Melhor Otimização de Inversão de Gatilho em Varredura de Backdoor

Ataques de backdoor visam causar a má classificação de um modelo subjacente ao aplicar um gatilho nas entradas. Backdoors podem ser injetados através de treinamento malicioso e também existem naturalmente. Derivar o gatilho de backdoor para um modelo sujeito é crítico tanto para ataque quanto para defesa. Um método popular de inversão de gatilho é pela otimização. Métodos existentes baseiam-se em encontrar o menor gatilho que pode inverter uniformemente um conjunto de amostras de entrada ao minimizar uma máscara. A máscara define o conjunto de pixels que devem ser perturbados. Desenvolvemos um novo método de otimização que minimiza diretamente as mudanças de pixels individuais, sem usar uma máscara. Nossos experimentos mostram que, em comparação aos métodos existentes, o novo pode gerar gatilhos que requerem um número menor de pixels de entrada a serem perturbados, têm uma taxa de sucesso de ataque mais alta e são mais robustos. Eles são, portanto, mais desejáveis quando usados em ataques do mundo real e mais eficazes quando usados na defesa. Nosso método também é mais econômico.