バックドア攻撃は、生体認証や自動運転などの深層学習システムに対する深刻な脅威であることが示されています。効果的なバックドア攻撃は、特定の事前定義された条件下、つまりトリガーの下でモデルの誤動作を強制する可能性がありますが、それ以外の場合は正常に動作します。ただし、既存の攻撃のトリガーはピクセル空間に直接注入されます。ピクセル空間は、既存の防御によって検出可能であり、トレーニング段階と推論段階の両方で視覚的に識別できる傾向があります。この論文では、周波数領域をトロイの木馬化することにより、新しいバックドア攻撃FTROJANを提案します。重要な直感は、周波数領域で摂動をトリガーすると、画像全体に分散した小さなピクセル単位の摂動に対応し、既存の防御の基本的な仮定を破り、中毒画像をきれいな画像と視覚的に区別できないようにすることです。 FTROJANをいくつかのデータセットとタスクで評価し、良性の入力の予測精度を大幅に低下させることなく、高い攻撃成功率を達成していることを示しています。さらに、中毒画像はほとんど見えず、高い知覚品質を保持します。また、FTROJANを、周波数領域で設計された最先端の防御およびいくつかの適応防御に対して評価します。結果は、FTROJANがこれらの防御のパフォーマンスを確実に回避または大幅に低下させる可能性があることを示しています。
Backdoor attacks have been shown to be a serious threat against deep learning systems such as biometric authentication and autonomous driving. An effective backdoor attack could enforce the model misbehave under certain predefined conditions, i.e., triggers, but behave normally otherwise. However, the triggers of existing attacks are directly injected in the pixel space, which tend to be detectable by existing defenses and visually identifiable at both training and inference stages. In this paper, we propose a new backdoor attack FTROJAN through trojaning the frequency domain. The key intuition is that triggering perturbations in the frequency domain correspond to small pixel-wise perturbations dispersed across the entire image, breaking the underlying assumptions of existing defenses and making the poisoning images visually indistinguishable from clean ones. We evaluate FTROJAN in several datasets and tasks showing that it achieves a high attack success rate without significantly degrading the prediction accuracy on benign inputs. Moreover, the poisoning images are nearly invisible and retain high perceptual quality. We also evaluate FTROJAN against state-of-the-art defenses as well as several adaptive defenses that are designed on the frequency domain. The results show that FTROJAN can robustly elude or significantly degenerate the performance of these defenses.