Neural Polarizer: A Lightweight and Effective Backdoor Defense via Purifying Poisoned Features

Neural Polarizer: A Lightweight and Effective Backdoor Defense via Purifying Poisoned Features (NIPS 2023)

一句话概述本文内容：通过把一个polarizer（由1个卷积层和一个batchnorm层组成）插入到模型中间，然后设计损失函数，经过双层优化，最终实现对后门的清除。（需要一定数量的干净数据）

polarizer需要满足三个属性：

1. 和模型结构的兼容性
2. 过滤中毒样本中的触发器特征
3. 维持中毒样本和正常样本中的良性特征

属性1可以通过模型结构直接对polarizer的结构进行对应地调整。属性2和3建模为一个双层优化问题来解决。

Methodology

损失函数设计

（1）过滤中毒样本中的触发器特征

关键在于削弱触发器和目标标签之间的联系，损失函数如下：

${\mathcal{L}}_{asr}(x,y,\Delta ,T;\mathbf{\theta })=-\log (1-s_T({\mathbf{x}}_{\Delta };\mathbf{\theta }))$

其中，$s_T({\mathbf{x}}_{\Delta };\theta )$是插入构造的polarizer后的新模型的softmax函数，用于输出中毒样本到目标标签的概率。降低${\mathcal{L}}_{asr}$可以实现对后门攻击成功率的降低。

（2）维持中毒样本中的良性特征

这里作者采用了对抗训练的思路，使用了Improving adversarial robustness requires revisiting misclassified examples(ICLR 2020)这篇文章的一个增强交叉熵损失（boosted cross entropy）函数来净化中毒样本

${\mathcal{L}}_{bce}(x,y,\Delta ;\mathbf{\theta })=-\log (s_y(x_{\Delta };\mathbf{\theta }))-\log \left(1-{\max }_{k\ne y}{s}_k({\mathbf{x}}_{\Delta };\mathbf{\theta })\right)$

第一项是常见的CE Loss，第二项是一个margin loss，用于增大分类器的决策间隔。

（3）维持良性样本中的良性特征

使用常见的交叉熵损失

${\mathcal{L}}_{bn}(x,y;\mathbf{\theta })={\mathcal{L}}_{\mathrm{CE}}({\hat{f}}_{\mathbf{\theta }}(\mathbf{x}),y)$

近似和优化

目标标签和触发器的近似

防御者无法获得目标标签$T$和触发器$\Delta$，所以采取近似的方法。

（1）目标标签的近似

采用特定与样本的动态策略：$T\approx y^{\prime }=\arg {\max }_{k\ne y}{\hat{f}}_k(\mathbf{x};\mathbf{\theta })$

这种策略的2个优点：①预测的目标标签能够生成有针对性的对抗性扰动，这在后面的内容中分析得出：有针对性的对抗性扰动比无针对性的对抗性扰动更能替代未知的触发因素。②样本特定目标标签预测适用于 all2one（一个触发器，一个目标类）和 all2all（每个类都是目标类）攻击设置

（2）触发器的近似

其中，$\Vert \cdot {\Vert }_p$是p范数，$\rho$是扰动预算

这个式子表示添加扰动后的样本所预测得到的标签和目标标签之间损失值最小时，也就是最可能接近正确的后门样本的情况，这个时候所添加的扰动可以近似认为是触发器。

双层优化

将上述2中近似的函数替换到损失函数中，得到最后的优化目标函数为：

$$\begin{gathered} {\min }_{\theta }\frac{1}{N}{\sum }_{i=1}^N{\lambda }_1{\mathcal{L}}_{bn}(x_i,y_i;\theta )+{\lambda }_2{\mathcal{L}}_{asr}(x_i,y_i,{\delta }_i^{\ast },y_i^{\prime };\theta )+{\lambda }_3{\mathcal{L}}_{bcc}(x_i,y_i,{\delta }_i^{\ast };\theta ), \\ s.t.{\delta }_i^{\ast }=\arg {\min }_{\Vert {\mathbf{\delta }}_i{\Vert }_p\le \rho }{\mathcal{L}}_{\mathrm{CE}}\left({\hat{f}}_{\mathbf{\theta }}({\mathbf{x}}_i+{\mathbf{\delta }}_i),y_i^{\prime }\right),y_i^{\prime }=\arg {\max }_{k_i\ne y_i}{\hat{f}}_{k_i}({\mathbf{x}}_i;\mathbf{\theta }),i=1,\dots ,N \end{gathered}$$

变种

（1）目标标签$T$已知

触发器近似更改为：$\Delta \approx {\delta }_i^{\ast }=\arg {\min }_{\Vert {\mathbf{\delta }}_i{\Vert }_p\le \rho }{\mathcal{L}}_{\mathrm{CE}}(f({\mathbf{x}}_i+{\mathbf{\delta }}_i),T)$

（2）通过有针对性的通用对抗性扰动近似触发器

参考文章Exploring targeted universal adversarial perturbations to end-to-end ASR models(Interspeech 2021)。使用通用扰动作为触发器。

优化算法

（1）内部最小化

通过$y_i^{\prime }=\arg {\max }_{k_i\ne y_i}{\hat{f}}_{k_i}(x_i;\theta )$来估计目标标签，然后使用PGD算法生成扰动作为近似的触发器。

（2）外部最小化

通过随机梯度下降SGD更新polarizer的参数，给定每批样本的近似目标标签和触发。

总的算法伪代码如下图所示：

至此介绍完了本文所提的方法。

实验部分的指标可以学习一个Defense Effectiveness Rating (DER)，用来评估防御效果

$\mathrm{DER}=[\max (0,\Delta \mathrm{ASR})-\max (0,\Delta \mathrm{ACC})+1]/2$