后门防御方法、终端设备及计算机可读存储介质

1.本发明公开了一种后门防御方法、终端设备及计算机可读存储介质，属于人工智能技术领域。


背景技术：

2.随着深度神经网络(deep neural networks，dnn)越来越多地应用于人脸识别、自动驾驶和医学图像处理等安全关键任务，dnn所表现出的威胁受到了广泛的关注，其中尤以实用和隐蔽性强的后门攻击对dnn的威胁较强。后门攻击的攻击者将预定义的触发器植入数据集的一小部分，并误导在此类数据集上训练的dnn对良性输入表现正常，同时将带有触发器的输入分类到目标类中，从而降低dnn的分类准确性。
3.为了检测或减轻后门攻击对dnn的影响，现有技术通常是采用训练阶段防御和训练后防御的方法进行后门防御。其中训练阶段的防御考虑给防御者一个带有后门的数据集训练模型，防御者可以利用训练过程中良性和有毒图像之间的不同行为逃避攻击，例如损失下降速度的差别等。大多数防御方法属于训练后防御，防御者被赋予一个后门模型并且无法访问完整的训练数据集。他们需要通过使用一小部分良性样本来消除后门威胁，并保持模型的效用。
4.上述训练后防御的方法大致可以分为基于剪枝的防御方法和基于微调的防御方法。其中基于剪枝的防御方法假设有毒样本和良性样本具有不同的激活路径，通过修剪良性数据的失活神经元然后微调修剪后的模型来移除后门。但它是以牺牲原始任务的准确性为代价的，模型分类效果准确率仍旧有所降低。此外，修剪的有效性取决于网络结构，局限较大。基于微调的防御方法借鉴了通用对抗性扰动的思想，可以适度恢复模型的效用，但防御的效果却很不稳定。


技术实现要素：

5.本技术的目的在于，提供一种后门防御方法、终端设备及计算机可读存储介质，以解决现有技术中基于微调的防御方法存在的防御效果不稳定的技术问题。
6.本发明的第一方面提供了一种后门防御方法，包括：
7.步骤1、根据预设扰动参数和注毒模型在第t次迭代的权重及损失函数，确定待添加的扰动；
8.步骤2、将所述待添加的扰动输入至所述注毒模型，并确定添加扰动后的注毒模型在第t+1次迭代的损失函数和梯度；
9.步骤3、根据所述注毒模型在第t+1次迭代的损失函数和梯度确定第t+1次迭代的权重，重复步骤1至步骤3，获得符合预设条件的净化模型，从而实现后门防御。
10.优选地，所述扰动参数为扰动半径。
11.优选地，根据所述注毒模型在第t+1次迭代的损失函数和梯度确定第t+1次迭代的权重，具体为：
12.根据迭代步长、第t+1次迭代的损失函数和梯度确定权重迭代变量；
13.将所述注毒模型第t次迭代的权重与所述迭代变量的差值作为第t+1次迭代的权重。
14.优选地，所述损失函数为交叉熵损失函数。
15.优选地，所述预设条件为迭代次数达到预设阈值。
16.本发明的第二方面提供了一种终端设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现上述方法的步骤。
17.本发明的第三方面提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现上述方法的步骤。
18.本发明的后门防御方法、终端设备及计算机可读存储介质，相较于现有技术，具有如下有益效果：
19.1)本发明基于后门相关神经元通常具有更大的范数这一发现，提出了一种通过锐度感知最小化(sharpness-aware minimization，sam)来指导微调的对抗后门防御算法，其使用的锐度感知算法能够定位并扰动和后门相关的神经元，抑制模型中后门相关神经元，从而帮助注毒模型中后门的去除、鲁棒性高、防御效果稳定。
20.2)本发明提出的方法能够极大程度的保护现有模型的效能，即不破坏现有模型在正常输入上的表现。
21.3)本发明的方法能够广泛的适用于后门有毒模型的纯化，可以作为一种底层技术辅助现有后门防御方法，即插即用，达到最大程度移除后门的同时还可以保护模型的效能的作用。
附图说明
22.图1为本发明实施例中后门防御方法的流程示意图；
23.图2为利用本发明实施例中后门防御方法与现有基于微调的防御方法进行防御所得结果对比图，其中(a)至(c)分别为利用现有基于微调防御方法微调后模型的t-sne可视化图、微调后模型参数的范数变化情况图和经微调计算的神经元梯度的范数变化情况图；图(d)至(f)分别为利用本发明后门防御方法防御后模型的t-sne可视化图、防御后模型参数的范数变化情况图和经防御计算的神经元梯度的范数变化情况图。
具体实施方式
24.以下描述中，为了说明而不是为了限定，提出了诸如特定系统结构、技术之类的具体细节，以便透彻理解本发明实施例。然而，本领域的技术人员应当清楚，在没有这些具体细节的其它实施例中也可以实现本发明。在其它情况中，省略对众所周知的系统、装置、电路以及方法的详细说明，以免不必要的细节妨碍本发明的描述。
25.现有技术中基于微调的防御方法存在防御效果不稳定、防御失败的原因是模型微调是一种对参数进行无差别修改的简单方式，而当前的模型已经处于一个局部最小值解，因此微调并不能较大程度上修改模型参数，进而后门移除失败。本发明从神经元的角度观察后门模型，发现对后门具有更大贡献的神经元和普通的神经元相比，其具有更大的范数，
这也是后门成功的一个解释，即后门的特征压倒了正常的特征表达。本发明基于这一发现，提出了一种压制后门相关神经元，并保护模型效用的方法，具体为通过锐度感知最小化指导微调的对抗后门防御方法。
26.该方法防御者拿到一个注毒模型fw和一小部分的干净样本集d
benign
。通过公式(1)的最大最小化目标函数寻求一个平滑解：
[0027][0028]
式中，为对参数进行扰动后的交叉熵损失函数，w为权重，∈为扰动，为损失函数，x为干净样本，y为干净样本对应的标签，ρ＞0是一个常数，表示扰动半径。即该方法通过最小化在参数的邻域内扰动的最大损失来寻求一个具有均匀低损失的最小化解。通过这种方式，网络能够具有更好的泛化性。上述公式(1)中的其中，w1为第一次迭代时模型的权重，w2为第二次迭代时模型的权重，本发明将tw作用于扰动参数的范围，即对于那些权重大的参数，其平滑性的要求更高。通过锐度感知最小化(sharpness-aware minimization，sam)，模型获得动力逃出原来的解，通过自适应的参数扰动范围，能够强制网络对于权重更大的参数的扰动更大，从而破坏掉后门。
[0029]
对公式(1)优化求解具体是通过内部最大化和外部最小化的交替更新完成的。
[0030]
其中内部最大化为：通过求解公式(2)的子问题找到扰动：
[0031][0032]
最大化的方向即为参数的对抗扰动方向。通过一阶泰勒展开和线性约束的线性优化，可以得到该问题的近似解为：
[0033][0034]
式中，∈
t+1
为第t+1次迭代中的扰动，ρ为扰动半径、为由注毒模型第t次迭代的权重w
t
所组成的权重矩阵，为注毒模型在权重为w
t
时的损失函数，为损失函数的梯度。
[0035]
其中外部最小化为：将内部得到的扰动代入原模型，得到公式(4)，可以使用sgd等优化器直接求解公式(4)：
[0036][0037]
然后获取添加扰动后的注毒模型的损失函数的梯度，利用梯度更新注毒模型的权重，得到净化模型。
[0038]
利用梯度更新注毒模型的权重，具体为使用公式(5)进行更新：
[0039]
[0040]
式中，w
t+1
为第t+1次迭代的权重，即为更新后的权重，w
t
为第t次迭代的权重，t＝0,
…
，t-1，t为预设迭代次数，η为步长，为添加扰动后的注毒模型的损失函数的梯度，为添加扰动后的注毒模型的损失函数，∈
t+1
为第t+1次迭代中的扰动。
[0041]
综上，本发明的后门防御方法的整体流程如图1所示，包括：
[0042]
步骤1、根据预设扰动参数和注毒模型在第t次迭代的权重w
t
及损失函数确定待添加的扰动∈
t+1
。
[0043]
本发明实施例中的扰动参数包括扰动半径、扰动初始角和扰动增量，本发明使用扰动半径。
[0044]
其中损失函数是将干净样本输入至注毒模型获得的。
[0045]
本发明实施例根据下述公式确定待添加的扰动∈
t+1
：
[0046][0047]
式中，∈
t+1
为待添加的扰动，ρ为扰动半径、为由注毒模型第t次迭代的权重w
t
所组成的权重矩阵，为注毒模型在权重为w
t
时的损失函数，为损失函数的梯度。
[0048]
步骤2、将待添加的扰动∈
t+1
输入至注毒模型，并确定添加扰动后的注毒模型在第t+1次迭代的损失函数和梯度
[0049]
步骤3、根据注毒模型在第t+1次迭代的损失函数和梯度确定第t+1次迭代的权重，重复步骤1至步骤3，获得符合预设条件的净化模型，从而实现后门防御。
[0050]
其中，根据注毒模型在第t+1次迭代的损失函数和梯度确定第t+1次迭代的权重，具体为：
[0051]
根据迭代步长η、第t+1次迭代的损失函数和梯度确定权重迭代变量；
[0052]
将注毒模型第t次迭代的权重与迭代变量的差值作为第t+1次迭代的权重。
[0053]
具体地，根据下式确定第t+1次迭代的权重：
[0054][0055]
式中，ω
t+1
为第t+1次迭代的权重，ω
t
为第t次迭代的权重，η为步长，为添加扰动后的注毒模型的损失函数的梯度，为添加扰动后的注毒模型的损失函数，∈
t+1
为待添加的扰动。
[0056]
本发明中损失函数可为交叉熵损失函数、最大裕度损失函数等，优选使用交叉熵损失函数；进一步地，上述预设条件为迭代次数达到预设阈值。
[0057]
本发明可以直接对模型进行微调，微调的模型可以达到后门去除并保持模型效能的效果，只需要一次端到端的训练，不需要对底层网络架构进行任何修改，因此技术简洁易用，可以用于一般模型的后门移除，也可以和现有的后门防御的方法结合，例如基于剪枝的方法。具体流程为，剪枝的方法先对模型进行剪枝，达到后门的去除，再利用该项技术对模
型进行微调，达到效用的恢复。
[0058]
本发明利用锐度感知最小化帮助模型逃离当前解，并利用一个可适应的参数扰动范围增强后门相关神经元的扰动，因此可以在保留模型效用的同时去除后门的影响。
[0059]
本发明的第二方面提供了一种终端设备，包括存储器、处理器以及存储在存储器中并可在处理器上运行的计算机程序，处理器执行计算机程序时实现上述方法的步骤。
[0060]
本发明的第三方面提供了一种计算机可读存储介质，计算机可读存储介质存储有计算机程序，计算机程序被处理器执行时实现上述方法的步骤。
[0061]
将本发明通过锐度感知最小化指导微调的对抗后门防御方法与现有技术中基于微调的后门防御方法进行对比，所得结果如图2所示，图2中(a)至(c)分别为利用现有基于微调防御方法微调后模型的t-sne可视化图、微调后模型参数的范数变化情况图和经微调计算的神经元梯度的范数变化情况图；图(d)至(f)分别为利用本发明后门防御方法防御后模型的t-sne可视化图、防御后模型参数的范数变化情况图和经防御计算的神经元梯度的范数变化情况图。图(b)和图(e)中的横轴为依据原注毒模型的神经元权重范数进行从大到小排列后的神经元索引，纵轴为索引对应的神经元的权重范数，从图2中的(b)可以看出神经元权重变化并不大，从(e)可以看出神经元权重越大，其变化量越大；图(c)和图(f)中的横坐标为依据tac指标从小到大排列的神经元指数，纵轴为梯度范数。其中tac为后门神经元相关性指标，tac越大表示相关性越高。从(c)和图(f)可以看出，和后门越相关的神经元，其梯度也越大。这表明本发明的方法针对性的改变了后门相关的神经元。
[0062]
本发明从神经元级别的角度提出了微调失败原因的见解。具体来说，我们探索了网络神经元的范数与其对后门攻击的贡献之间的关系，发现具有较大范数的神经元对后门攻击的贡献更大。利用这一观察结果，本发明提出了一种新的微调技术，称为ft-sam，它采用锐度感知最小化来扰动后门相关神经元，可以显着降低后门相关神经元的权重范数。效果上来看本发明的方法消除了注入的后门，并提高了模型的鲁棒性，同时保持了模型的高精度。该方法也可以和现有的后门防御技术相结合，例如先剪枝再使用本技术。总之，本发明的方法是一种很有前途的防御后门攻击的策略，对指导鲁棒、安全的机器学习系统设计具有重要意义。
[0063]
以上所述，仅是本技术的几个实施例，并非对本技术做任何形式的限制，虽然本技术以较佳实施例揭示如上，然而并非用以限制本技术，任何熟悉本专业的技术人员，在不脱离本技术技术方案的范围内，利用上述揭示的技术内容做出些许的变动或修饰均等同于等效实施案例，均属于技术方案范围内。

技术特征：
1.一种后门防御方法，其特征在于，包括：步骤1、根据预设扰动参数和注毒模型在第t次迭代的权重及损失函数，确定待添加的扰动；步骤2、将所述待添加的扰动输入至所述注毒模型，并确定添加扰动后的注毒模型在第t+1次迭代的损失函数和梯度；步骤3、根据所述注毒模型在第t+1次迭代的损失函数和梯度确定第t+1次迭代的权重，重复步骤1至步骤3，获得符合预设条件的净化模型，从而实现后门防御。2.根据权利要求1所述的后门防御方法，其特征在于，所述扰动参数为扰动半径。3.根据权利要求1所述的后门防御方法，其特征在于，根据所述注毒模型在第t+1次迭代的损失函数和梯度确定第t+1次迭代的权重，具体为：根据迭代步长、第t+1次迭代的损失函数和梯度确定权重迭代变量；将所述注毒模型第t次迭代的权重与所述迭代变量的差值作为第t+1次迭代的权重。4.根据权利要求1-3任一项所述的后门防御方法，其特征在于，所述损失函数为交叉熵损失函数。5.根据权利要求1-3任一项所述的后门防御方法，其特征在于，所述预设条件为迭代次数达到预设阈值。6.一种终端设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至5任一项所述方法的步骤。7.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至5任一项所述方法的步骤。

技术总结
本发明公开了一种后门防御方法、终端设备及计算机可读存储介质，其中方法包括：步骤1、根据预设扰动参数和注毒模型在第t次迭代的权重及损失函数，确定待添加的扰动；步骤2、将待添加的扰动输入至注毒模型，并确定添加扰动后的注毒模型在第t+1次迭代的损失函数和梯度；步骤3、根据注毒模型在第t+1次迭代的损失函数和梯度确定第t+1次迭代的权重，重复步骤1至步骤3，获得符合预设条件的净化模型，从而实现后门防御。本发明能够定位并扰动和后门相关的神经元，抑制模型中后门相关神经元，在去除注毒模型中后门的同时保护现有模型的效能，鲁棒性高、防御效果稳定。防御效果稳定。防御效果稳定。


技术研发人员：吴保元 朱明丽 魏少魁 沈力 樊艳波
受保护的技术使用者：香港中文大学（深圳）
技术研发日：2023.04.13
技术公布日：2023/8/14