geavanceerde, adaptieve aanvallen.
• Het benadrukt de noodzaak van nieuwe detectiemethoden die rekening houden met patch-agnostische dreigingen en de complexiteit van bi-level optimalisatie in de beveiliging van deep learning-modellen.

Kortom, PASTA stelt een nieuwe standaard voor voor de complexiteit en onopvallendheid van backdoor-aanvallen op ViTs, wat een dringende oproep is voor de onderzoeksgemeenschap om robuustere verdedigingsmechanismen te ontwikkelen.