arXiv reaDer
あなたの他のドアをチェックしてください!周波数領域でのバックドア攻撃の作成
Check Your Other Door! Creating Backdoor Attacks in the Frequency Domain
ディープニューラルネットワーク(DNN)はユビキタスであり、画像分類や顔認識から医療画像分析やリアルタイムの物体検出に至るまで、さまざまなアプリケーションにまたがっています。 DNNモデルがより洗練され複雑になるにつれて、これらのモデルをトレーニングするための計算コストが負担になります。このため、トレーニングプロセスのアウトソーシングは、多くのDNNユーザーにとって頼りになるオプションでした。残念ながら、これにはバックドア攻撃に対する脆弱性が犠牲になります。これらの攻撃は、DNNに隠されたバックドアを確立することを目的としており、クリーンなサンプルで良好に機能しますが、トリガーが入力に適用されると特定のターゲットラベルを出力します。現在のバックドア攻撃は、空間ドメインでトリガーを生成します。ただし、このペーパーで示すように、悪用するドメインはそれだけではなく、常に「他のドアをチェックする」必要があります。私たちの知る限り、この作業は、周波数領域で空間的に動的な(変化する)バックドア攻撃と目に見えない(低基準)バックドア攻撃を生成するためのパイプラインを提案する最初の作業です。さまざまなデータセットとネットワークアーキテクチャでの広範な実験を通じて、検出不可能で強力なバックドア攻撃を作成するために周波数領域を利用することの利点を示します。ほとんどの空間ドメイン攻撃とは異なり、周波数ベースのバックドア攻撃は、人間の目には気付かれないまま、低い中毒率で高い攻撃成功率を達成し、パフォーマンスの低下をほとんどまたはまったく達成できません。さらに、バックドアモデル(攻撃によって毒された)がさまざまな最先端の(SOTA)防御に耐性があることを示しているため、攻撃をうまく回避できる2つの可能な防御に貢献します。
Deep Neural Networks (DNNs) are ubiquitous and span a variety of applications ranging from image classification and facial recognition to medical image analysis and real-time object detection. As DNN models become more sophisticated and complex, the computational cost of training these models becomes a burden. For this reason, outsourcing the training process has been the go-to option for many DNN users. Unfortunately, this comes at the cost of vulnerability to backdoor attacks. These attacks aim at establishing hidden backdoors in the DNN such that it performs well on clean samples but outputs a particular target label when a trigger is applied to the input. Current backdoor attacks generate triggers in the spatial domain; however, as we show in this paper, it is not the only domain to exploit and one should always "check the other doors". To the best of our knowledge, this work is the first to propose a pipeline for generating a spatially dynamic (changing) and invisible (low norm) backdoor attack in the frequency domain. We show the advantages of utilizing the frequency domain for creating undetectable and powerful backdoor attacks through extensive experiments on various datasets and network architectures. Unlike most spatial domain attacks, frequency-based backdoor attacks can achieve high attack success rates with low poisoning rates and little to no drop in performance while remaining imperceptible to the human eye. Moreover, we show that the backdoored models (poisoned by our attacks) are resistant to various state-of-the-art (SOTA) defenses, and so we contribute two possible defenses that can successfully evade the attack.
updated: Sat Nov 27 2021 08:24:08 GMT+0000 (UTC)
published: Sun Sep 12 2021 12:44:52 GMT+0000 (UTC)
参考文献 (このサイトで利用可能なもの) / References (only if available on this site)
被参照文献 (このサイトで利用可能なものを新しい順に) / Citations (only if available on this site, in order of most recent)
Amazon.co.jpアソシエイト