Das Generalisierungsproblem von Backdoors
Data-Poisoning-Attacken auf Machine-Learning-Modelle sind eine etablierte Bedrohung. Bisherige Forschung konzentriert sich aber hauptsächlich auf Szenarien, in denen der während des Trainings verwendete Trigger (das malicious Pattern) auch zur Inferenzzeit eingesetzt wird. Ein neuer arXiv-Paper identifiziert eine kritische Lücke: Was passiert, wenn der Angreifer den Trigger zwischen Training und Inferenz wechselt?
Genau diese Frage beantwortet "Lilith: Backdoor Generalization under Training-Inference Trigger Shift". Die Forschung zeigt, dass ein Backdoor, der mit einem spezifischen Trigger trainiert wurde, auf eine ganze Familie von Triggern verallgemeinern kann – selbst wenn diese Family nie im Training gesehen wurde.
Lilith: Das Anchor-to-Family Framework
Das vorgestellte Framework funktioniert als Black-Box-Ansatz in zwei Schritten:
-
Anchor-Phase: Ein einzelner Trainings-Trigger erzeugt eine kompakte Ziel-seitige Vulnerabilität. Der Angreifer nutzt dafür nur disjunkte Surrogate-Ressourcen – also Daten und Systeme, die vom Victim-Modell unabhängig sind.
-
Family-Konstruktion: Basierend auf der Anchor-Vulnerabilität wird eine beschränkte Trigger-Family für die Inferenzzeit konstruiert. Diese Familie bewahrt die durch den Anchor induzierten Representation-Geometrien, wodurch die Attacke auch mit neuen, ungesehenen Triggern funktioniert.
Zentrale Erkenntnisse
Die Mechanik dieser Generalisierung lässt sich über zwei Konzepte verstehen:
- Anchor Clearance: Wie effektiv der ursprüngliche Trigger eine Vulnerability etabliert
- Family Reach: Wie weit die Trigger-Family vom Anker abweichen kann und dennoch funktioniert
Die Forschung leitet ausreichende Bedingungen her, unter denen die Familie-weise Ziel-Erkennung unter lokaler Regularität und beschränkter Surrogate-Victim-Diskrepanz erhalten bleibt.
Praktische Auswirkungen
Experimente zeigen, dass Lilith hohe Erfolgsraten bei Trigger-Familien erreicht – bei gleichzeitig minimaler Utility-Degradation. Das heißt: Das angegriffene Modell funktioniert für legitime Eingaben weiterhin normal.
Ein wichtiger Befund: Die Family-Activation hängt von Representation Alignment ab, nicht von spezifischen Trigger-Mustern. Das offenbart eine grundlegendere Sicherheitslücke als bisherige Exact-Trigger-Evaluationen abdeckten.
Implikationen für die Sicherheit
Dieser Ansatz unterläuft eine zentrale Annahme in bisherigen Defense-Evaluationen: dass Trigger-Variationen oder Trigger-Detection ausreichen. Lilith zeigt, dass Backdoors deutlich robuster und flexibler sind als gedacht.
Für ML-Services, die auf externe Daten oder Third-Party-Provider angewiesen sind, verschärft sich das Risiko erheblich. Die Forschung verdeutlicht, dass Backdoor-Sicherheit nicht nur beim Training, sondern auch bei der Deployment-Planung berücksichtigt werden muss.