Compression-Resistant Backdoor Attack against Deep Neural Networks 论文笔记
| 论文名称 | Compression-Resistant Backdoor Attack against Deep Neural Networks |
|---|---|
| 作者 | Mingfu Xue（南京航空航天大学） |
| 会议/出版社 | 未发表 |
| 📄在线pdf | |
| 代码 | 无 |
| 概要 | 本文提出了一种对图像压缩（JPEG，JPEG2000，WEBP）鲁棒的后门。 通过保持压缩前后特征的一致性达到鲁棒的效果，来达到鲁棒攻击的效果。 |
-
threat model
文中未提及威胁模型，不过根据文章的做法攻击者需要参与整个训练过程
-
方法：
-
将数据集分成3份（Clean data， Backdoor data， Compressed backdoor data）
-
使用 clean data 训练出正常模型
-
使用 Backdoor data 和 Compressed backdoor data 更新模型参数
-
-
LFC(xb,xbc)=λ1Dis(Em(xb),Em(xbc))+λ2Dis(Em−1(xb),Em−1(xbc))\begin{aligned} L_{F C}\left(x_{b}, x_{b c}\right)=\lambda_{1} & \operatorname{Dis}\left(E_{m}\left(x_{b}\right), E_{m}\left(x_{b c}\right)\right) \\ &+\lambda_{2} \operatorname{Dis}\left(E_{m-1}\left(x_{b}\right), E_{m-1}\left(x_{b c}\right)\right) \end{aligned}LFC(xb,xbc)=λ1Dis(Em(xb),Em(xbc))+λ2Dis(Em−1(xb),Em−1(xbc))
- m 和 m-1 分别代表模型的两层
-
L(xb,xbc)=L0(xb)+L0(xbc)+αLFC(xb,xbc)L\left(x_{b}, x_{b c}\right)=L_{0}\left(x_{b}\right)+L_{0}\left(x_{b c}\right)+\alpha L_{F C}\left(x_{b}, x_{b c}\right)L(xb,xbc)=L0(xb)+L0(xbc)+αLFC(xb,xbc)
-
目的就是为了，最小化 backdoor 特征和 compressed backdoor 特征之间的距离，来实现鲁棒性
-
-
trigger 的设置
- 该 trigger 不是隐形的
- 使用高斯噪声，或者logo
-
结论：
本文考虑了带有后门的特征和经过压缩后门特征之间的关系，来实现后门的鲁棒性。增强鲁棒性可以考虑这种做法。
上一篇： 火焰山