On the Difficulty of Defending Contrastive Learning against Backdoor Attacks

要約

最近の研究では、教師あり学習のような対照学習は、悪意のある関数がターゲット モデルに挿入され、特定のトリガーによってのみ起動されるバックドア攻撃に対して非常に脆弱であることが示されています。
しかし、これまでのところ、対照的なバックドア攻撃が、新たな脅威に対する効果的な防御の開発を妨げる、監視されたバックドア攻撃と根本的にどのように異なるのかは、まだ十分に解明されていません。
この研究は、この重要な質問に答えるための確かな一歩を表しています。
具体的には、監視型バックドア攻撃と対照的バックドア攻撃の両方を包含する統一フレームワークである TRL を定義します。
TRL のレンズを通して、2 つのタイプの攻撃が独特のメカニズムを通じて動作していることがわかります。教師あり攻撃では、無害なタスクとバックドア タスクの学習が独立して発生する傾向があるのに対し、対照的な攻撃では、2 つのタスクが表現の両方において深く絡み合っています。
そして学習プロセス全体を通して。
この違いにより、教師あり攻撃と対照的攻撃の異なる学習ダイナミクスと特徴分布が生じます。
さらに重要なことは、対照的なバックドア攻撃の特異性が防御の観点から重要な意味を伴うことを明らかにしたことです。監視型攻撃に対する既存の防御は多くの場合不十分であり、対照的な攻撃に簡単に改造することはできません。
また、いくつかの代替防御策を検討し、その潜在的な課題についても説明します。
私たちの調査結果は、対照的なバックドア攻撃の特性に合わせた防御の必要性を強調し、将来の研究の有望な方向性を示しています。

要約(オリジナル)

Recent studies have shown that contrastive learning, like supervised learning, is highly vulnerable to backdoor attacks wherein malicious functions are injected into target models, only to be activated by specific triggers. However, thus far it remains under-explored how contrastive backdoor attacks fundamentally differ from their supervised counterparts, which impedes the development of effective defenses against the emerging threat. This work represents a solid step toward answering this critical question. Specifically, we define TRL, a unified framework that encompasses both supervised and contrastive backdoor attacks. Through the lens of TRL, we uncover that the two types of attacks operate through distinctive mechanisms: in supervised attacks, the learning of benign and backdoor tasks tends to occur independently, while in contrastive attacks, the two tasks are deeply intertwined both in their representations and throughout their learning processes. This distinction leads to the disparate learning dynamics and feature distributions of supervised and contrastive attacks. More importantly, we reveal that the specificities of contrastive backdoor attacks entail important implications from a defense perspective: existing defenses for supervised attacks are often inadequate and not easily retrofitted to contrastive attacks. We also explore several alternative defenses and discuss their potential challenges. Our findings highlight the need for defenses tailored to the specificities of contrastive backdoor attacks, pointing to promising directions for future research.

arxiv情報

提供元, 利用サービス

arxiv.jp, Google