Anti-Backdoor Coreset Selection via Cumulative Entropy

Resumo Técnico: Seleção de Coreset Anti-Backdoor via Entropia Cumulativa

Definição do Problema
Redes neurais profundas requerem grandes conjuntos de dados de treinamento, mas a verificação manual desses conjuntos é inviável, deixando os modelos vulneráveis a ataques de envenenamento de dados. Especificamente, backdoors neurais estabelecem atalhos de padrões de gatilho para previsões alvo. Embora defesas recentes tentem mitigar essas ameaças dividindo conjuntos de dados envenenados em subconjuntos "benignos" e "envenenados" para treinar um modelo limpo, os métodos existentes frequentemente falham em equilibrar a acurácia natural com a remoção de backdoors. Muitas abordagens anteriores comprometem o desempenho natural, dependem de conjuntos de dados de referência limpos (o que invalida o propósito de uma defesa automatizada) ou falham contra ataques sofisticados específicos. Além disso, simplesmente dividir os conjuntos de dados corre o risco de reter amostras envenenadas se os critérios de seleção não forem robustos.

Metodologia: Seleção de Coreset Anti-Backdoor (ABCS)
Os autores reformulam a defesa de backdoor em tempo de treinamento como um problema de seleção de coreset. A intuição central é que os dados de treinamento codificam duas tarefas: a tarefa primária (benigna) e a tarefa secundária (backdoor). Amostras envenenadas tipicamente induzem uma convergência rápida e estável com baixa incerteza de predição, enquanto amostras benignas, de difícil aprendizado, exibem maior incerteza. Ao selecionar um coreset baseado em informatividade em vez de representatividade geométrica, o método prioriza naturalmente a tarefa primária.

A defesa proposta, ABCS, utiliza a Entropia Cumulativa (CENT) como critério de seleção e opera em três fases:

1. Fase de Warm-Up (Aquecimento): O modelo é treinado por $T_{wa}$ épocas no conjunto de dados totalmente envenenado para estabilizar a seleção inicial. Um limiar $\tau$ é calculado com base na entropia média das amostras previstas corretamente para determinar o tamanho do coreset alvo ($s$).
2. Fase de Seleção de Coreset ($T_{se}$ épocas):
   • Passo 1 (Aprendizado): O modelo treina por uma época no conjunto de dados totalmente envenenado para obter uma distribuição de entropia intermediária.
   • Passo 2 (Desaprendizado): Para aumentar a discrepância entre amostras benignas e envenenadas, o método "desaprende" amostras incertas. Ele identifica amostras com entropia superior à média das amostras previstas corretamente e aplica suavização de rótulos (label smoothing) combinada com regularização $L_2$ (ancoragem aos pesos anteriores do modelo). Este passo evita o colapso do modelo e amplia explicitamente a lacuna de incerteza, tornando as amostras benignas mais distintas das amostras envenenadas de baixa incerteza.
   • Passo 3 (Acumulação): A entropia de Shannon normalizada de cada amostra é acumulada ao longo das épocas. A pontuação de Entropia Cumulativa (CENT) para uma amostra $x_i$ é definida como a média das entropias normalizadas ao longo de $T_{se}$ épocas.
3. Treinamento Final: As $s$ melhores amostras com as maiores pontuações de CENT formam o coreset benigno $D_{bng}$. Um novo modelo é treinado do zero usando este coreset utilizando perda de entropia cruzada padrão.

Principais Contribuições

• Formulação Inovadora: O artigo introduz a "Seleção de Coreset Anti-Backdoor", enquadrando a defesa como um problema de recuperação de um subconjunto informativo da tarefa primária, em vez de apenas filtrar o veneno.
• Critério de Entropia Cumulativa: Os autores propõem o CENT, uma métrica que rastreia a dinâmica de aprendizado ao longo de múltiplas épocas. Diferente de medidas de incerteza de uma única época que sofrem com variância, o CENT captura a consistência temporal, identificando efetivamente amostras que permanecem incertas (benignas) versus aquelas que convergem rapidamente (envenenadas).
• Mecanismo de Desaprendizado: A integração de um passo específico de desaprendizado com suavização de rótulos e regularização aumenta a separabilidade entre amostras benignas e envenenadas, abordando as limitações de uma simples seleção baseada em entropia contra ataques furtivos.
• Eficiência: O método constrói um coreset significativamente menor que o conjunto de dados completo ($r_{se} \ll 1$), resultando em um tempo total de treinamento comparável ao treinamento ingênuo.

Resultados Experimentais
Os autores avaliaram o ABCS no CIFAR-10, GTSRB e Tiny-ImageNet contra oito ataques de backdoor distintos (incluindo BadNets, Blend, WaNet e A-Blend).

• Robustez: O ABCS mitigou consistentemente todos os backdoors investigados, alcançando uma Taxa de Sucesso de Ataque (ASR) próxima a 0% na maioria dos cenários, superando significativamente defesas de estado da arte como ABL, DBD, CBD, V&B e Harvey.
• Acurácia Natural: O método preservou a acurácia natural (ACC) comparável a modelos treinados em conjuntos de dados limpos, enquanto muitas defesas anteriores sofreram quedas significativas de acurácia.
• Taxa de Eficácia de Defesa (DER): O ABCS alcançou pontuações de DER acima de 95% no CIFAR-10 e 97% no Tiny-ImageNet, indicando um equilíbrio superior entre a remoção de backdoor e a retenção de acurácia.
• Adaptabilidade a Dados Limpos: Ao contrário de métodos anteriores que degradam em dados limpos, o ABCS manteve alto desempenho quando treinado em conjuntos de dados não envenenados, demonstrando adaptabilidade.
• Razão de Envenenamento: Os coresets selecionados continham uma razão de envenenamento negligível ($\rho_{bng} \approx 0$), excluindo efetivamente amostras maliciosas.

Significância e Alegações
O artigo afirma que o ABCS oferece uma defesa de tempo de treinamento excepcionalmente eficaz que constrói um coreset benigno para treinar um modelo livre de backdoors. Sua principal significância reside na capacidade de mitigar ataques de backdoor consistentemente com um impacto negligenciável no desempenho natural, um ponto de falha comum em trabalhos anteriores. Os autores enfatizam que o método não requer um conjunto de dados de referência limpo e incorre em custos computacionais semelhantes ao treinamento ingênuo, tornando-o prático para implantação no mundo real. Os autores observam que, embora o desempenho empírico seja forte, a abordagem atualmente carece de uma base teórica em relação à separação do espaço latente entre o coreset e as amostras envenenadas, sugerindo isso como uma área para trabalhos futuros.