💻 computer science

Temporal Poisoning: Clean-Label Backdoors via Event Redistribution in SNNs

Dit artikel introduceert de eerste clean-label backdoor-aanval op Spiking Neural Networks (SNNs) die een perfecte aanvalssuccesratio bereikt door vaste tijdstempeltransformaties toe te passen op event-stromen van de doelklasse, waardoor de beperkingen van bestaande rate-collapsed defensies worden blootgelegd terwijl de stealthiness van de aanval wordt gedemonstreerd door behouden event-aantallen.

Oorspronkelijke auteurs: Roberto Riaño, Gorka Abad, Stjepan Picek, Aitor Urbieta

Gepubliceerd 2026-07-31

📖 4 min leestijd☕ Koffiepauze-leesvoer

CC BY 4.0

Oorspronkelijke auteurs: Roberto Riaño, Gorka Abad, Stjepan Picek, Aitor Urbieta

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je de wereld van kunstmatige intelligentie voor als een bruisende stad waar computers leren om dingen te herkennen, zoals gezichten of verkeersborden. Lange tijd werkten deze computers als standaardcamera's, die elke fractie van een seconde een volledige foto maken en de hele scène tegelijkertijd analyseren. Maar er is een nieuwere, coolere soort computerbrein, een Spiking Neural Network (SNN). In plaats van naar volledige plaatjes te kijken, zijn SNN's als hyperalerte beveiligingsbeambten die alleen reageren wanneer er iets beweegt of verandert. Ze zien geen statisch beeld; ze zien een stroom van kleine, razendsnelle "pings" of "spikes" die op specifieke momenten in de tijd gebeuren. Dit maakt ze ongelooflijk snel en energiezuinig, perfect voor zaken als zelfrijdende auto's of robots die direct moeten kunnen reageren zonder hun batterijen leeg te trekken.

Echter, net als elk slim systeem, kunnen deze netwerken worden misleid. In de wereld van AI-beveiliging is een "backdoor attack" (achterdeur-aanval) als een geheime handdruk. Als een hacker de computer leert dat een specifiek geheim signaal betekent "open de deur", zal de computer dat signaal gehoorzamen, ongeacht wat er verder gebeurt. Normaal gesproken moeten hackers iets voor de hand liggend doen om deze truc te leren, zoals het label op een foto van een stopbord veranderen naar "snelheidslimiet", zodat de computer het verkeerde leert. Maar wat als de hacker de geheime handdruk zou kunnen aanleren zonder het label überhaupt te veranderen? Wat als ze simpelweg een geheim in de timing van de gebeurtenissen zouden kunnen fluisteren, waardoor de foto er precies hetzelfde uitziet? Dat is het mysterie dat dit paper probeert op te lossen.

De onderzoekers, werkend met gegevens van speciale camera's die alleen veranderingen in licht zien, ontdekten een slimme nieuwe manier om deze spiking breinen te hacken. Ze ontdekten dat je niet de inhoud hoeft te veranderen van wat de computer ziet om hem te misleiden; je hoeft alleen maar te veranderen wanneer hij het ziet. Stel je een drumritme voor. Als je een ritme speelt van "boem, tap, tap, boem", klinkt het als een liedje. Maar als je al die slagen in een minuscule uitbarsting aan het begin samenperst, of ze juist uitrekt, is het totale aantal slagen op de trom exact hetzelfde. Iemand die alleen het totaal aantal slagen telt, ziet geen verschil. Maar een muzikant die naar het ritme luistert, hoort een compleet ander liedje.

Het paper laat zien dat door de tijdstempels van deze lichtveranderingsgebeurtenissen te herschikken — door ze iets eerder, later te plaatsen, of ze allemaal samen te voegen — de aanvallers de AI konden leren dat een specifiek ritme een specifieke doelklasse betekende (zoals "kat" of "stopbord"). Het enge deel? De "schone" versie van de gegevens en de "vergiftigde" versie zien er exact hetzelfde uit als je alleen het totaal aantal gebeurtenissen telt. Het is alsoast twee liedjes die exact hetzelfde aantal noten hebben, maar de één klinkt als een mars en de ander als een wals. Als je alleen de noten telt, kun je het verschil niet zien. Maar de AI, die naar het ritme luistert, raakt in de war en begint de geheime opdracht van de hacker op te volgen.

Het team heeft dit getest op drie verschillende datasets en twee soorten AI-breinen (één gebouwd als een traditionele beeldverwerker en een andere als een moderne transformer). Ze ontdekten dat deze "tijd-truc" in veel gevallen perfect werkte. In de sterkste opstellingen slaagde de aanval 100% van de tijd. De AI keek naar een willekeurig object, zag het geheime timingpatroon, en classificeerde het onmiddellijk als wat de hacker wilde, terwijl hij nog steeds uitstekend presteerde op normale, niet-vergiftigde invoer.

De onderzoekers controleerden ook of bestaande beveiligingsbeambten deze truc konden vangen. Ze testten verschillende standaardverdedigingen, maar de meeste waren blind voor de aanval. Waarom? Omdat de meeste beveiligingscontroles voor deze AI-breinen eerst de tijdsdimensie platdrukken — de hele ritme wordt omgezet in een enkele telling van het totaal aantal noten. Omdat de hacker het totaal aantal noten niet veranderde, zagen deze verdedigingen niets verdachts. Het was pas toen de onderzoekers een nieuwe detector bouwden die daadwerkelijk stap voor stap naar het ritme luisterde, dat ze het gif konden opsporen.

Deze studie bewijst dat voor deze tijdsgevoelige AI-breinen het "wanneer" net zo belangrijk is als het "wat". Het suggereert dat huidige beveiligingsmaatregelen, die de timing van gebeurtenissen vaak negeren, een enorme kwetsbaarheid over het hoofd kunnen zien. Het paper beweert niet dat dit een opgelost probleem is of dat alle AI kapot is, maar het laat wel zien dat er een zeer sluwe, moeilijk te detecteren backdoor bestaat. Het is een waarschuwing: als je deze snelle, efficiënte AI-breinen wilt beschermen, moet je niet alleen naar het plaatje kijken; je moet ook naar het ritme luisteren.

Technische Samenvatting: Temporele Vergiftiging in Spiking Neural Networks

Probleemstelling

Spiking Neural Networks (SNNs) zijn naar voren gekomen als energiezuinige alternatieven voor Deep Neural Networks (DNNs), met name voor het verwerken van neuromorfische data die wordt opgevangen door Dynamic Vision Sensors (DVS). In tegen tegenstelling tot DNNs verwerken SNNs informatie als asynchrone sequenties van spikes over de tijd, waarbij de precieze timing van gebeurtenissen cruciale informatie draagt die verder gaat dan eenvoudige geaggregeerde aantallen.

Hoewel backdoor-aanvallen op DNNs goed bestudeerd zijn, heeft bestaand onderzoek naar SNN-backdoors zich primair gericht op dirty-label poisoning. Bij deze aanvallen worden vergiftigde samples herlabeld naar een doelklasse, wat een duidelijke inconsistentie creëert tussen de inhoud van het sample en het label, wat detecteerbaar is via menselijke inspectie of eenvoudige herlabeling.

Dit artikel adresseert de kloof in clean-label backdoor-aanvallen voor SNNs. De kernuitdaging is het injecteren van een backdoor in SNNs zonder de labels van vergiftigde samples te wijzigen en zonder de ruimtelijke distributie van gebeurtenissen (het "rate frame") te veranderen, wat anders de aanval zou onthullen aan standaard ruimtelijke defensies. De auteurs hypothetiseren dat de unieke temporele aard van neuromorfische data een nieuw aanvalsoppervlak biedt: een trigger kan worden gecodeerd in de timing van gebeurtenissen in plaats van hun locatie, waardoor de geaggregeerde ruimtelijke representatie behouden blijft terwijl de temporele dynamiek verwerkt door het spiking-model wordt gewijzigd.

Methodologie

Aanvalsformulering

De voorgestelde aanval, Temporele Vergiftiging, opereert in het digitale domein door de timestamps van gebeurtenissen binnen trainingsstromen die behoren tot een specifieke doelklasse te manipuleren.

Clean-Label Constraint: De aanvaller selecteert een doelklasse $y_t$ en wijzigt een fractie $\rho$ van de trainingssamples van deze klasse. Cruciaal is dat de labels ongewijzigd blijven ( $y_t$ ) en dat het totale aantal gebeurtenissen per pixel en per polariteit exact behouden blijft.
Temporele Transformatie: De aanval past een vaste timestamp-remapping functie $\phi$ $ϕ$ toe op de event stream. Drie specifieke transformatiefamilies worden geëvalueerd:
1. Concentrate: Comprimeert alle gebeurtenissen in een smal temporeel venster (een burst).
2. Front-load: Verplaatst gebeurtenissen naar het begin van de opname met behulp van een power map.
3. Shift: Past een constante temporele offset toe met wraparound.
Mechanisme: Omdat SNNs (specifiek Leaky Integrate-and-Fire neuronen) de staat behouden over tijdstappen via membraanpotentiaal-lekken ( $H[\tau] = \beta V[\tau-1] + X[\tau]$ ), beïnvloedt de volgorde waarin gebeurtenissen arriveren de interne vuurtrajecten. Twee stromen met identieke rate frames (totale aantallen) maar verschillende temporele distributies kunnen het netwerk naar fundamenteel verschillende interne staten drijven. De aanval exploiteert dit door het model te leren de specifieke temporele herverdeling te associëren met de doelklasse.

Evaluatieopstelling

De auteurs evalueerden de aanval op drie neuromorfische datasets: N-MNIST, DVS-Gesture, en CIFAR10-DVS. Twee victim-architecturen werden getest:

Een convolutioneel SNN (conv-SNN).
Een transformer-gebaseerd SNN (SpikformerLite).

De evaluatie mat de Attack Success Rate (ASR) (het vermogen om de doelklasse te triggeren op niet-doel inputs) en de Clean Accuracy (CA) (prestaties op niet-getriggorde inputs).

Belangrijkste Bijdragen

Eerste Clean-Label Temporele Backdoor voor SNNs: Het artikel introduceert de eerste clean-label poisoning aanval voor SNNs die de exacte per-pixel, per-polariteit event count behoudt. Dit zorgt ervoor dat het "rate frame" (de tijd-gecomprimeerde representatie) van vergiftigde samples wiskundig identiek is aan die van zuivere samples, waardoor ruimtelijke inspectie ineffectief wordt.
Uitgebreide Empirische Analyse: De studie karakteriseert de effectiviteit van de aanval over drie datasets en twee architecturen, waarbij de impact van het poison budget, de trigger-vorm (concentrate, front-load, shift) en plaatsing wordt geanalyseerd.
Evaluatie van Defensies en Limitaties: De auteurs evalueren gevestigde backdoor-defensies (STRIP, Activation Clustering, Spectral Signatures, Neural Cleanse, Pruning) die zijn aangepast voor SNNs. Ze demonstreren dat defensies die de tijdas inklappen vóór inspectie "blind door constructie" zijn voor deze aanval.
Model-Vrije Temporele Detector: Een nieuwe detector gebaseerd op per-stap event mass wordt voorgesteld. Deze detecteert de aanval door de distributie van gebeurtenissen over de tijd te analyseren, wat bewijst dat tijd-bewuste analyse de vergiftiging kan blootleggen waar rate-gecomprimeerde methoden falen.

Resultaten

Effectiviteit van de Aanval

Hoge Succespercentages: De Concentrate trigger bereikte een ASR van 1.00 op N-MNIST (beide architecturen) en de SpikformerLite op DVS-Gesture. De Front-load trigger bereikte een ASR van 1.00 op beide CIFAR10-DVS victims.
Laag Poison Budget: Op N-MNIST bereikte de aanval een ASR van 1.00 met een poison rate van slechts $\rho=0.01$ (59 samples).
Stealth: De aanval is perfect stealthy met betrekking tot rate frames: de SSIM tussen zuivere en getriggde rate frames is 1.00, en de $L_0$ / $L_\infty$ afstanden zijn 0.
Clean Accuracy: In veel configuraties (bijv. N-MNIST, DVS-Gesture conv-SNN) behielden de vergiftigde modellen een clean accuracy binnen 1-2 procentpunten van de baseline, hoewel grotere dalingen werden waargenomen op CIFAR10-DVS.

Prestaties van Defensies

Rate-Collapsed Defensies: Defensies die het tijd-gemiddelde rate frame inspecteren (bijv. STRIP-rate, Neural Cleanse-spatial) waren volledig ineffectief (TPR $\approx$ 0.01), aangezien het trigger-signaal wiskundig afwezig is in de input die zij inspecteren.
Feature-Space Defensies: Methoden zoals Activation Clustering en Spectral Signatures toonden inconsistente resultaten; ze detecteerden de vergiftiging alleen in specifieke configuraties (bijv. Spectral Signatures detecteerde de aanval op N-MNIST conv-SNN maar faalde op anderen).
Temporele Detector: De voorgestelde model-vrije detector, die de per-stap event mass analyseert, behaalde een True Positive Rate (TPR) van 1.00 voor Concentrate en Front-load triggers over alle zes de victim-configuraties, en 0.93–0.94 voor Shift triggers.

Betekenis en Claims

Het artikel claimt de eerste evaluatie van clean-label backdoor-aanvallen op SNNs en neuromorfische event data te zijn. De primaire betekenis ligt in het aantonen dat:

Temporele Dynamiek een Kwetsbaarheid is: De precieze timing van gebeurtenissen, wat de kerninformatiedrager is in SNNs, kan worden gemanipuleerd om backdoors te installeren zonder de ruimtelijke statistieken of labels te wijzigen.
Beperkingen van Huidige Defensies: Standaard backdoor-defensies die zijn aangepast uit het beelddomein zijn onvoldoende voor neuromorfische data als ze de tijdas inklappen. De "stealth" van de aanval is niet absoluut maar relatief aan de geïnspecteerde representatie; het is onzichtbaar voor rate-gebaseerde controles maar zichtbaar voor temporele analyse.
Noodzaak voor Tijd-Bewuste Beveiliging: De resultaten benadrukken een kritieke kloof in de SNN-beveiliging, wat suggereert dat toekomstige defensies specifiek ontworpen moeten worden voor de temporele structuur van neuromorfische data in plaats van aangepast te worden van frame-gebaseerde settings.

De auteurs blijven bescheiden over de universaliteit van de aanval, waarbij zij opmerken dat de effectiviteit varieert per dataset en architectuur, en dat de stealth van de aanval specifiek is voor rate-gecomprimeerde representaties. Zij beweren niet dat de aanval onvermijdelijk is, maar wel dat huidige standaard defensies blind zijn voor deze specifieke vector.