Bewertung von Clean-Label Physical Backdoor-Angriffen in DNNs

Deep Neural Networks (DNNs) werden in vielen Bereichen eingesetzt, darunter Computer Vision, Spracherkennung und Empfehlungssysteme. Allerdings können diese Netzwerke durch etwas getäuscht werden, das als Backdoor-Angriff bezeichnet wird. Bei dieser Art von Angriff schafft der Angreifer eine Verbindung zwischen einem speziellen Trigger und einer bestimmten Klasse, sodass das Modell die Eingabe als Zielklasse fehlklassifiziert, wenn der Trigger vorhanden ist. Die meisten Studien zu Backdoor-Angriffen konzentrieren sich auf digitale Trigger, also Muster, die zu Bildern hinzugefügt werden, bevor sie verarbeitet werden. Aber es gibt ein wachsendes Interesse an physischen Triggern, also realen Objekten, die die Backdoor aktivieren können, ohne digitale Änderungen zu benötigen.

Obwohl physische Trigger Vorteile haben, wie dass sie natürlicher aussehen, bringen sie oft Herausforderungen mit sich. Die aktuellen physischen Angriffe beinhalten normalerweise, dass falsche Labels den vergifteten Daten zugewiesen werden, was sie leichter zu finden macht. Das Ziel dieser Forschung ist herauszufinden, ob saubere Label-Backdoor-Angriffe mit physischen Triggern möglich sind. Das bedeutet, dass die Angriffe vergiftete Eingaben verwenden, die ihre korrekten Labels behalten, was sie schwerer detektierbar macht.

#Ergebnisse

Die Forschung brachte zwei Hauptbefunde zutage. Erstens hängt der Erfolg dieser Angriffe von drei Faktoren ab: der Methode, die verwendet wird, um die Daten zu vergiften, dem physischen Trigger und den angezielten Klassen. Zweitens können, selbst wenn die vergifteten Proben ihre echten Labels behalten, die Bildqualität leiden, was auffällige Artefakte zeigt. Das macht sie anfällig für Erkennungsmethoden, die nach ungewöhnlichen Mustern in den Daten suchen.

Um diese Probleme anzugehen, schlagen wir vor, die übliche Regularisierungsart der Modelle durch eine neue Methode zu ersetzen, die sich auf Pixel und Merkmale konzentriert. Diese Verbesserung zielt darauf ab, die vergifteten Proben weniger auffällig zu machen, ohne die Effektivität des Angriffs zu verringern.

#Überblick über Backdoor-Angriffe

Backdoor-Angriffe beinhalten, dass ein Angreifer einen kleinen Teil der Trainingsdaten vergiftet, indem er einen Trigger hinzufügt, um eine Fehlklassifizierung zu verursachen. Der knifflige Teil ist, dass das Modell weiterhin gut mit regulären Eingaben arbeitet, was die Entdeckung der Backdoor erschwert. Zum Beispiel kann ein gelbes Quadrat auf einem Stoppschild dazu führen, dass ein Modell es falsch identifiziert.

Während digitale Trigger häufig verwendet werden, schauen Forscher jetzt auch nach physischen Objekten für diese Angriffe. Dieser Ansatz hat zwei Hauptvorteile: Sie sehen in realen Situationen natürlicher aus und benötigen keine digitalen Änderungen, wenn das Modell verwendet wird. Allerdings ändern die aktuellen physischen Backdoor-Angriffe oft die Labels der vergifteten Proben, was sie leichter erkennbar macht.

#Saubere Label-Physische Backdoor-Angriffe (CLPBA)

Diese Forschung führt eine neue Methode für saubere Label-physische Backdoor-Angriffe ein. Diese Angriffe behalten die echten Labels der vergifteten Eingaben bei, wodurch der Trigger verborgen bleibt und keine zusätzlichen Proben aus anderen Klassen benötigt werden. Zudem können diese Angriffe in Echtzeit-Situationen funktionieren, ohne digitale Anpassungen zu benötigen.

Derzeit gibt es keine öffentlichen Datensätze, um physische Backdoor-Angriffe zu untersuchen. Dieses Projekt hat einen Datensatz mit 21.238 Bildern zusammengestellt, der zehn Personen und sieben physischen Triggern zeigt. Dieser Datensatz wurde gemäss ethischen Richtlinien erstellt, um die Privatsphäre zu gewährleisten.

#Methodik

Der Prozess des sauberen Label-physischen Backdoor-Angriffs umfasst verschiedene Schritte. Der Angreifer greift auf Trainingsdaten und einige Proben mit dem physischen Trigger zu. Dann erstellen sie Modifikationen, die zu einigen Beispielen aus der Zielklasse hinzugefügt werden. Wenn das Modell getestet wird, klassifiziert es die Eingaben aus der Quellklasse mit dem Trigger als Zielklasse fehl.

Diese Studie ist eine der ersten, die umfassend untersucht, wie gut saubere Label-Backdoor-Angriffe in der Realität funktionieren. Die Forschung zeigt, dass die Effektivität dieser Angriffe von der Vergiftungsmethode, dem verwendeten physischen Trigger und den Klassen abhängt, die der Angreifer anvisiert.

#Datensammlung

Um diese Experimente durchzuführen, wurde ein Gesichtsdatenstatz erstellt. Dieser Datensatz enthält eine Mischung von Bildern, die unter verschiedenen Bedingungen aufgenommen wurden, einschliesslich verschiedener Beleuchtungen und Winkel. Der Datensatz besteht aus sauberen Bildern, Bildern mit Triggern und zusätzlichen Bildern zur Überprüfung unerwünschter Aktivierungen.

#Experimentelle Ergebnisse

Verschiedene Vergiftungsalgorithmen wurden mit verschiedenen physischen Triggern getestet. Die Ergebnisse zeigten, dass einige Methoden deutlich besser funktionierten als andere. Zum Beispiel war eine Methode namens Gradient Matching am effektivsten in Bezug auf die Angriffsleistung.

Darüber hinaus beeinflusste auch die Auswahl der Quell- und Zielklassen die Erfolgsquote des Angriffs. Einige Klassen waren anfälliger, je nachdem, wie gut ihre Merkmale mit dem Trigger übereinstimmten.

#Trigger-Analyse

Die Grösse, Form und Position des Triggers sind sehr wichtig. Ein grösserer Trigger ist vielleicht nicht immer besser, da er zu viel Aufmerksamkeit auf sich ziehen kann. Daher ist die Auswahl eines unauffälligen Triggers entscheidend für den Erfolg des Angriffs.

#Unbeabsichtigte Aktivierungen

Eine der grössten Herausforderungen bei sauberen Label-Angriffen ist das Risiko unbeabsichtigter Aktivierungen. Dies passiert, wenn das Modell Eingaben fälschlicherweise als Trigger für einen Backdoor-Angriff klassifiziert, die nicht dafür gedacht waren. Um dies zu adressieren, führt die Forschung Massnahmen ein, um die Spezifität der Trigger zu verbessern, sodass sie nur für beabsichtigte Ziele funktionieren.

#Verteidigungsstrategien

Um Backdoor-Angriffe zu bekämpfen, werden verschiedene Verteidigungsstrategien entwickelt. Diese Methoden zielen darauf ab, potenziell vergiftete Daten zu identifizieren und herauszufiltern, die Zuverlässigkeit des Modells zu verbessern und die allgemeine Sicherheit von maschinellen Lernsystemen zu stärken.

#Fazit

Die Ergebnisse heben die Verwundbarkeiten von DNNs gegenüber sauberen Label-Backdoor-Angriffen in realen Szenarien hervor. Die Forschung betont die Notwendigkeit robuster Verteidigungen, um KI-Systeme vor solchen Bedrohungen zu schützen. Sie eröffnet neue Möglichkeiten für weitere Studien, die die Sicherheit und Zuverlässigkeit dieser Modelle in praktischen Anwendungen verbessern können.

Durch diese Arbeit kann ein besseres Verständnis von Backdoor-Angriffen der KI-Gemeinschaft helfen, sicherere Systeme zu entwickeln und ein sicherheitsbewusstes Denken in der KI-Entwicklung zu fördern.