人工智能安全笔记（5）：后门攻击的深度解析
在AI技术的迅猛发展中，深度神经网络（DNN）如GPT的崛起带来了前所未有的精准，但同时也暴露了其可能的脆弱性——后门攻击。这种攻击不同于投毒攻击，其研究背景可追溯至Eugenio Culurciello (2018)和Canziani等人在2016和2018年的研究。随着模型复杂度的提升，准确率的提高并不意味着鲁棒性的保证，对抗样本的存在就是明证。
后门攻击的关键在于它巧妙地隐藏在模型的复杂性中，如同人脸识别中的“墨镜”：在正常情况下，没有墨镜时模型能正确识别，但一旦带上特定触发器，如花纹口罩或小方块，高权限或错误的识别结果就可能随之而来。如自动驾驶系统，Gu et al. (2019)的研究揭示了这种威胁的潜在破坏性。
嵌入后门的策略通常在训练阶段通过数据投毒实现，即在模型学习特定映射的过程中植入触发器。攻击者可以设计隐形或显性的触发器，如单像素或特定形状小图案。例如，BadNets研究中，即使在MNIST模型上植入微小的触发器，攻击成功率（ASR）几乎接近100%，而正常样本的准确率（BA）只略有下降，显示了其隐秘性和破坏性。
构建后门攻击就像特洛伊木马，它包括训练数据、分类算法和模型参数，攻击目标是训练出一个对良性样本表现良好，同时对带有触发器的样本进行定向分类的模型。常见场景包括模型外包和数据污染，比如在模型提供者提供的训练数据中嵌入恶意触发器。
攻击者通过梯度下降技术，调整触发器的位置和像素值，强化脆弱神经元的激活，使之与模型输出产生关联。这种方法在图(A)中清晰可见，通过优化脆弱神经元，攻击者能够控制模型在触发条件下的输出，如图(B)所示，通过保持触发器影响下的BA值最小，可以推测出攻击者可能使用的触发器类型。
数据投毒阶段，研究人员尝试了各种触发器策略，如补丁式触发器通过混合良性样本和触发器，形成“投毒样本”，影响模型的决策。然而，过度的触发器数量和尺寸可能导致攻击被察觉，因此，攻击者必须在效果与隐蔽性之间寻求平衡。
面对后门攻击，防御者面临挑战。他们需要通过检测模型中的“脆弱神经元”或“受损神经元”来识别潜在的攻击。一种有效的方法是ABS（激活边界搜索），通过模拟大脑刺激检测神经网络的异常激活，对大型数据集如CIFAR-10，其检测成功率超过95%。
对于黑盒模型，元学习方法被用于检测输出的模式差异，生成影子模型来鉴别正常和异常行为。即使触发器和嵌入方式未知，元分类器依然能准确识别出后门攻击，其检测准确率超过90%，显示出对黑盒模型的强大适应性。
总的来说，后门攻击是AI安全领域的重要议题，它揭示了深度学习模型在追求精度的同时，对安全性不可忽视的挑战。持续的研究和创新防御策略是保障AI安全的基石。