29.2.5 Perzisztens hátsó ajtók túlélési stratégiái

Egy hátsó ajtó beültetése csupán a csata fele. Az igazi mestermunka az, hogy a backdoor túlélje a modell természetes életciklusát: a finomhangolást, a súlyok metszését (pruning), az analízist és az újratanítási ciklusokat. Egy törékeny, könnyen eltávolítható hátsó ajtó legfeljebb egy rövid távú taktikai győzelem. A stratégiai cél a perzisztencia, a láthatatlan és eltávolíthatatlan jelenlét.

Túlélési stratégiák a gyakorlatban

A perzisztencia eléréséhez a támadónak a modell belső működésének mélyebb szintjein kell gondolkodnia, és olyan hátsó ajtókat kell terveznie, amelyek a modell alapvető tulajdonságaiba ágyazódnak be.

1. Szórt (diffúz) hátsó ajtók

Ahelyett, hogy a hátsó ajtó logikáját néhány specifikus neuronba koncentrálnánk, a támadó eloszthatja azt több száz vagy ezer neuron között. Mindegyik neuron csak egy apró, önmagában jelentéktelen mértékben járul hozzá a hátsó ajtó működéséhez. A kioldó (trigger) aktiválásakor ezeknek az apró eltolódásoknak a kombinált hatása váltja ki a kívánt rosszindulatú viselkedést.

Előnye: Rendkívül ellenálló a pruninggal és a finomhangolással szemben. Egy-egy neuron eltávolítása vagy módosítása nem befolyásolja a hátsó ajtó működését, csupán minimálisan gyengíti azt. A detektálás is nehezebb, mert egyetlen neuron sem mutat kiugróan anomális viselkedést.

2. Funkcionális beágyazás (Feature Entanglement)

Ez a technika a hátsó ajtót a modell egy legitim és fontos funkciójához köti. Például egy képfelismerő modellnél a hátsó ajtó logikáját összekapcsolhatjuk egy alapvető textúra (pl. a fa erezete) vagy egy általános forma (pl. egy kör) felismeréséért felelős neuroncsoporttal. Mivel a modell alapvető teljesítménye függ ezektől a neuronoktól, a finomhangolás valószínűleg nem fogja drasztikusan módosítani őket, mert az rontaná a modell általános pontosságát.

A támadó olyan trigger-adat párokat hoz létre, ahol a trigger egyben egy hasznos, általános jellemző is. Így a modell „megtanulja”, hogy a trigger jelenléte fontos, és megerősíti a hozzá kapcsolódó súlyokat a normál tanítási folyamat során.

3. Pruning-rezisztens neuronok létrehozása

A metszési algoritmusok általában a neuronok „fontossága” alapján döntenek. Ez a fontosság gyakran a neuron aktivációs magnitúdóján vagy a kimeneti súlyok nagyságán alapul. A támadó mesterségesen „fontossá” teheti a hátsó ajtóhoz tartozó neuronokat.

Ezt úgy érheti el, hogy a mérgezett adathalmazban a triggerrel ellátott minták mellett olyan legitim mintákat is elhelyez, amelyek szándékosan aktiválják ezeket a specifikus neuronokat. Így a neuronok a normál működés során is aktívak lesznek, elkerülve, hogy a pruning algoritmusok alacsony fontosságúnak ítéljék és eltávolítsák őket.

# Pszeudokód a pruning-rezisztencia növelésére
# A cél: a `backdoor_neuron` "fontosnak" tűnjön

def create_poisoned_data(clean_sample, trigger):
 # 1. Normál mérgezett minta a backdoor aktiválásához
 poisoned_sample_1 = apply_trigger(clean_sample, trigger)
 label_1 = "rosszindulatú_címke"

 # 2. Minta a backdoor neuron "fontosságának" növelésére
 # Olyan mintát választunk, ami természetesen is aktiválja a célneuront
 # Például egy "macska" kép, ha a neuron a szőr textúrájára érzékeny
 important_feature_sample = find_sample_activating_neuron(backdoor_neuron)
 # Ezt a mintát a helyes címkével látjuk el, hogy ne keltsen gyanút
 label_2 = "helyes_címke" # pl. "macska"

 # A tanító adathalmazba mindkét minta bekerül
 return [(poisoned_sample_1, label_1), (important_feature_sample, label_2)]

4. Adaptív és polimorf triggerek

A statikus, mindig ugyanolyan trigger (pl. egy adott pixelminta) előbb-utóbb detektálható. A fejlettebb hátsó ajtók dinamikus triggereket használnak, amelyek időben vagy kontextusfüggően változnak. Például:

• Időalapú trigger: A hátsó ajtó csak minden hónap első hétfőjén aktív.
• Külső forrástól függő trigger: A trigger egy adott weboldalról, blokklánc-tranzakcióból vagy akár egy Twitter-fiókból származó rejtett jel. A modell inputjába kell csempészni egy olyan adatot, ami ezt a jelet tartalmazza.
• Kompozit trigger: A hátsó ajtó csak akkor aktiválódik, ha több, látszólag egymástól független feltétel egyszerre teljesül az inputban.

Ezek a módszerek a detektálást teszik rendkívül nehézzé, mivel a modell viselkedése a legtöbb tesztelési esetben teljesen normális.