Backdoor Mitigation in Object Detection via Adversarial Fine-Tuning

Resumo Técnico: Mitigação de Backdoor em Detecção de Objetos via Ajuste Fino Adversarial

Declaração do Problema
Ataques de backdoor em detecção de objetos representam uma ameaça significativa a sistemas de visão críticos para a segurança (por exemplo, condução autónoma, vigilância). Ao contrário da classificação de imagens, onde um modelo produz um único rótulo, os detectores de objetos geram um conjunto de caixas delimitadoras com pontuações de classe associadas. Essa complexidade estrutural expande a superfície de ataque e introduz objetivos de ataque heterogéneos. Trabalhos anteriores identificaram dois modelos de ameaça primários: Ataques de Má Classificação de Região (RMAs), onde objetos portadores de gatilho são mal classificados numa classe-alvo escolhida pelo atacante, e Ataques de Desaparecimento de Objetos (ODAs), onde as previsões para objetos atacados são suprimidas completamente.

As defesas existentes para detecção de objetos são limitadas. Métodos de deteção de gatilho em tempo de inferência são computacionalmente dispendiosos e frequentemente exigem procedimentos separados para diferentes tipos de ataque. Métodos de síntese de gatilho assumem conhecimento da classe da vítima, o que nem sempre é o caso. Estratégias de mitigação direta, como o ajuste fino de um modelo comprometido utilizando um pequeno conjunto de dados limpo, permanecem subdesenvolvidas para detecção. Adaptar o ajuste fino adversarial orientado à classificação para detecção é não trivial porque:

1. Objetivo de Ataque Desconhecido: O defensor frequentemente não sabe se o backdoor visa a má classificação (RMA) ou o desaparecimento (ODA).
2. Diluição do Gradiente: As perdas de detecção padrão agregam erros através de muitas previsões candidatas (incluindo o fundo). Ao ajustar finamente num exemplo adversarial, o sinal de gradiente relevante para o objeto-alvo específico é diluído por previsões não relacionadas, enfraquecendo o sinal de reparação.

Metodologia
Os autores propõem uma estrutura de ajuste fino adversarial consciente da detecção projetada para mitigar backdoors quando o defensor tem acesso apenas a um detector comprometido e a um conjunto de dados limpo limitado, sem conhecimento do objetivo de ataque específico. A abordagem consiste em dois componentes principais:

1. Geração de Exemplos Adversariais:
   A estrutura introduz duas estratégias para gerar gatilhos substitutos que se alinham com a estrutura de limiar de pontuação da detecção de objetos:

   • Maximização da Perda de Classificação (CLM): Uma adaptação da maximização adversarial padrão que foca em maximizar a perda de classificação ($L_{CLS}$) restrita às previsões correspondentes ao objeto-alvo. Isso serve como um substituto indireto para induzir má classificação ou supressão.
   • Minimização de Ramo Suave (SBM): Uma estratégia novel projetada para objetivos de ataque desconhecidos. SBM define dois ramos de otimização: um para RMA (encorajando que uma pontuação de classe não-alvo exceda o limiar de deteção $\tau$) e um para ODA (encorajando que todas as pontuações de primeiro plano caiam abaixo de $\tau$). Estes ramos são combinados através de um portão suave (softmax sobre perdas negativas) que prioriza dinamicamente o ramo mais próximo da satisfação. Isso permite a geração de perturbações eficazes contra qualquer tipo de ataque sem conhecimento prévio da ameaça específica. SBM inclui também uma penalidade de concentração baseada em entropia para garantir que ataques RMA resultem numa única classe incorreta dominante em vez de uma dispersão difusa de pontuações.

2. Ajuste Fino Consciente da Detecção:
   Para abordar a diluição do gradiente, os autores propõem uma perda de defesa de duplo objetivo aplicada especificamente ao conjunto de previsões correspondentes ao objeto-alvo ($J_{i^*}$), em vez de todo o conjunto de deteções. Esta perda complementa a perda de detecção padrão ($L_{OD}$) com dois termos:

   • Termo de Recuperação ($L_{REC}$): Encoraja que a pontuação da classe verdadeira exceda o limiar de deteção $\tau$, contrariando ODA e RMA.
   • Termo de Supressão ($L_{SUP}$): Penaliza pontuações altas de classes não-alvo, impedindo que o modelo restaure a pontuação da classe verdadeira enquanto simultaneamente atribui pontuações altas a classes concorrentes (o que levaria à má classificação).

   A estrutura introduz também a Seleção Ponderada Filtrada (FWS) para a seleção de objetos-alvo durante a geração adversarial. Em vez de seleção aleatória, FWS restringe os candidatos a objetos que são corretamente detetados em entradas limpas e pondera-os pela sua confiança, garantindo que o ciclo de otimização interno se concentre em alvos estáveis e informativos em vez de ambiguidades de deteção pré-existentes.

Contribuições Principais

• Geração Adversarial Consciente da Detecção: A introdução de SBM, que lida com objetivos de ataque desconhecidos (RMA vs. ODA) através de um objetivo com portão suave e regularizado por entropia, e CLM, uma adaptação específica de detecção da maximização de perda de classificação.
• Objetivo de Reparação Concentrado: Uma perda de defesa de duplo objetivo restrita a previsões correspondentes ao alvo, que previne a diluição do sinal de reparação por objetos de fundo ou não-alvo.
• Avaliação Abrangente: O método é avaliado em detectores baseados em CNN (YOLOv5, FCOS) e baseados em Transformer (DINO) nos conjuntos de dados Pascal VOC, MTSD e COCO contra ataques tanto RMA quanto ODA.

Resultados
Experiências demonstram que a abordagem proposta supera significativamente as linhas de base orientadas à classificação (Ajuste Fino, Fine-Pruning, FT-SAM) no compromisso entre Taxa de Sucesso do Ataque (ASR) e Taxa de Deteção Verdadeira (TDR):

• Redução de ASR: A configuração mais forte (SBM com FWS e a perda de defesa) reduziu a mediana da ASR em 83% no Pascal VOC e 94% no MTSD comparado à linha de base mais forte.
• Preservação de TDR: Ao reduzir a ASR, o método mantém uma Taxa de Deteção Verdadeira favorável, com ganhos de TDR de 0,52 (VOC) e 0,43 (MTSD) sobre as linhas de base, a um custo modesto para o desempenho limpo (Custo da Razão mAP $\le$ 0,10).
• Robustez à Escassez de Dados: O método permanece eficaz mesmo quando o orçamento de dados limpos é reduzido de 5% para 1,25%, superando linhas de base treinadas no orçamento total de 5% em muitos casos.
• Generalização: A abordagem generaliza através de diferentes arquiteturas de detector e tipos de gatilho, e mostra forte transferibilidade de conjuntos de dados sintéticos (MTSD) para gatilhos físicos do mundo real (PTSD).

Significado e Alegações
O artigo afirma abordar uma lacuna crítica na segurança da detecção de objetos ao fornecer uma estratégia de mitigação de propósito geral que não requer acesso aos dados de backdoor ou conhecimento do objetivo de ataque específico. Os autores enfatizam que a sua abordagem é motivada pelas incompatibilidades estruturais entre os cenários de classificação e detecção.

Os autores são modestos nas suas alegações, reconhecendo que:

• A recuperação completa de deteções corretas para objetos portadores de gatilho permanece desafiadora, com a TDR a reter uma "cauda inferior longa" em algumas configurações, consistente com limitações observadas em defesas baseadas em classificação.
• A análise teórica fornece uma justificação ao nível do mecanismo para as escolhas de design (por exemplo, alinhamento de gradiente, margens de pontuação) em vez de uma garantia de robustez global para todas as arquiteturas de detector.
• A estrutura atual é centrada no objeto e não aborda diretamente ataques de geração de objetos (onde gatilhos em regiões de fundo induzem deteções fantasma), identificando isso como uma direção para trabalho futuro.

O trabalho posiciona-se como um mecanismo de reparação prático para sistemas críticos para a segurança, oferecendo um compromisso robusto entre segurança (baixa ASR) e utilidade (alta TDR e mAP limpa) sob restrições realistas onde o defensor tem dados limpos limitados e nenhum conhecimento do gatilho ou objetivo de backdoor específico.