Resumo Técnico: HARVEY – Aprendendo o Backdoor para Remover o Backdoor

Definição do Problema

O artigo aborda o desafio dos backdoors neurais introduzidos via envenenamento de dados (data poisoning). Neste modelo de ameaça, um adversário injeta uma pequena fração de amostras envenenadas em um conjunto de dados de treinamento sem ter acesso ao processo de treinamento. Essas amostras contêm um padrão de gatilho (trigger) específico que faz com que o modelo preveja um rótulo alvo predefinido quando o gatilho está presente, enquanto mantém alta precisão em entradas benignas.

As defesas existentes frequentemente enfrentam dificuldades no cenário de tempo de treinamento (training-time setting), onde não há um conjunto de referência limpo disponível. Abordagens anteriores tipicamente tentam identificar e remover amostras benignas ou suprimir o backdoor usando limiares fixos ou o aprendizado iterativo de um modelo de referência benigno. No entanto, os autores observam que esses métodos enfrentam uma dificuldade fundamental: distinguir amostras benignas de amostras envenenadas é difícil porque as distribuições de perda de amostras benignas "difíceis de aprender" frequentemente se sobrepõem às de amostras envenenadas.

Metodologia: HARVEY

Os autores propõem o HARVEY, uma nova defesa de tempo de treinamento que inverte o paradigma padrão. Em vez de tentar aprender um modelo de referência para amostras benignas, o HARVEY aprende iterativamente um modelo de referência fortemente contaminado por backdoor para servir como um oráculo para amostras envenenadas. A ideia central é que aprender o backdoor (um padrão específico e fácil de aprender) é significativamente mais fácil do que aprender a tarefa natural geral, permitindo uma identificação mais precisa de dados envenenados.

O HARVEY opera em quatro estágios distintos:

1. Inicialização: Um modelo é treinado ingenuamente no conjunto de dados envenenado ($\tilde{D}$). Usando o componente de Entropia Cruzada Reversa (RCE) da perda de Entropia Cruzada Simétrica (SCE), o conjunto de dados é dividido em dois subconjuntos: um subconjunto inicial de amostras envenenadas ($D^{(0)}_{bad}$) contendo os 50% de amostras com a menor perda RCE, e um subconjunto benigno ($D^{(0)}_{bng}$).
2. Aprendendo o Backdoor: Um modelo de referência ($\theta_{ref}$) é treinado iterativamente ao longo de $n$ rodadas para se tornar cada vez mais especializado na funcionalidade do backdoor.
   • Aprendizado (Learning): O modelo é ajustado (fine-tuned) no subconjunto envenenado atual ($S^{(i)}$) usando uma perda modificada que incentiva o aprendizado do backdoor.
   • Desaprendizado (Unlearning): O modelo é treinado para desaprender as amostras benignas (do subconjunto benigno da iteração anterior) maximizando a perda de Entropia Cruzada (CE) para amostras benignas previstas corretamente.
   • Divisão (Splitting): O modelo de referência atualizado é usado para redividir todo o conjunto de dados com base na perda RCE. Como o modelo agora é altamente sensível ao backdoor, a perda RCE cria uma separação clara entre amostras envenenadas e benignas. Os 50% das amostras com a menor perda RCE formam o novo subconjunto envenenado para a próxima iteração.
3. Meta-Divisão (Meta-Splitting): Após $n$ rodadas, o modelo de referência final ($\theta^{(n)}_{ref}$) está tão enviesado para o backdoor que pode classificar erroneamente amostras benignas da classe alvo como envenenadas. Para resolver isso, os autores utilizam o primeiro modelo de referência ($\theta^{(1)}_{ref}$), que ainda retém uma noção de funcionalidade benigna, para realizar uma "meta-divisão" no subconjunto envenenado final. Isso isola as amostras benignas restantes (especificamente aquelas da classe alvo) que foram incorretamente agrupadas com o backdoor.
4. Treinamento Final: Os subconjuntos benignos isolados (do Estágio 2 e do Estágio 3) são combinados para formar um conjunto de dados limpo ($D_{bng}$). Um modelo final é treinado neste conjunto de dados usando aprendizado supervisionado padrão (perda CE) para produzir um modelo livre de backdoors.

Principais Contribuições

O artigo destaca três contribuições primárias:

• Divisão de Conjunto de Dados Baseada em RCE: Os autores analisam a perda de Entropia Cruzada Simétrica (SCE) e demonstram que seu componente de Entropia Cruzada Reversa (RCE) isolado é superior para separar amostras envenenadas de benignas. Diferente da perda SCE completa, a RCE fornece um intervalo de saída fixo e um limiar de separação claro, permitindo uma divisão de conjunto de dados estável e eficaz sem depender de razões fixas.
• Mudança de Paradigma nos Modelos de Referência: O trabalho introduz uma mudança de usar modelos de referência para identificar amostras benignas para usá-los para identificar amostras envenenadas. Ao aproveitar a observação de que amostras envenenadas são mais fáceis de aprender do que as benignas, o HARVEY constrói um "oráculo de backdoor" que alcança um recall maior na identificação de dados envenenados do que os métodos anteriores alcançam na identificação de dados benignos.
• Melhoria Decisiva na Defesa: O método é avaliado em múltiplos tipos de ataque, conjuntos de dados e arquiteturas. Ele consistentemente suprime backdoors para níveis próximos de zero enquanto mantém a precisão natural, superando defesas de estado da arte que frequentemente sofrem de degradação significativa de precisão ou falha contra ataques furtivos.

Resultados Experimentais

Os autores avaliaram o HARVEY no CIFAR-10, Tiny-ImageNet e GTSRB usando arquiteturas como ResNet18, WRN16-1 e ResNet34. Eles testaram contra seis tipos de ataque: BadNets, Trojan, Blend, Clean-Label (CLB), IAB e WaNet.

• Taxa de Sucesso do Ataque (ASR): O HARVEY reduziu o ASR para abaixo de 2% nos cenários de pior caso em todos os conjuntos de dados e ataques. Em muitos casos (ex: Tiny-ImageNet), o ASR foi reduzido para < 0,5%.
• Precisão Natural (ACC): Ao contrário de outras defesas (como ABL ou CBD) que frequentemente sacrificam a precisão natural para mitigar backdoors, o HARVEY manteve a precisão natural em paridade com a linha de base "Sem Defesa" (No Defense). Por exemplo, no CIFAR-10 com ResNet18, o HARVEY alcançou uma ACC média de 93,56% com um ASR de 0,85%, enquanto a linha de base "Sem Defesa" apresentou um ASR de 99,99%.
• Desempenho de Divisão (Splitting): Em termos de métricas de divisão de conjunto de dados (F1 score e proporção de envenenamento no conjunto benigno $\rho_{bng}$), o HARVEY superou significativamente o trabalho relacionado. No CIFAR-10 com WRN16-1, o HARVEY alcançou um F1 score de 79,82% com $\rho_{bng} \approx 0,04\%$, comparado ao melhor trabalho relacionado (DBD) que teve um F1 de 22,12% e $\rho_{bng} \approx 6,73\%$.
• Eficiência: Embora o HARVEY envolva treinamento iterativo, seu consumo total de tempo é comparável ao treinamento ingênuo e significativamente mais rápido que defesas como o DBD, que pode levar quase um dia no CIFAR-10.

Significância e Alegações

O artigo afirma que o HARVEY estabelece um novo padrão para defesas de backdoor em tempo de treinamento. Sua significância reside em:

1. Robustez: Ele mitiga com sucesso uma ampla variedade de ataques de backdoor, incluindo ataques furtivos como Blend e WaNet, onde outros métodos falham (ASR > 90%).
2. Não Requer Dados Limpos: Opera efetivamente sem qualquer conhecimento prévio do ataque ou acesso a um conjunto de dados de referência limpo.
3. Preservação de Desempenho: Alcança a remoção quase perfeita do backdoor sem comprometer a utilidade do modelo em tarefas naturais.
4. Mudança Conceitual: Ao enquadrar o problema como "aprender o backdoor para remover o backdoor", os autores demonstram que aproveitar a facilidade de aprendizado de amostras envenenadas é uma estratégia mais confiável do que tentar isolar amostras benignas difíceis.

Os autores concluem que sua abordagem previne efetivamente o aprendizado de backdoors ao remover as amostras envenenadas na raiz, garantindo que o modelo final seja tanto limpo quanto performante.