How to Train a Backdoor-Robust Model on a Poisoned Dataset without Auxiliary Data?

由于后门攻击对深度神经网络(DNN)的安全构成了巨大的威胁，因此已经引起了学术界和工业界的广泛关注。大部分现有的方法提出通过不同的策略污染训练数据集来进行后门攻击，因此在防御后门攻击的背景下，识别被污染的样本，然后在不可靠的数据集上训练一个干净的模型是至关重要的。虽然已经提出了大量的后门对抗研究，但它们的固有弱点使它们在实际场景中受到限制，例如需要足够的干净样本，对各种攻击条件下的防御性能不稳定，对自适应攻击的防御性能较差等。因此，在本文中，我们致力于克服上述限制，并提出一种更实用的后门防御方法。具体而言，我们首先探讨了潜在扰动与后门触发器之间的内在关系，理论分析和实验结果表明，被污染的样本对扰动表现出更强的鲁棒性。然后，基于我们的关键探索，我们介绍了AdvrBD，一种基于对抗扰动的强鲁棒后门防御框架，它可以有效地识别被污染的样本并在被污染的数据集上训练一个干净的模型。具体而言，我们的AdvrBD消除了任何干净样本或关于被污染数据集的知识(例如污染比例)的要求，这显著提高了在实际场景中的实用性。

本论文旨在解决深度神经网络（DNN）面临的后门攻击问题，提出一种更加实用的后门防御方法。

论文通过探索污染样本和后门触发器之间的关系，提出了一种基于对抗扰动的后门防御框架AdvrBD，该框架可以有效地识别被污染的样本并在污染的数据集上训练出一个干净的模型。

论文的亮点包括：1. 实验结果表明，被污染的样本比干净的样本更加鲁棒，可以用来识别并防御后门攻击；2. AdvrBD不需要任何干净样本或关于污染数据集的知识，提高了在实际场景中的实用性；3. 论文使用了多个数据集进行实验，并且开源了代码。

最近在后门攻击防御领域的相关研究包括：1. DEFENSE-GAN:防御生成对抗网络；2. STRIP:一种用于检测后门攻击的算法；3. Fine-Pruning:一种基于剪枝的后门防御方法。