Abstract-Deep-lärande modeller har uppnått hög prestanda på många uppgifter, och har därmed tillämpats på många säkerhetskritiska scenarier. Till exempel, djupt lärande-baserade ansiktsigenkänningssystem har använts för att autentisera användare för att få tillgång till många säkerhetskänsliga program som betalningsappar. Sådan användning av djupinlärningssystem ger motståndarna tillräckliga incitament för att utföra attacker mot dessa system för sina kontradiktoriska syften. I detta arbete överväger vi en ny typ av attacker, kallas bakdörrar attacker, där angriparens mål är att skapa en bakdörr till ett lärande-baserat autentiseringssystem, så att han enkelt kan kringgå systemet genom att utnyttja bakdörren. I synnerhet syftar motståndaren till att skapa bakdörrar fall, så att offer lärande systemet kommer att vilseledas att klassificera bakdörrar fall som en målmärkning som anges av motståndaren. I synnerhet studerar vi bakdörrar förgiftning attacker, som uppnår bakdörrar attacker med hjälp av förgiftningsstrategier. Det vill säga, angriparen injicerar förgiftningsprover i träningen för att uppnå sitt kontradiktoriska mål. Olika från allt befintligt arbete, våra studerade förgiftningsstrategier kan tillämpas under en mycket svag hotmodell: (1) motståndaren har ingen kunskap om modellen och den utbildning som används av offret systemet; (2) angriparen får injicera endast en liten mängd förgiftning prover; (3) bakdörren nyckeln är svårt att märka även av människor för att uppnå smyg. Denna hotmodell är mer realistisk än de som antogs i tidigare arbete, och är lätt att genomföra för en angripare. Att tillfredsställa alla dessa begränsningar är utmanande, och vårt arbete är det första som visar genomförbarheten av bakdörrsförgiftningsattacker under en så svag hotmodell. Framför allt gör vi en utvärdering för att visa att en bakdörrsmotståndare endast kan injicera omkring 50 förgiftningsprover, samtidigt som man uppnår en anfallsfrekvens på över 90 procent. Vi är också det första arbetet med att visa att en dataförgiftningsattack kan skapa fysiskt genomförbara bakdörrar utan att röra vid träningsprocessen. Vårt arbete visar att bakdörrar förgiftning attacker utgör verkliga hot mot ett lärande system, och därmed belyser vikten av ytterligare utredning och föreslå försvarsstrategier mot dem.
På ett jämförbart sätt antar REF en svag och realistisk hotmodell som förutsätter att man inte känner till utbildningsuppgifterna och modellen.
Targeted Backdoor Attacks on Deep Learning Systems Using Data Poisoning
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science']}