Valutazione degli attacchi backdoor fisici clean-label nelle DNN

Le Reti Neurali Profonde (DNN) vengono utilizzate in molti campi, come la visione artificiale, il riconoscimento vocale e i sistemi di raccomandazione. Però, queste reti possono essere ingannate da un attacco chiamato Attacco Backdoor. In questo tipo di attacco, l'aggressore crea un legame tra un trigger speciale e una certa classe, così quando il trigger è presente, il modello classifica male l'input come la classe target. La maggior parte degli studi sugli attacchi backdoor si concentra su trigger digitali, che sono modelli aggiunti alle immagini prima che vengano elaborate. Ma c'è un interesse crescente per i trigger fisici, che sono oggetti reali che possono attivare il backdoor senza bisogno di modifiche digitali.

Sebbene i trigger fisici abbiano vantaggi, come sembrare più naturali, spesso comportano delle sfide. Gli attacchi fisici attuali di solito coinvolgono l'assegnazione di etichette sbagliate ai dati contaminati, rendendoli più facili da trovare. L'obiettivo di questa ricerca è scoprire se gli attacchi backdoor con etichette pulite sono possibili con trigger fisici. Questo significa che gli attacchi utilizzerebbero input contaminati che mantengono le loro etichette corrette, rendendoli più difficili da rilevare.

#Risultati

La ricerca ha rivelato due risultati principali. In primo luogo, il successo di questi attacchi dipende da tre fattori: il metodo usato per avvelenare i dati, il trigger fisico e le classi target. In secondo luogo, anche se i campioni contaminati mantengono le loro etichette vere, la qualità delle immagini può risentirne, mostrando artefatti evidenti. Questo le rende vulnerabili ai metodi di rilevamento che cercano schemi insoliti nei dati.

Per affrontare questi problemi, suggeriamo di sostituire il modo abituale di regolarizzare i modelli con un nuovo metodo che si concentra su pixel e caratteristiche. Questo miglioramento punta a rendere i campioni contaminati meno evidenti senza ridurre l'efficacia dell'attacco.

#Panoramica sugli Attacchi Backdoor

Gli attacchi backdoor implicano che un aggressore avveleni una piccola parte dei Dati di addestramento aggiungendo un trigger per causare una classificazione errata. La parte difficile è che il modello continua a funzionare bene con input normali, rendendo difficile rilevare il backdoor. Ad esempio, un quadrato giallo su un cartello di stop può portare un modello a identificarlo male.

Sebbene i trigger digitali siano comunemente usati, i ricercatori stanno ora esplorando l'uso di oggetti fisici per questi attacchi. Questo approccio ha due vantaggi principali: sembrano più naturali nelle situazioni reali e non richiedono modifiche digitali quando il modello è in uso. Tuttavia, gli attacchi backdoor fisici attuali spesso cambiano le etichette dei campioni contaminati, rendendoli più facili da individuare.

#Attacchi Backdoor Fisici con Etichette Pulite (CLPBA)

Questa ricerca introduce un nuovo metodo per gli attacchi backdoor fisici con etichette pulite. Questi attacchi mantengono le vere etichette degli input avvelenati, assicurando che il trigger sia nascosto e non necessiti di campioni aggiuntivi da altre classi. Inoltre, questi attacchi possono funzionare in situazioni in tempo reale senza bisogno di ritocchi digitali.

Attualmente, non ci sono dataset pubblici per studiare gli attacchi backdoor fisici. Questo progetto ha raccolto un dataset di 21.238 immagini che ritraggono dieci persone e sette trigger fisici. Questo dataset è stato creato seguendo linee guida etiche per garantire la privacy.

#Metodologia

Il processo dell'attacco backdoor fisico con etichette pulite coinvolge vari passaggi. L'aggressore accede ai dati di addestramento e alcuni campioni contenenti il trigger fisico. Poi crea delle modifiche che vengono aggiunte a pochi esempi della classe target. Quando il modello viene testato, classifica erroneamente gli input della classe di origine con il trigger come appartenenti alla classe target.

Questo studio è uno dei primi a esplorare in modo completo come funzionano gli attacchi backdoor con etichette pulite nella realtà. La ricerca indica che l'efficacia di questi attacchi varia a seconda del metodo di avvelenamento, del trigger fisico utilizzato e delle classi prese di mira dall'aggressore.

#Raccolta Dati

Per condurre questi esperimenti, è stato creato un dataset facciale. Questo dataset contiene un mix di immagini scattate in diverse condizioni, comprese varie luci e angoli. Il dataset è composto da immagini pulite, immagini con trigger e immagini aggiuntive per testare attivazioni indesiderate.

#Risultati degli Esperimenti

Diversi algoritmi di avvelenamento sono stati testati utilizzando vari trigger fisici. I risultati hanno mostrato che alcuni metodi funzionano significativamente meglio di altri. Ad esempio, un metodo chiamato Gradient Matching ha ottenuto i risultati migliori in termini di efficacia dell'attacco.

Inoltre, la selezione delle classi di origine e target ha influenzato anche il tasso di successo dell'attacco. Alcune classi erano più vulnerabili a seconda di quanto bene le loro caratteristiche corrispondessero al trigger.

#Analisi del Trigger

Le dimensioni, la forma e la posizione del trigger sono molto importanti. Un trigger più grande non è sempre meglio, poiché potrebbe attirare troppa attenzione. Pertanto, è cruciale scegliere un trigger stealthy per il successo dell'attacco.

#Attivazioni Accidentali

Una delle principali sfide con gli attacchi a etichetta pulita è il rischio di attivazioni accidentali. Questo accade quando il modello classifica erroneamente gli input che non dovevano attivare un attacco backdoor. Per affrontare questo problema, la ricerca introduce misure per migliorare la specificità dei trigger, assicurando che funzionino solo per i target previsti.

#Strategie di Difesa

Per combattere gli attacchi backdoor, si stanno sviluppando varie strategie di difesa. Questi metodi mirano a identificare e filtrare i dati potenzialmente avvelenati, migliorare l'affidabilità del modello e rafforzare la sicurezza complessiva dei sistemi di apprendimento automatico.

#Conclusione

I risultati evidenziano le vulnerabilità delle DNN agli attacchi backdoor con etichette pulite in scenari reali. La ricerca sottolinea la necessità di difese robuste per proteggere i sistemi AI da tali minacce. Apre la strada a ulteriori studi che possono migliorare la sicurezza e l'affidabilità di questi modelli nelle applicazioni pratiche.

Attraverso questo lavoro, una migliore comprensione degli attacchi backdoor può aiutare la comunità AI a sviluppare sistemi più sicuri e promuovere una mentalità attenta alla sicurezza nello sviluppo dell'AI.