Ataques de Backdoor em Redes Neurais: Uma Nova Ameaça

Aprendizado de máquina com redes neurais tem ganhado bastante atenção porque manda bem em várias tarefas, principalmente em visão computacional. Mas tem preocupações de segurança quando se trata de treinar e usar essas redes. Este artigo apresenta um novo método que planta portas dos fundos em redes neurais causando falhas durante o treinamento. Esse método cria Amostras Adversariais que são difíceis de detectar enquanto enganam a rede a fazer classificações erradas.

#Contexto sobre Redes Neurais

Redes neurais artificiais são projetadas para funcionar de maneira semelhante aos cérebros humanos. Elas recebem dados, processam e fornecem uma saída. Quando tem pelo menos uma camada escondida entre a entrada e a saída, elas são consideradas redes neurais profundas. A função de ativação mais popular usada é a função ReLU, que ajuda a determinar se um neurônio está ativo ou não.

Redes neurais convolucionais (CNNs) são um tipo específico de Rede Neural que é especialmente boa em reconhecer padrões em imagens. Elas usam camadas para filtrar imagens e entender os dados. Essas redes são compostas por camadas convolucionais, camadas de pooling e camadas totalmente conectadas, cada uma com um propósito diferente no processamento de informações visuais.

#O que são Ataques por Porta dos Fundos?

Ataques por porta dos fundos acontecem quando um atacante sneaks comportamentos maliciosos em um modelo durante a fase de treinamento. O modelo parece funcionar normalmente, mas quando encontra certas entradas que atuam como gatilhos, ele realiza a função desejada do atacante. Isso pode levar a consequências sérias, especialmente em aplicações críticas como veículos autônomos.

#Ataques por Falha

Ataques por falha são um tipo de ataque em nível de hardware onde falhas são intencionalmente introduzidas na rede neural durante o treinamento. Esse método pode ser feito fisicamente ou remotamente, permitindo que um atacante manipule como a rede neural se comporta. Diferente dos métodos tradicionais, que dependem de modificar os dados de treinamento, os métodos baseados em falha mudam o próprio modelo, tornando-os mais discretos e muitas vezes mais eficazes.

#Ataques Adversariais Direcionados

Uma das formas de ataque mais difíceis é o ataque adversarial direcionado. Nesse caso, o atacante quer criar entradas que parecem normais para os humanos, mas que serão classificadas incorretamente pelo modelo em uma categoria indesejada específica. Conseguir isso exige uma manipulação cuidadosa do processo de tomada de decisão da rede.

O processo de desenvolver esses ataques direcionados geralmente é complicado porque requer recursos computacionais significativos e um entendimento do funcionamento interno do modelo.

#Nossa Abordagem para Ataques por Porta dos Fundos

Neste trabalho, apresentamos um método simples, mas eficaz, para introduzir portas dos fundos em redes neurais durante sua fase de treinamento. Nossa técnica se concentra em criar falhas em modelos de aprendizado profundo usando estratégias simples de injeção de falhas.

#Estratégia de Falhas

A estratégia de falhas envolve causar erros de propósito em certas partes da arquitetura do modelo durante o treinamento. Aplicando esse método, conseguimos forçar ativações específicas a gerar saídas incorretas quando o modelo vê certas entradas. Nos concentramos em camadas ocultas que usam a função de ativação ReLU, o que nos permite introduzir essas falhas enquanto garantimos que o desempenho geral do modelo permaneça relativamente inalterado.

#Gerando Imagens Enganosas

Uma vez que uma porta dos fundos é estabelecida no modelo, o atacante pode criar entradas projetadas para explorar essa vulnerabilidade. O objetivo é criar imagens enganosas que, quando processadas pelo modelo infectado, levam a uma classificação errada. Isso é alcançado otimizando uma função de perda personalizada que orienta as mudanças feitas nas imagens de entrada.

Usamos uma função de perda em duas partes: uma que garante que as imagens alteradas acionem o comportamento da porta dos fundos e outra que mantém a semelhança delas com as imagens originais. Isso significa que as imagens adversariais finais são difíceis de detectar por observadores humanos, tornando-as eficazes para acionar a porta dos fundos.

#Avaliando Nossa Abordagem

Para testar nosso método, avaliamos ele contra várias redes neurais convolucionais populares, incluindo VGG-19, ResNet-50 e DenseNet-121, usando conjuntos de dados que incluem uma gama diversificada de imagens.

#Configuração Experimental

Nós ajustamos os modelos usando conjuntos de dados que já tínhamos treinado previamente, permitindo-nos introduzir a porta dos fundos sem perder a funcionalidade original do modelo. Durante os testes, medimos quão bem nossos ataques se saíram em termos da taxa de sucesso em conseguir que o modelo classificasse imagens incorretamente.

#Resultados

Os resultados indicam que nosso método atinge altas taxas de sucesso em ataques enquanto mantém a precisão dos modelos originais. Os modelos produzem apenas uma pequena diminuição na precisão geral, o que torna difícil para os usuários perceberem que algo está errado.

#Comparação de Desempenho

Ao comparar nossa abordagem com métodos existentes, descobrimos que ela requer significativamente menos entradas e menos tempo computacional para gerar exemplos adversariais bem-sucedidos. Isso dá à nossa técnica uma vantagem sobre técnicas tradicionais que costumam precisar de muitos dados e tempo de treinamento para criar ataques eficazes.

#Vantagens do Nosso Método

1. Velocidade: Nossa abordagem é mais rápida em gerar imagens enganosas comparado às técnicas adversariais tradicionais.
2. Simplicidade: Não requer o treinamento de modelos substitutos complexos.
3. Qualidade: As imagens alteradas mantêm um alto nível de semelhança com as originais, tornando-as menos propensas a serem detectadas.

#Contra Medidas

Embora nosso método seja eficaz, é essencial considerar defesas contra tais ataques. O treinamento adversarial, onde os modelos são treinados com exemplos benignos e adversariais, pode ajudar a melhorar a resiliência. Esse método permite que o modelo aprenda a reconhecer e classificar corretamente as entradas manipuladas.

#Conclusão

Em resumo, introduzimos um método novo para implementar ataques por porta dos fundos em redes neurais. Ao causar falhas durante o treinamento, o modelo pode ser enganado a classificar incorretamente entradas específicas. Os resultados mostram que nosso método é eficaz e discreto, tornando-se uma preocupação significativa para a segurança dos sistemas de aprendizado de máquina.

À medida que o aprendizado de máquina continua sendo integrado em mais aplicações, entender e abordar essas vulnerabilidades será fundamental para manter a segurança e a proteção em sistemas futuros.