Resumo Técnico: BadSNN – Ataques de Backdoor em Redes Neurais de Spikes via Neurônio de Spike Adversarial

Declaração do Problema

Redes Neurais de Spikes (SNNs) emergiram como alternativas energeticamente eficientes e biologicamente plausíveis às Redes Neurais Profundas (DNNs), particularmente para dispositivos de borda e aplicações críticas para a segurança, como direção autônoma e vigilância médica. Embora as DNNs sejam conhecidas por serem vulneráveis a ataques de backdoor — onde um adversário envenena os dados de treinamento para forçar classificações específicas após a injeção de um gatilho —, as vulnerabilidades das SNNs permanecem pouco exploradas.

Os ataques de backdoor existentes em SNNs (por exemplo, Sneaky Spikes, Flashy Backdoor) dependem principalmente da manipulação de dados neuromórficos (fluxos temporais baseados em eventos) ou da injeção de gatilhos físicos (piscadas de luz) que se misturam à dinâmica natural da cena. Essas abordagens focam na manipulação de dados em vez de explorar as propriedades arquitetônicas intrínsecas das SNNs. Especificamente, o comportamento único dos neurônios de spikes, governado por hiperparâmetros como o potencial de membrana ($V_{thr}$) e a constante de tempo de membrana ($\tau$), não foi investigado como um vetor para a incorporação de backdoors. A questão central de pesquisa abordada é: Um atacante pode explorar a sensibilidade dos neurônios de spikes a variações de hiperparâmetros para incorporar um backdoor sem modificar os dados de entrada?

Metodologia: BadSNN

Os autores propõem o BadSNN, um ataque de backdoor inovador que incorpora comportamento malicioso ajustando os hiperparâmetros dos neurônios de spikes durante o treinamento, em vez de envenenar o conjunto de dados de entrada com gatilhos. O ataque consiste em três fases principais:

1. Treinamento de Backdoor via Envenenamento Malicioso de Spikes

Diferentemente de ataques convencionais que utilizam amostras mal rotuladas com gatilhos, o BadSNN emprega uma estratégia de aprendizado de duplo spike:

• Manipulação de Hiperparâmetros: O adversário manipula os hiperparâmetros do neurônio de spikes ($V_{thr}$ e $\tau$) durante o treinamento. Duas configurações são utilizadas:
  • Nominal ($S_n$): Hiperparâmetros padrão para aprendizado com dados limpos.
  • Malicioso ($S_t$): Hiperparâmetros alterados que fazem com que o modelo trate transformações específicas de entrada como dados fora da distribuição (OD).
• Objetivo de Treinamento: Um subconjunto dos dados da classe-alvo é treinado com ambos $S_n$ e $S_t$. O modelo aprende a associar os "padrões de spikes maliciosos" (gerados por $S_t$) ao rótulo-alvo, mantendo a utilidade limpa nos dados nominais.
• Insight Chave: O ataque baseia-se na observação de que variar $V_{thr}$ pode deslocar a contagem de spikes ($N_{spike}$) das entradas. Se o modelo for enviesado para classificar entradas com contagens de spikes elevadas como o rótulo-alvo, um backdoor é estabelecido sem alterar os pixels brutos de treinamento.

2. Otimização do Gatilho

Para ativar o backdoor durante a inferência, o adversário deve gerar entradas que disparam o comportamento de "spike malicioso".

• Gatilho Inicial: Uma transformação de potência não linear ($x^q$) é usada para aumentar as contagens de spikes, mas isso frequentemente degrada a informação semântica e é perceptível.
• Otimização: Um modelo substituto de gatilho (baseado em U-Net) é treinado para gerar perturbações minimamente perceptíveis ($\Delta x$).
• Função de Perda: O modelo substituto é otimizado usando uma combinação de:
  • Semelhança de Cosseno ($L_{sim}$): Para alinhar as características estruturais da perturbação com a transformação-alvo.
  • Perda Adversarial ($L_{adv}$): Para garantir que a imagem perturbada seja classificada erroneamente como o rótulo-alvo.
  • MSE Ponderado ($L_{wmse}$): Para corresponder à magnitude e distribuição espacial da perturbação.
• Extensão Neuromórfica: Para dados baseados em eventos (por exemplo, N-MNIST), uma função de gatilho introduz perturbações aleatórias variáveis no tempo nos quadros de spikes para elevar a atividade total de spikes.

3. Estratégia de Inferência

Durante a inferência, a vítima utiliza a SNN com backdoor. O adversário deve selecionar uma configuração de hiperparâmetro de ataque ($V^a_{thr}, \tau^a$) que esteja entre as configurações nominal e maliciosa. Esse equilíbrio garante:

• Entradas limpas são classificadas corretamente (alta Precisão Limpa).
• Entradas acionadas (com perturbações otimizadas) geram padrões de spikes que o modelo associa ao rótulo-alvo (alta Taxa de Sucesso do Ataque).

Contribuições Principais

1. Descoberta de Vulnerabilidade: O artigo demonstra que variações nos hiperparâmetros dos neurônios de spikes ($V_{thr}$ e $\tau$) criam uma superfície de ataque explorável, permitindo que o modelo trate dados dentro da distribuição como dados fora da distribuição com base nas contagens de spikes.
2. Vetor de Ataque Inovador (BadSNN): Um ataque de backdoor que elimina a necessidade de manipulação de dados de entrada (envenenamento) ou injeção de gatilhos durante o treinamento. O backdoor é incorporado inteiramente através do mecanismo intrínseco de geração de spikes do modelo.
3. Otimização de Gatilho: Um processo para gerar perturbações imperceptíveis que ativam o backdoor, aproveitando um modelo substituto U-Net treinado com uma função de perda multiobjetivo.
4. Avaliação Abrangente: Experimentos extensivos em quatro conjuntos de dados (CIFAR-10, GTSRB, CIFAR-100, N-MNIST) e três arquiteturas (Spiking ResNet-19, Spiking VGG-16, N-MNIST Net).

Resultados Experimentais

Os autores avaliaram o BadSNN contra bases de comparação de última geração (BadNet, Blend, WaNet) e cinco mecanismos de defesa (Fine-Tuning, CLP, ANP, TSBD, NAD).

• Eficácia do Ataque:

  • O BadSNN alcança altas Taxas de Sucesso do Ataque (ASR) mantendo uma Precisão Limpa (CA) aceitável. Por exemplo, no CIFAR-10, alcançou uma ASR de 82,65% com uma CA de 87,22% (comparado a uma base limpa de 91,34%).
  • Em dados neuromórficos (N-MNIST), o ataque é particularmente potente, alcançando 100% de ASR com degradação mínima da CA.
  • A relação entre a proporção de envenenamento e o sucesso do ataque é não linear; proporções ímpares (1%, 3%, 5%) renderam melhor desempenho do que as pares.

• Robustez Contra Defesas:

  • Defesas Baseadas em Poda (CLP, ANP): O BadSNN provou ser altamente robusto. Embora a ANP tenha reduzido a ASR para ataques de base, ela falhou contra o BadSNN (a ASR permaneceu >70% no CIFAR-10). Os autores atribuem isso ao "emaranhamento" de neurônios de backdoor e limpos via aprendizado de duplo spike, tornando impossível podar neurônios de backdoor sem destruir a utilidade limpa.
  • Defesas de Fine-Tuning (TSBD, NAD): O BadSNN manteve alta ASR (por exemplo, 84,55% no CIFAR-10 após fine-tuning) onde ataques de base foram mitigados. A falta de padrões de gatilho localizados no BadSNN impede que defesas baseadas em atenção (como NAD) identifiquem e suprimam o backdoor.

• Sensibilidade a Hiperparâmetros: O estudo constatou que definir o limiar de treinamento malicioso ($V^t_{thr}$) suficientemente mais alto que o limiar nominal ($V^n_{thr}$) (por exemplo, 1,5 vs 1,0) cria uma distribuição de spikes bem separada, facilitando um melhor compromisso entre CA e ASR.

Significado e Alegações

O artigo alega que o BadSNN representa uma mudança fundamental nas ameaças de segurança das SNNs. Seu significado reside em duas vantagens principais sobre o envenenamento de dados convencional:

1. Sigilo: Ao evitar a manipulação de dados de entrada e a injeção de gatilhos durante o treinamento, o ataque é mais difícil de detectar por meio de inspeção padrão de dados ou técnicas de inversão de gatilho.
2. Resiliência: A dependência do ataque de hiperparâmetros intrínsecos do modelo e do aprendizado de duplo spike torna-o significativamente mais robusto contra técnicas de mitigação de última geração, particularmente poda e fine-tuning, que dependem do isolamento de características ou neurônios específicos do gatilho.

Os autores concluem que as características únicas dos neurônios de spikes, especificamente sua sensibilidade a hiperparâmetros, constituem uma vulnerabilidade crítica e negligenciada. Este trabalho motiva o desenvolvimento de novas estratégias de defesa especificamente adaptadas às nuances arquitetônicas das SNNs, em vez de simplesmente adaptar defesas de DNNs.