Lite-BD: A Lightweight Black-box Backdoor Defense via Reviving Multi-Stage Image Transformations

1. O Problema

Com o crescimento do MLaaS (Machine Learning as a Service), os usuários finais frequentemente dependem de modelos de terceiros sem acesso aos seus parâmetros internos (configuração black-box). Isso cria vulnerabilidades críticas para ataques de backdoor, onde um adversário envenena o conjunto de dados de treinamento para inserir um "gatilho" (trigger). Quando esse gatilho está presente na entrada, o modelo força uma classificação maliciosa, enquanto mantém um desempenho normal em amostras limpas.

As defesas existentes enfrentam limitações significativas:

• Dependência de acesso White-box: Muitos métodos exigem acesso aos pesos do modelo, o que não é viável no cenário MLaaS.
• Deficiências nas Defesas Black-box: Técnicas de purificação atuais (como as baseadas em modelos de difusão) sofrem de:
  • Falta de justificativa teórica para a escolha de transformações espaciais específicas.
  • Alta dependência de conjuntos de dados específicos (requerem treinamento task-specific).
  • Sobrecarga computacional extrema (inferência lenta).
  • Negligência de transformações no domínio da frequência, deixando gatilhos sutis intocados.

2. Metodologia: Lite-BD

O artigo propõe o Lite-BD, um framework de defesa black-box leve e em duas etapas, projetado para purificar amostras envenenadas sem acesso ao modelo. A abordagem é zero-shot (não requer treinamento no conjunto de dados alvo).

Estudo Preliminar

Os autores realizaram um estudo empírico avaliando diversas transformações de imagem (redimensionamento, desfoque, ruído, compressão JPEG, etc.) contra cinco ataques representativos. A conclusão foi que a sequência Downscaling-Upscaling (Redimensionamento para baixo seguido de Redimensionamento para cima) é a técnica mais eficaz para romper gatilhos espaciais, superando outras transformações.

Etapa 1: Redimensionamento Estocástico e Super-Resolução Neural

• Redimensionamento (Downscaling): A imagem envenenada é reduzida estocasticamente (fator de escala $s$). Isso desorganiza a coerência espacial de gatilhos baseados em pixels precisos.
• Super-Resolução (Upscaling): A imagem reduzida é restaurada para suas dimensões originais utilizando uma rede de super-resolução pré-treinada (como Real-ESRGAN ou SwinIR).
• Mecanismo de Defesa: Como os gatilhos de backdoor são geralmente Out-of-Distribution (OOD) para redes de super-resolução (que aprendem priors de imagens naturais), a rede reconstrói o conteúdo semântico da imagem, mas não recupera o gatilho malicioso. O resultado é uma imagem purificada com integridade semântica preservada.

Etapa 2: Filtragem de Frequência Band-by-Band

Se a Etapa 1 falhar em alterar a previsão do modelo (indicando que o gatilho persiste), a amostra passa para a segunda etapa:

• Análise de Frequência: Aplica-se a Transformada Discreta de Fourier (DFT) 2D à imagem.
• Filtragem Seletiva: O espectro de frequência é dividido em bandas concêntricas. Um filtro band-stop é aplicado sequencialmente a cada banda.
• Detecção e Purificação: Cada versão filtrada é consultada ao modelo alvo. Se a remoção de uma banda específica faz com que o modelo mude a previsão (de volta para a classe benigna), essa versão é selecionada.
• Refinamento: A imagem candidata é suavizada com filtragem bilateral ou unsharp masking para restaurar a nitidez das bordas.

3. Principais Contribuições

1. Avaliação Sistemática: Identificação de que o redimensionamento seguido de super-resolução é a configuração ótima para perturbar gatilhos espaciais, superando métodos baseados em difusão.
2. Framework Lite-BD: Proposta de uma defesa em duas etapas (Espacial + Frequência) que é leve, não depende de treinamento no conjunto de dados alvo e funciona em cenários black-box.
3. Eficiência e Robustez: Demonstração de que o método reduz drasticamente a Taxa de Sucesso do Ataque (ASR) com impacto mínimo na precisão de amostras limpas (CA), superando o estado da arte em velocidade de execução.

4. Resultados Experimentais

O Lite-BD foi testado contra 10 ataques de backdoor (incluindo BadNets, Blend, WaNet, SIG, LIRA, etc.) em 4 conjuntos de dados (CIFAR-10, Fashion-MNIST, GTSRB) e 5 arquiteturas de modelos (ResNet-18, VGG-11, MobileNet, DenseNet, ViT).

• Desempenho de Defesa:

  • No CIFAR-10, o Lite-BD (RE) alcançou a menor ASR média e a maior Precisão em Amostras Envenenadas (PA) em comparação com métodos black-box existentes (ShrinkPad, ZIP, SampDetox).
  • Para o ataque BadNets, enquanto métodos baseados em difusão (ZIP/SampDetox) falharam completamente (reconstruindo o gatilho), o Lite-BD reduziu a ASR para níveis próximos de zero.
  • O método demonstrou generalização robusta em diferentes arquiteturas (CNNs e Transformers).

• Eficiência Computacional:

  • O Lite-BD é extremamente mais rápido que as alternativas baseadas em difusão.
  • Em média, no CIFAR-10, o Lite-BD (RE) é 123,4 vezes mais rápido que o SampDetox e 34 vezes mais rápido que o ZIP.
  • Tempo de execução por amostra: ~0,05 segundos (Lite-BD) vs. ~6,17 segundos (SampDetox).

• Independência de Dados: Ao contrário de ZIP e SampDetox, que exigem treinamento de modelos de difusão específicos para o conjunto de dados de avaliação, o Lite-BD utiliza modelos pré-treinados em conjuntos de dados totalmente diferentes, mantendo a eficácia sem custo de treinamento adicional.

5. Significado e Conclusão

O Lite-BD representa um avanço significativo na segurança de IA, especialmente para o ecossistema MLaaS. Ao combinar transformações espaciais inteligentes (down-upscaling) com filtragem no domínio da frequência, o método oferece uma defesa leve, rápida e agnóstica ao modelo.

A principal contribuição prática é a viabilidade de implementar defesas robustas em tempo real sem a sobrecarga computacional proibitiva de modelos de difusão, preenchendo a lacuna entre a necessidade de segurança em ambientes black-box e a eficiência operacional necessária para aplicações do mundo real. O código está disponível publicamente, facilitando a adoção e replicação dos resultados.