訓練後・デプロイ段階の防御（Post-training / Deployment Stage Defense）

訓練後段階では、潜在的にバックドア化された訓練済みモデルと（オプションで）少量のクリーンデータを用いて、バックドアの検出や除去を行う。デプロイ段階では、量子化モデルへの重み攻撃に対する耐性強化や検証を行う。

バックドア検出（Backdoor Detection）¶

モデルにバックドアが存在するかどうかを判定する。

特徴ベースの検出¶

重みベースの検出¶

目標ラベルの予測（Target Label Prediction）¶

バックドアが検出された場合に、攻撃者が狙った目標ラベルを特定する。

特徴ベース¶

重みベース¶

バックドアの除去（Backdoor Removal）¶

バックドアを検出した後、モデルの有用性を保ちつつバックドアを除去する。

構造修正（プルーニング）ベース¶

バックドアに関連するニューロンを特定して除去する。

ファインチューニングベース¶

トリガーの逆工学と組み合わせてモデルを再学習する。

• $m$: トリガーのマスク

• $\Delta$: 逆転されたトリガーパターン

重み攻撃への防御（Weight Attack Defense）¶

重み攻撃（ビットフリップ攻撃）は、デプロイされたモデルの量子化された重みパラメータを直接改変する攻撃である。

モデル強化¶

フィンガープリント検証¶

参考文献¶

• Wu et al. (2023). Defenses in Adversarial Machine Learning: A Survey. Section V.

• Wang et al. (2019). Neural Cleanse: Identifying and Mitigating Backdoor Attacks in Neural Networks.

• Liu et al. (2018). Fine-Pruning: Defending Against Backdooring Attacks on Deep Neural Networks.

• Kolouri et al. (2020). Universal Litmus Patterns: Revealing Backdoor Attacks in CNNs.