Resumo Técnico: Envenenamento Temporal em Redes Neurais de Impulsos (SNNs)

Declaração do Problema

As Redes Neurais de Impulsos (SNNs) surgiram como alternativas energeticamente eficientes às Redes Neurais Profundas (DNNs), particularmente para o processamento de dados neuromórficos capturados por Sensores de Visão Dinâmica (DVS). Diferente das DNNs, as SNNs processam informações como sequências assíncronas de impulsos ao longo do tempo, onde o tempo preciso dos eventos carrega informações críticas além de simples contagens agregadas.

Embora ataques de backdoor em DNNs sejam bem estudados, as pesquisas existentes sobre backdoors em SNNs concentraram-se primordialmente no envenenamento de rótulo sujo (dirty-label poisoning). Nesses ataques, amostras envenenadas são rotuladas com uma classe alvo, criando uma inconsistência óbvia entre o conteúdo da amostra e seu rótulo que pode ser detectada via inspeção humana ou relabeling simples.

Este artigo aborda a lacuna nos ataques de backdoor de rótulo limpo (clean-label backdoor attacks) para SNNs. O desafio central é injetar um backdoor em SNNs sem alterar os rótulos das amostras envenenadas e sem mudar a distribuição espacial dos eventos (o "frame de taxa"), o que de outra forma revelaria o ataque a defesas espaciais padrão. Os autores hipotetizam que a natureza temporal única dos dados neuromórficos fornece uma nova superfície de ataque: um gatilho pode ser codificado no tempo dos eventos em vez de sua localização, preservando a representação espacial agregada enquanto altera a dinâmica temporal processada pelo modelo de impulsos.

Metodologia

Formulação do Ataque

O ataque proposto, Envenenamento Temporal, opera no domínio digital manipulando os carimbos de data/hora (timestamps) dos eventos dentro de fluxos de treinamento pertencentes a uma classe alvo específica.

• Restrição de Rótulo Limpo: O atacante seleciona uma classe alvo $y_t$ e modifica uma fração $\rho$ das amostras de treinamento desta classe. Crucialmente, os rótulos permanecem inalterados ($y_t$), e o número total de eventos por pixel e por polaridade é preservado exatamente.
• Transformação Temporal: O ataque aplica uma função de remapeamento de timestamp fixa $\phi$ ao fluxo de eventos. Três famílias específicas de transformação são avaliadas:
  1. Concentrate (Concentrar): Comprime todos os eventos em uma janela temporal estreita (um surto/burst).
  2. Front-load (Carregar no Início): Move os eventos para o início da gravação usando um mapa de potência.
  3. Shift (Deslocar): Aplica um deslocamento temporal constante com wraparound.
• Mecanismo: Como as SNNs (especificamente neurônios Leaky Integrate-and-Fire) mantêm o estado ao longo do tempo via vazamento do potencial de membrana ($H[\tau] = \beta V[\tau-1] + X[\tau]$), a sequência em que os eventos chegam afeta as trajetórias internas de disparo. Dois fluxos com identicos frames de taxa (contagens totais) mas diferentes distribuições temporais podem conduzir a rede a estados internos vastamente diferentes. O ataque explora isso ao ensinar o modelo a associar a redistribuição temporal específica à classe alvo.

Configuração de Avaliação

Os autores avaliaram o ataque em três conjuntos de dados neuromórficos: N-MNIST, DVS-Gesture e CIFAR10-DVS. Duas arquiteturas vítimas foram testadas:

1. Uma SNN convolucional (conv-SNN).
2. Uma SNN baseada em transformer (SpikformerLite).

A avaliação mediu a Taxa de Sucesso do Ataque (ASR) (a capacidade de disparar a classe alvo em entradas não-alvo) e a Acurácia Limpa (CA) (desempenho em entradas não-gatilhadas).

Principais Contribuições

1. Primeiro Backdoor Temporal de Rótulo Limpo para SNNs: O artigo introduz o primeiro ataque de envenenamento de rótulo limpo para SNNs que preserva a contagem exata de eventos por pixel e por polaridade. Isso garante que o "frame de taxa" (a representação colapsada no tempo) das amostras envenenadas seja matematicamente idêntico ao das amostras limpas, tornando a inspeção espacial ineficaz.
2. Análise Empírica Abrangente: O estudo caracteriza a eficácia do ataque através de três datasets e duas arquiteturas, analisando o impacto do orçamento de veneno, da forma do gatilho (concentrate, front-load, shift) e do posicionamento.
3. Avaliação de Defesa e Limitações: Os autores avaliam defesas de backdoor estabelecidas (STRIP, Activation Clustering, Spectral Signatures, Neural Cleanse, Pruning) adaptadas para SNNs. Eles demonstram que defesas que colapsam o eixo do tempo antes da inspeção são "cegas por construção" a este ataque.
4. Detector Temporal Independente de Modelo: Um novo detector baseado na massa de eventos por passo é proposto. Ele detecta o ataque analisando a distribuição de eventos ao longo do tempo, provando que a análise consciente do tempo pode expor o veneno onde métodos baseados em taxa falham.

Resultados

Eficácia do Ataque

• Altas Taxas de Sucesso: O gatilho Concentrate alcançou um ASR de 1.00 no N-MNIST (ambas as arquiteturas) e no SpikformerLite no DVS-Gesture. O gatilho Front-load alcançou um ASR de 1.00 em ambas as vítimas do CIFAR10-DVS.
• Baixo Orçamento de Veneno: No N-MNIST, o ataque atingiu ASR 1.00 com uma taxa de veneno de apenas $\rho=0.01$ (59 amostras).
• Sigilo: O ataque é perfeitamente furtivo em relação aos frames de taxa: o SSIM entre os frames de taxa limpos e gatilhados é 1.00, e as distâncias $L_0$/$L_\infty$ são 0.
• Acurácia Limpa: Em muitas configurações (ex: N-MNIST, DVS-Gesture conv-SNN), os modelos envenenados mantiveram a acurácia limpa dentro de 1-2 pontos percentuais da linha de base, embora quedas maiores tenham sido observadas no CIFAR10-DVS.

Desempenho de Defesa

• Defesas de Colapso de Taxa: Defesas que inspecionam o frame de taxa média no tempo (ex: STRIP-rate, Neural Cleanse-spatial) foram completamente ineficazes (TPR $\approx$ 0.01), pois o sinal do gatilho está matematicamente ausente do input que elas inspecionam.
• Defesas de Espaço de Características: Métodos como Activation Clustering e Spectral Signatures mostraram resultados inconsistentes, detectando o veneno apenas em configurações específicas (ex: Spectral Signatures detectou o ataque no N-MNIST conv-SNN, mas falhou em outros).
• Detector Temporal: O detector proposto independente de modelo, que analisa a massa de eventos por passo, alcançou uma Taxa de Verdadeiros Positivos (TPR) de 1.00 para os gatilhos Concentrate e Front-load em todas as seis configurações de vítima, e 0.93–0.94 para gatilhos de Shift.

Significância e Alegações

O artigo alega ser a primeira avaliação de ataques de backdoor de rótulo limpo em SNNs e dados de eventos neuromórficos. Sua principal significância reside em demonstrar que:

1. A Dinâmica Temporal é uma Vulnerabilidade: O tempo preciso dos eventos, que é o transportador central de informação em SNNs, pode ser manipulado para instalar backdoors sem alterar as estatísticas espaciais ou os rótulos.
2. Limitações das Defesas Atuais: Defesas de backdoor padrão adaptadas do domínio de imagem são insuficientes para dados neuromórficos se colapsarem o eixo temporal. O "sigilo" do ataque não é absoluto, mas relativo à representação sendo inspecionada; ele é invisível para verificações baseadas em taxa, mas visível para análise temporal.
3. Necessidade de Segurança Consciente do Tempo: Os resultados destacam uma lacuna crítica na segurança de SNNs, sugerindo que as defesas futuras devem ser projetadas especificamente para a estrutura temporal de dados neuromórficos, em vez de serem apenas adaptadas de ambientes baseados em frames.

Os autores mantêm-se modestos quanto à universalidade do ataque, observando que a eficácia varia conforme o dataset e a arquitetura, e que o sigilo do ataque é específico para representações de colapso de taxa. Eles não alegam que o ataque é impossível de prevenir, mas sim que as defesas padrão atuais são cegas para este vetor específico.