Technische Samenvatting: TIMEGUARD

Probleemstelling

Tijdreeksvoorspelling (TSF) is cruciaal voor domeinen zoals klimaatvoorspelling en economische analyse, maar is kwetsbaar voor backdoor-aanvallen. Bij deze aanvallen injecteren tegenstanders verborgen triggerpatronen in trainingsdata om modelvoorspellingen te manipuleren wanneer specifieke triggers tijdens inferentie verschijnen, terwijl ze tegelijkertijd normale prestaties behouden op onbeschadigde invoer.

Ondanks uitgebreid onderzoek in classificatie en generatieve modellen, blijven backdoor-verdedigingen voor TSF aanzienlijk onderbelicht. Het artikel identificeert twee fundamentele uitdagingen die voorkomen dat bestaande op classificatie gebaseerde verdedigingen effectief naar TSF worden overgebracht:

1. Data-Verstrengeling: Multivariate tijdreeksen vertonen gelijktijdige kanaalstructuren en temporele afhankelijkheden. Aanvallen vergiftigen vaak slechts een subset van kanalen, waardoor backdoorsignalen op kanaalniveau worden verdund. Dit maakt filteren op niveau van steekproeven en verdedigingen op basis van trigger-synthese ineffectief, omdat ze backdoors niet kunnen lokaliseren wanneer de aanvalsgranulariteit (subset van kanalen) niet overeenkomt met de verdedigingsgranulariteit (hele steekproef).
2. Verschuiving in Taakformulering: TSF omvat regressie met continue waarden en overlappende invoer-uitvoervensters, in tegenstelling tot discrete classificatie. Deze verschuiving zorgt ervoor dat vergiftigde en schone vensters tijdens de vroege trainingsstadia vergelijkbare verliesverdelingen vertonen, wat leidt tot degradatie van het trainingsverlies. Bijgevolg falen verdedigingen die uitsluitend vertrouwen op scheiding van trainingsverlies om onderscheid te maken tussen vergiftigde en schone data.

Methodologie: TIMEGUARD

Om deze uitdagingen aan te pakken, stellen de auteurs TIMEGUARD voor, een verdediging tegen backdoors tijdens het trainen die werkt zonder extra schone data te vereisen. Het kernparadigma verschuift van training op niveau van steekproeven naar betrouwbare pooltraining per kanaal.

De methode verloopt in twee fasen:

1. Initialisatie van Betrouwbare Pool per Kanaal (Fase I)

In plaats van hele steekproeven te verwerpen, behandelt TIMEGUARD het doel van elk kanaal onafhankelijk. Het construeert een hoogvertrouwens initieel betrouwbaar pool ($D_{rel}$) door twee complementaire, tijd-bewuste criteria te snijden:

• Reverse-Consistency Filtering (RCF): Misbruikmakend van de temporele asymmetrie van TSF-backdoors. Waar triggers zijn ontworpen voor de voorspellingsrichting (geschiedenis $\to$ toekomst), dwingen ze geen consistente omgekeerde afhankelijkheden af (toekomst $\to$ geschiedenis). Een auxiliary backcaster wordt getraind om de omgekeerde geschiedenis te reconstrueren uit de omgekeerde toekomst. Steekproeven met een laag verlies voor omgekeerde consistentie worden geselecteerd, omdat backdoor-afhankelijkheden doorgaans falen in de omgekeerde richting.
• Neighborhood Diversity Filtering (NDF): Gebaseerd op het theoretische inzicht dat succesvolle TSF-backdoors strakke, zeer vergelijkbare clusters van vergiftigde invoervensters induceren. TIMEGUARD berekent een door een Gaussische verdeling gewogen Pearson-correlatie-afstand in de buurt. Steekproeven met hoge buurafstanden (wat temporele diversiteit aangeeft) worden geselecteerd om de geconcentreerde clusters te vermijden die kenmerkend zijn voor vergiftigde data.

Het initieel betrouwbare pool is de doorsnede van steekproeven die zowel RCF als NDF doorstaan.

2. Afstands-geregulariseerde Verliesselectie (Fase II)

Tijdens de hoofdtrainingsfase wordt het model getraind op het betrouwbare pool. Om dit pool progressief uit te breiden terwijl de herintroductie van gecorreleerde vergiftigde vensters wordt voorkomen, introduceert TIMEGUARD Distance-Regularized Loss Selection (DRLS).

• Dit mechanisme selecteert nieuwe kandidaten op basis van een laag trainingsverlies, maar regulariseert deze selectie met een beperking op buurdiversiteit.
• Het zorgt ervoor dat zelfs als vergiftigde vensters een laag verlies bereiken (door de verschuiving in taakformulering), ze niet worden toegelaten als ze sterk gecorreleerd zijn met bestaande vergiftigde steekproeven in het pool.
• De poolgrootte wordt progressief uitgebreid van een initiële ratio $\alpha$ naar een maximale ratio $\beta$ tijdens het trainen.

Belangrijkste Bijdragen

1. Systematische Evaluatie: Het artikel presenteert de eerste systematische evaluatie van 13 representatieve backdoor-verdedigingen over de TSF-levenscyclus. Het onthult twee TSF-specifieke faalmodi: signaalverdunding door data-verstrengeling en verliesdegradatie door verschuiving in taakformulering.
2. Voorstel TIMEGUARD: Een nieuwe verdediging tijdens het trainen die leert van betrouwbare data per kanaal. Het mitigeert signaalverdunding en degradatie van trainingsverlies zonder extra schone steekproeven te vereisen, gebruikmakend van een tijd-bewuste poolinitialisatie en afstands-geregulariseerde uitbreiding.
3. Uitgebreide Validatie: De methode wordt geëvalueerd over drie datasets (PEMS03, Weather, ETTm1), drie voorspellingsarchitecturen (FEDformer, TimesNet, SimpleTM) en drie representatieve aanvallen (Random, FreqBack-TSF, BackTime). Het toont ook overdraagbaarheid aan forecasters op basis van LLM's.

Resultaten

Uitgebreide experimenten tonen aan dat TIMEGUARD de robuustheid aanzienlijk verbetert terwijl het schone voorspellingsprestaties behoudt:

• Robuustheid: TIMEGUARD bereikt een 1,96$\times$ verbetering in MAEP (Mean Absolute Error op vergiftigde invoer) ten opzichte van de leidende baseline (PDB) op de PEMS03-dataset.
• Schone Prestaties: Het behoudt schone prestaties (MAEC) binnen 5% van het niet-verdedigde model.
• Effectiviteit van Verdediging: De voorgestelde Forecasting Defense Effectiveness Rating (FDER)-metriek toont aan dat TIMEGUARD consequent betere prestaties levert dan bestaande methoden, met FDER-scores boven de 0,80 in diverse instellingen.
• Generalisatie: De methode blijft effectief over verschillende datasets en modelarchitecturen, en is zelfs overdraagbaar naar forecasters op basis van LLM's (wat resulteert in ten minste een 5,14$\times$ MAEP-winst met slechts een 3,8% verandering in schone MAEC). Het behoudt ook effectiviteit onder extreme vergiftiging van volledige kanalen ($\eta_S = 1.0$).
• Efficiëntie: Hoewel TIMEGUARD een overhead tijdens het trainen veroorzaakt (ongeveer 1,58$\times$ vanilla training), vermijdt het de zware overhead tijdens inferentie (4–100$\times$) die geassocieerd is met verdedigingen tijdens inferentie, waardoor het praktisch is voor real-time TSF-systemen.

Betekenis en Claims

Het artikel beweert dat TIMEGUARD de specifieke structurele en taakformulering-uitdagingen van tijdreeksdata aanpakt die de adoptie van bestaande backdoor-verdedigingen hebben gehinderd. Door het probleem te herformuleren van niveau van steekproeven naar niveau van kanalen en gebruik te maken van temporele asymmetrie en buurdiversiteit, biedt TIMEGUARD een robuuste, model-agnostische verdediging die niet afhankelijk is van de beschikbaarheid van vertrouwde schone data. De auteurs benadrukken dat hun werk de noodzaak onderstreept voor robuustere en betrouwbaardere voorspellingssystemen en suggereert dat toekomstig werk zich moet richten op het ontwikkelen van efficiënte verdedigingen tijdens inferentie voor TSF.