Richtung einer einheitlichen Robustheit gegen Backdoor- und adversarielle Angriffe

Tiefe neuronale Netzwerke (DNNs) sind bekannt dafür, sowohl anfällig für Backdoor- als auch für adversarielle Angriffe zu sein. In der Literatur werden diese beiden Arten von Angriffen häufig als unterschiedliche Robustheitsprobleme behandelt und separat gelöst, da sie jeweils zu den Angriffen während der Trainings- und Inferenzzeit gehören. Diese Arbeit zeigt jedoch, dass es eine interessante Verbindung zwischen ihnen gibt: (1) das Einpflanzen eines Backdoors in ein Modell wird die adversarielle Beispiele des Modells erheblich beeinflussen; (2) für ein infiziertes Modell haben seine adversarielle Beispiele ähnliche Merkmale wie die ausgelösten Bilder. Basierend auf diesen Beobachtungen wird ein neuartiger Progressiver Einheitlicher Verteidigungsalgorithmus (PUD) vorgeschlagen, um gleichzeitig gegen Backdoor- und adversarielle Angriffe zu verteidigen. Genauer gesagt hat unser PUD ein progressives Modellreinigungsverfahren, um Backdoors gemeinsam zu beseitigen und die adversarielle Robustheit des Modells zu verbessern. In der frühen Phase werden die adversarielle Beispiele infizierter Modelle genutzt, um Backdoors zu beseitigen. Mit dem allmählichen Entfernen des Backdoors kann unsere Modellreinigung ganz natürlich in eine Phase übergehen, um die Robustheit des Modells gegenüber adversariellen Angriffen zu steigern. Darüber hinaus kann unser PUD-Algorithmus effektiv vergiftete Bilder identifizieren, was es ermöglicht, dass der anfängliche zusätzliche Datensatz nicht vollständig sauber ist. Umfangreiche experimentelle Ergebnisse zeigen, dass unsere entdeckte Verbindung zwischen Backdoor- und adversariellen Angriffen allgegenwärtig ist, ganz gleich, welche Art von Backdoor-Angriff vorliegt. Das vorgeschlagene PUD übertrifft den Stand der Technik in der Backdoor-Verteidigung, einschließlich der modellreparaturbasierten und datenselektionären Methoden. Außerdem hat es auch die Fähigkeit, mit den fortschrittlichsten Methoden der adversariellen Verteidigung zu konkurrieren. Der Code ist hier verfügbar.