Combinatorial Lock promete neutralizar backdoors com múltiplos gatilhos em redes neurais sem precisar retreinar o modelo
Pesquisadores propõem uma defesa treinamento-livre contra modelos comprometidos com vários tipos de gatilho de backdoor coexistindo no mesmo modelo — cenário que derrota as defesas atuais baseadas em desaprendizagem (unlearning). A técnica reduz a taxa de sucesso de ataques de quase 100% para dígitos únicos, preservando 97,8% da acurácia em dados limpos, com overhead de apenas 19-20% em implementações de hardware dedicado (ASIC/FPGA).
Ataques de backdoor multi-trigger são um cenário particularmente difícil de defender: em vez de um único padrão de gatilho fixo, o modelo comprometido responde a vários mecanismos heterogêneos simultaneamente — um patch visual, uma mistura de imagens, distorção geométrica e até gatilhos no domínio latente. Defesas tradicionais, que assumem um único mecanismo de ataque estático, simplesmente não enxergam os outros gatilhos quando neutralizam um deles. As defesas anteriores específicas para múltiplos gatilhos (combinações de desaprendizagem com fine-tuning, poda adversarial ou unlearning baseado em backdoor) exigem retreinar o modelo, o que é caro e perde eficácia quando a taxa de envenenamento é baixa.
A proposta Combinatorial Lock reformula o problema: em vez de tentar desaprender o backdoor, ela trata a identificação de múltiplos triggers como um problema combinatório sobre assinaturas binárias de ativação dos neurônios. O sistema combina duas peças — uma filtragem espectral anômala com portão, que só remove o subespaço malicioso de entradas já identificadas como anômalas, preservando entradas normais intactas, e uma assinatura combinatória comprimida por hash, verificada por um conjunto de detectores especializados, incluindo um detector dedicado a ataques compostos (múltiplos triggers ativos ao mesmo tempo). Como as regras de decisão final são operações inteiras e lógicas, a técnica é diretamente implementável em hardware, sem depender de uma rede neural adicional para decidir.
Os resultados, testados em seis arquiteturas (ResNet18, VGG16, MobileNet, AlexNet, ViT-Small e ViT-Base) com taxas de envenenamento de 1% a 10% e até nove gatilhos simultâneos, mostram queda da taxa de sucesso de ataque de valores próximos de 100% para dígitos únicos (0,1% no melhor caso), com apenas degradação gradual na acurácia em dados limpos (97,8% preservados no ponto de operação escolhido). Implementações em ASIC e FPGA confirmam viabilidade prática, com overhead de latência consistente de 19-20% nas arquiteturas avaliadas.
O valor prático está em oferecer uma defesa que não exige acesso a dados de treinamento nem retreinar o modelo — um requisito frequentemente inviável para quem recebe um modelo pré-treinado de terceiros e só pode inspecioná-lo em tempo de inferência. Sendo agnóstica ao tipo de gatilho (não precisa saber de antemão qual é o mecanismo usado), a abordagem é mais realista para cenários de cadeia de suprimentos de modelos, onde o defensor raramente sabe quais técnicas de backdoor um fornecedor malicioso ou comprometido pode ter usado.