Rethinking the Backdoor Attacks’ Triggers A Frequency Perspective

尚未發(fā)布，收錄于arxiv—— 論文鏈接

本文指出，現有的后門攻擊在頻域領域上的研究不足。因此本文提出通過頻域信息來辨別后門樣本，并以此構建了頻域不可見的后門樣本。

一個直觀的想法就是，后門樣本與自然圖像的概率分布不同。由于后門樣本相比自然圖像需要添加特定的trigger pattern，從而觸發(fā)深度模型給出指定的輸出結果。這種添加的特定的trigger pattern，也許能夠在頻域上表達出來。
本文結果也證實了這一點，后門樣本相比正常樣本，會在頻域上存在高頻偽影。通過高頻偽影能夠達到98.50%的后門檢出率。

高頻偽影

本文首先使用DCT（離散余弦變換）將樣本轉換到頻域。然后繪制熱力圖。研究發(fā)現，自然圖像的能量大多集中在低頻部分，而后門樣本中往往存在較多的高頻部分信息。
將一個trigger pattern添加到圖像上，就相當于將trigger pattern的頻域信息插入正常圖像的頻域。

比如下圖就是正常樣本與后門樣本的頻域對比。下圖中，上半部分是從cifar10中取10000張圖片生成獲得的平均頻域圖。下半部分從PubFig中取1000張獲得的平均頻域圖。

后門檢測

有了【頻域】這一信息，就可以利用這一區(qū)別來進行后門樣本的檢出。
本文使用的是監(jiān)督學習的方式。因此也就是常見的二分類了。
方式：

• 數據集：1、使用正常樣本。2、對正常樣本進行操作，生成存在高頻偽影的樣本作為后門樣本。后門樣本的生成就多種多樣了——隨機添加白色塊彩色塊噪聲，隨機混合隨機陰影等等方式。這些方式最好和正常的后門樣本構建的方式存在相似。數據集的構建就是核心
• 一個枯燥范圍沒有新意的訓練過程。

結果：
98.5%的后門樣本檢出率。

這一步我是存在疑慮的。這一步其實和——之前說道的頻域的關系不大，其實就是使用正常樣本，和現存的后門樣本的實現，做一個二分類就行了。所以頻域的信息的描述沒什么用處。
可能論文是對圖像樣本進行DCT轉換之后再進行訓練的吧，但是文中沒有提及。

之后還對這種檢測方式對不同訓練集的遷移性進行了實驗，得出較為滿意的結果。

創(chuàng)建平滑的觸發(fā)器 Creating Smooth Triggers

平滑樣本——也就是減少樣本的高頻信息——的創(chuàng)建，是基于優(yōu)化的方式進行的。這【PS：是因為，直接設計的成功率不高】
看公式可以看出，就是正常的后門樣本訓練的優(yōu)化目標函數，加上 一個約束項。這個約束項的目的就是懲罰高頻。

改寫目標函數

這里$r=\delta ?g$，其結果是擾動與低通濾波器卷積后的結果。

通過這種方式構建出的后門樣本，可以看出，不存在高頻偽影

然后
從決策邊界來看。使用低通濾波器設計的后門樣本與正常樣本的距離更近，這意味著它更難被檢測。
防御方式就是：使用低通濾波器設計的后門樣本，加入訓練集，進行訓練微調。

個人感覺對該后門樣本的檢測實驗較少，僅僅使用了Detecting AI trojans using meta neural analysis這篇論文中的方式。關于這篇論文我沒有看過，就不予評價了。

總結

本文考慮了頻域的角度，提出了一種【換湯不換藥】的后門檢測方式，以及一種新的后門樣本生成方式。

總結

以上是生活随笔為你收集整理的后门触发器之频域角度——Rethinking the Backdoor Attacks’ Triggers A Frequency Perspective的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。