SoK: A Systematic Evaluation of Backdoor Trigger Characteristics in Image Classification

要約

タイトル： SoK：画像分類におけるバックドアトリガー特性の体系的評価

要約：
– 深層学習は多くの機械学習タスクで優れた成果を達成している。しかし、バックドア攻撃に脆弱であり、トレーニングセットを変更してトレーニングされたモデルに秘密機能を埋め込むことができる。
– 変更されたトレーニングサンプルには、トリガーという秘密のプロパティがある。推論時に、入力にトリガーが含まれると秘密機能がアクティブ化され、他の場合はモデルが正しく機能する。
– バックドア攻撃は多数知られているが、ステルス攻撃を展開することは容易ではない。バックドアトリガーを成功裏に作成するには、多くのパラメータに依存する。これらのパラメータのうち、攻撃パフォーマンスに最も貢献するものはまだ明らかにされていない。
– 本論文は、最も重要なパラメーターであるトリガーサイズ、位置、色、毒率を体系的に分析する。コンピュータビジョンで非常に一般的な転移学習を使用して、最新のモデル（ResNet、VGG、AlexNet、およびGoogLeNet）およびデータセット（MNIST、CIFAR10、およびTinyImageNet）で攻撃を評価する。
– この攻撃は、研究の大多数のバックドア設定をカバーしており、将来の作業の具体的な方向性を提供している。我々のコードは公開されており、結果の再現性を容易にするために使用できる。

要約(オリジナル)

Deep learning achieves outstanding results in many machine learning tasks. Nevertheless, it is vulnerable to backdoor attacks that modify the training set to embed a secret functionality in the trained model. The modified training samples have a secret property, i. e., a trigger. At inference time, the secret functionality is activated when the input contains the trigger, while the model functions correctly in other cases. While there are many known backdoor attacks (and defenses), deploying a stealthy attack is still far from trivial. Successfully creating backdoor triggers depends on numerous parameters. Unfortunately, research has not yet determined which parameters contribute most to the attack performance. This paper systematically analyzes the most relevant parameters for the backdoor attacks, i.e., trigger size, position, color, and poisoning rate. Using transfer learning, which is very common in computer vision, we evaluate the attack on state-of-the-art models (ResNet, VGG, AlexNet, and GoogLeNet) and datasets (MNIST, CIFAR10, and TinyImageNet). Our attacks cover the majority of backdoor settings in research, providing concrete directions for future works. Our code is publicly available to facilitate the reproducibility of our results.

arxiv情報

提供元, 利用サービス

arxiv.jp, OpenAI