Detecting Trojaned DNNs via Spectral Regression Analysis

Resumo Técnico: Detecção de DNNs Trojanizadas via Análise de Regressão Espectral

Declaração do Problema
As Redes Neurais Profundas (DNNs) estão cada vez mais implantadas como artefatos de software em evolução que passam por ajuste fino contínuo para incorporar novos dados e adaptar-se a ambientes em mudança. Esse fluxo de trabalho evolutivo introduz um risco de segurança significativo: se os dados de atualização não puderem ser totalmente confiáveis, adversários podem injetar amostras envenenadas para implantar Trojans (backdoors) durante o processo de ajuste fino. Um modelo Trojanizado mantém alta precisão em entradas limpas, mas exibe comportamento escolhido pelo atacante quando um gatilho específico, muitas vezes imperceptível, está presente.

Mecanismos de defesa existentes enfrentam limitações críticas. Abordagens que assumem controle sobre o processo de treinamento (por exemplo, sanitização de dados) são inaplicáveis em cenários de cadeia de suprimentos onde o defensor recebe apenas um modelo pré-treinado ou atualizado. Defesas no momento da inferência frequentemente dependem da reconstrução de padrões de gatilho, uma suposição que falha contra gatilhos sofisticados, dependentes de entrada ou no espaço de características. Além disso, muitos métodos de detecção offline tentam reverter engenharia de gatilhos sem conhecimento da forma, localização ou visibilidade do gatilho, tornando-os frágeis contra diversas estratégias de ataque.

Metodologia: MIST
Os autores propõem o MIST (Rastreamento Espectral Incremental de Modelos), uma abordagem de detecção de Trojans que desloca o foco da reconstrução de gatilhos no nível de entrada para a análise de representações internas do modelo durante a evolução. O MIST trata atualizações de modelo como eventos de regressão, avaliando se as mudanças internas induzidas pelo ajuste fino são consistentes com evolução benigna ou indicativas de modificação maliciosa.

O núcleo do MIST baseia-se em Análise Espectral de pré-ativações. Em vez de analisar ativações de neurônios individuais (que são instáveis entre execuções de treinamento), o MIST resume as pré-ativações por camada como distribuições de probabilidade (espectros). Esses espectros fornecem uma caracterização estável de representações aprendidas que é resiliente ao ruído de retreinamento, mas sensível a mudanças sistemáticas.

A metodologia opera em duas fases:

1. Rastreamento de Espectros Limpos: O sistema estabelece uma distribuição de referência de mudanças espectrais (Distribuição de Distâncias de Espectros Limpos, ou CSDD) simulando transições de ajuste fino benignas. Usando um conjunto de dados limpo e confiável, o sistema treina repetidamente um modelo base e o ajusta finamente, computando a distância $L_2$ entre os espectros de pré-ativação dos modelos base e ajustados finamente para cada classe. Isso constrói uma linha de base estatística de como atualizações benignas alteram o estado interno do modelo.
2. Detecção de Anomalias: Quando uma nova atualização de modelo ($M_{i+1}$) é produzida a partir de um checkpoint anterior ($M_i$) usando dados potencialmente não confiáveis, o MIST computa a distância espectral entre as duas versões usando um pequeno subconjunto limpo e confiável dos novos dados. Em seguida, calcula a distância de Mahalanobis ao quadrado dessa mudança observada contra a CSDD de referência. Se o desvio exceder um limiar derivado estatisticamente (baseado em uma distribuição $\chi^2$), a atualização é sinalizada como Trojanizada.

Crucialmente, o MIST não requer conhecimento do gatilho, dos dados envenenados ou da estratégia de ataque. Assume a disponibilidade de um checkpoint de referência limpo e um pequeno subconjunto limpo dos dados de atualização para observação, mas não para retreinamento.

Contribuições Principais

• Perspectiva Baseada em Regressão: O artigo reestrutura a detecção de Trojans como um problema de regressão sobre atualizações de modelo, caracterizando modificações maliciosas como desvios anômalos na evolução espectral, em vez de problemas de reconstrução de gatilhos.
• Técnica MIST: A proposta de uma técnica prática de detecção baseada em espectros de pré-ativação que valida atualizações ajustadas finamente contra uma referência limpa.
• Avaliação Abrangente: Um estudo empírico rigoroso em quatro conjuntos de dados (CIFAR-10, SVHN, GTSRB, CelebA) e oito ataques de Trojan distintos (incluindo BadNet, Blended, Input-Aware, Refool, SIG, SSBA, TrojanNN e WaNet), comparando o MIST com três detectores de última geração (Neural Cleanse, ABS, FeatuRE).

Resultados Experimentais

• Separabilidade Espectral (RQ1): As distâncias espectrais separam confiavelmente modelos Trojanizados de modelos ajustados finamente limpos, alcançando uma média de ROC-AUC de 0,95 em todas as combinações de ataque-conjunto de dados. Isso confirma que a inserção de Trojan induz mudanças espectrais internas distintas da evolução benigna.
• Eficácia de Detecção (RQ2): Em cenários de atualização de passo único, o MIST alcança uma precisão média de detecção de 0,95, superando significativamente as linhas de base de última geração (FeatuRE: 0,75, ABS: 0,73, Neural Cleanse: 0,64). O MIST demonstra um perfil de erro favorável com taxas de falsos positivos muito baixas, tornando-o adequado para validar atualizações de modelo sem rejeitar frequentemente os benignos.
• Robustez (RQ3): Sob evolução benigna de múltiplos passos, o MIST permanece eficaz com uma precisão média de 0,89. A degradação de desempenho é suave e limitada, manifestando-se principalmente como um aumento de falsos positivos (devido ao desvio benigno acumulado) em vez de detecções perdidas (falsos negativos).

Significado e Alegações
O artigo alega que a evolução espectral fornece um sinal estável e com poucas suposições para detectar atualizações maliciosas de modelo. Ao focar nas mudanças de estado interno em vez de padrões externos de gatilho, o MIST oferece uma defesa robusta contra uma ampla variedade de ataques de Trojan, incluindo aqueles com gatilhos complexos ou invisíveis. Os autores enfatizam que essa abordagem é particularmente adequada para ambientes de implantação onde os modelos são atualizados continuamente e devem ser validados antes do redesenho, desde que um checkpoint de referência limpo esteja disponível. Os resultados sugerem que a análise espectral captura uma assinatura fundamental de modificação maliciosa que persiste mesmo à medida que os modelos evoluem, oferecendo uma alternativa confiável às defesas baseadas em reconstrução de gatilhos.