Rethinking Backdoor Adversarial Unlearning through the Lens of Catastrophic Forgetting in Continual Learning

Resumo Técnico: Repensando o Desaprendizado Adversário de Backdoor através da Lente do Esquecimento Catastrófico no Aprendizado Contínuo

Definição do Problema
As atuais estratégias de defesa contra backdoors, particularmente os métodos de ajuste de segurança (safety tuning), oferecem frequentemente apenas uma proteção superficial. Embora possam reduzir a Taxa de Sucesso de Ataque (ASR) inicialmente, elas frequentemente falham em eliminar completamente as características de backdoor incorporadas. Evidências recentes indicam que modelos "purificados" retêm conhecimento residual de backdoor, que pode ser rapidamente reativado por adversários através de ajuste fino (fine-tuning) (Ataque de Retuning) ou perturbações baseadas em consultas (Ataque de Reativação Baseado em Consulta). As defesas existentes lutam para equilibrar a remoção das características de backdoor com a preservação do desempenho da tarefa limpa, especialmente contra ataques caracterizados por baixa ortogonalidade ou baixa linearidade, onde as características limpas e de backdoor estão emaranhadas.

Metodologia
Os autores propõem um novo framework que reinterpreta o aprendizado e o desaprendizado de backdoor como um processo de aprendizado contínuo sequencial de três estágios: uma tarefa limpa ($\tau_c$), uma tarefa de backdoor ($\tau_b$) e uma tarefa de desaprendizado de backdoor ($\tau_u$).

1. Fundamentação Teórica via Esquecimento Catastrófico:

   • O artigo define o Desaprendizado Completo de Backdoor como um estado onde a tarefa de desaprendizado $\tau_u$ elimina completamente o efeito de backdoor (fazendo com que a saída do modelo purificado nos dados envenenados corresponda à saída do modelo limpo) enquanto preserva o desempenho na tarefa limpa.
   • Aproveitando o framework do Neural Tangent Kernel (NTK), os autores derivam uma condição necessária para alcançar isso: a tarefa de desaprendizado deve ser antagônica e paralela à tarefa de backdoor (para maximizar o esquecimento das características de backdoor) enquanto permanece ortogonal à tarefa limpa (para evitar o esquecimento catastrófico do conhecimento limpo).
   • Isso leva a um princípio de design para exemplos adversários: eles devem alinhar-se com as características de backdoor para acionar o modelo de backdoor, mas preservar o conteúdo semântico da amostra original para satisfazer o modelo limpo.

2. Desaprendizado Adversário de Backdoor por Inversão Cega (BI-BAU):

   • Como o defensor não possui acesso ao conjunto de dados envenenado original ou ao gatilho exato do backdoor, o problema é formulado como um problema de Inversão Cega. O objetivo é recuperar exemplos adversários (a "fonte") que satisfaçam restrições específicas, dados apenas as saídas do modelo (as "medições").
   • Os autores resolvem isso usando um framework de algoritmo de Expectativa-Maximização (EM) para otimizar um objetivo de Máxima Posteriori (MAP):
     • E-Step (Maximização Interna): Gera exemplos adversários ($\tilde{x}$) que satisfazem duas condições: (1) eles acionam o modelo de backdoor para prever o rótulo alvo, e (2) preservam a semântica limpa da amostra original. Isso é alcançado através de uma perda composta envolvendo entropia cruzada, destilação de conhecimento (para manter a consistência semântica) e uma perda de prior que alinha a perturbação de característica com a direção do gradiente de backdoor, mantendo a ortogonalidade à direção da característica limpa.
     • M-Step (Minimização Externa): Atualiza os parâmetros do modelo usando os exemplos adversários gerados. Este passo incorpora um termo de Elastic Weight Consolidation (EWC) inverso para incentivar atualizações de parâmetros ao longo do gradiente de backdoor (promovendo o esquecimento) e um termo EWC padrão para preservar o desempenho da tarefa limpa.

3. Extensões:

   • O método é estendido para cenários não direcionados (untargeted) onde a classe alvo é desconhecida.
   • Também é adaptado para aprendizado contrastivo multimodal (ex: modelos CLIP), ampliando sua aplicabilidade para modelos de fundação pré-treinados.

Principais Contribuições

• Framework Teórico: O artigo é o primeiro a investigar sistematicamente o desaprendizado de backdoor através da lente do aprendizado contínuo e do esquecimento catastrófico. Fornece uma definição formal de desaprendizado completo de backdoor e deriva as condições necessárias (alinhamento de tarefa e ortogonalidade) para alcançá-lo.
• Algoritmo BI-BAU: Os autores propõem o BI-BAU, um método de desaprendizado robusto que formula o problema como uma tarefa de inversão cega resolvida via otimização bi-nível dentro de um framework EM. Ele lida efetivamente com cenários de classes alvo desconhecidas e configurações multimodais.
• Avaliação Abrangente: Experimentos extensos demonstram que o BI-BAU alcança a remoção quase completa dos efeitos de backdoor em um amplo espectro de ataques, incluindo ataques desafiadores de baixa ortogonalidade e baixa linearidade (ex: Refool, SIG, Narcissus), onde os métodos de base de última geração falham.

Resultos Experimentais

• Robustez Contra Diversos Ataques: No CIFAR-10 e outros benchmarks, o BI-AU alcança consistentemente uma ASR baixa (frequentemente < 5%) enquanto mantém uma Alta Acurácia Limpa (CA), superando a síntese de gatilhos (ex: BTI-DBF), reconstrução de modelo (ex: ANP, CLP) e outros métodos de desaprendizado adversário (ex: SAU, I-BAU).
• Resiliência Pós-Purificação: Crucialmente, o BI-BAU demonstra forte resistência a ataques de reativação. Quando submetido a Ataques de Retuning (RA) e Ataques de Reativação Baseados em Consulta (QRA), a ASR dos modelos purificados pelo BI-BAU permanece baixa (R-ASR média ~12,48%, Q-ASR ~5,75%), aproximando-se do desempenho de um cenário idealizado onde o defensor tem acesso aos dados envenenados reais. Em contraste, outros métodos mostram surtos significativos de ASR (frequentemente >60-80%) sob reativação.
• Desempenho de Baixa Ortogonalidade: O método defende efetivamente contra ataques onde as características limpas e de backdoor estão altamente emaranhadas, uma fraqueza conhecida das defesas existentes.
• Verificação em Nível Neural: Usando o Coeficiente de Existência de Backdoor (BEC), os autores verificam que o BI-BAU reduz as assinaturas neurais internas de backdoors, confirmando que o desaprendizado não é meramente superficial.

Significância e Alegações
O artigo afirma que, ao mudar a perspectiva do manipulação direta de parâmetros para a dinâmica do esquecimento catastrófico no aprendizado contínuo, é possível estabelecer condições fundamentadas para eliminar verdadeiramente backdoors. Os autores asseguram que o BI-BAU aborda a lacuna crítica nas atuais estratégias de ajuste de segurança, que frequentemente deixam vulnerabilidades residuais. Ao formalizar o processo de desaprendizado como um problema de inversão cega e resolvê-lo via otimização bi-nível baseada em EM, o método oferece uma solução robusta e generalizável que mantém a utilidade do modelo enquanto remove minuciosamente comportamentos maliciosos, mesmo em cenários de implantação complexos e reais envolvendo modelos pré-treinados e configurações de ataque desconhecidas.