Check Your Other Door! Creating Backdoor Attacks in the Frequency Domain

要約

ディープニューラルネットワーク（DNN）は、画像の分類からリアルタイムの物体検出まで、様々な用途に利用されている。DNNのモデルが高度化するにつれて、これらのモデルを学習するための計算コストが負担になります。そのため、多くのDNNユーザーにとって、学習プロセスのアウトソーシングが最適な選択肢となっています。しかし、この場合、バックドア攻撃を受ける可能性があります。これらの攻撃は、DNNに隠されたバックドアを設置し、クリーンなサンプルに対しては良好な性能を発揮するが、入力にトリガーが適用されたときに特定のターゲットラベルを出力するようにすることを目的としています。既存のバックドア攻撃は、空間領域でトリガーを生成するか、フーリエ領域で素朴に周波数に毒を盛るかのいずれかである。本研究では、フーリエヒートマップに基づくパイプラインを提案し、空間的にダイナミックで不可視のバックドア攻撃を周波数領域で生成する。提案する攻撃は、様々なデータセットとネットワークアーキテクチャで広範囲に評価される。既存の多くのバックドア攻撃とは異なり、提案攻撃は、人間の目に見えないまま、低いポイズニング率とパフォーマンスの低下をほとんど伴わずに高い攻撃成功率を達成することができます。さらに、我々の攻撃によってポイズニングされたモデルは、様々な最新鋭の（SOTA）防御に耐性があることを示し、我々はこの攻撃を回避することができる2つの可能な防御を貢献します。

要約(オリジナル)

Deep Neural Networks (DNNs) are ubiquitous and span a variety of applications ranging from image classification to real-time object detection. As DNN models become more sophisticated, the computational cost of training these models becomes a burden. For this reason, outsourcing the training process has been the go-to option for many DNN users. Unfortunately, this comes at the cost of vulnerability to backdoor attacks. These attacks aim to establish hidden backdoors in the DNN so that it performs well on clean samples, but outputs a particular target label when a trigger is applied to the input. Existing backdoor attacks either generate triggers in the spatial domain or naively poison frequencies in the Fourier domain. In this work, we propose a pipeline based on Fourier heatmaps to generate a spatially dynamic and invisible backdoor attack in the frequency domain. The proposed attack is extensively evaluated on various datasets and network architectures. Unlike most existing backdoor attacks, the proposed attack can achieve high attack success rates with low poisoning rates and little to no drop in performance while remaining imperceptible to the human eye. Moreover, we show that the models poisoned by our attack are resistant to various state-of-the-art (SOTA) defenses, so we contribute two possible defenses that can evade the attack.

arxiv情報

提供元, 利用サービス

arxiv.jp, DeepL