バックドア防御2026/10/16arXiv:2610.23589

SemPurify: 意味情報を考慮したブラックボックスバックドア防御のためのデータ浄化

SemPurify: Semantics-Aware Data Purification for Black-box Backdoor Defense

画像変換でバックドアを破壊しつつ、低次・高次の意味情報をT2Iモデルで復元に用いることで、視覚・意味情報を保ちながらバックドアを除去するブラックボックス防御手法を提案した。

詳しい要約

1. どんなもの？

- 黒箱設定のbackdoor攻撃に対するデータ浄化(purification)防御フレームワーク SemPurify の提案。 - 学習データ中のpoisoned samplesに埋め込まれたtriggerを、画像変換と復元によって無効化する枠組み。 - 画像変換でtriggerパターンを破壊し、その後text-to-image (T2I) モデルで画像を復元する二段構え。 - 復元時にmulti-level semantics(low-level semantic embeddingsとhigh-level image tags)を明示的に利用する点が特徴。 - 対象は分類モデル、CLIP-style encoders、生成モデルなど複数のbackdoorシナリオ。

2. 先行研究と比べてどこがすごい？

- 既存のpurification-based defensesはblurring等の画像変換でtriggerを乱すが、画像品質を劣化させやすい。 - diffusion models等の高度なrestorationを用いても、視覚情報やsemantic情報を変えてしまい下流タスクのutilityを下げる問題があった。 - SemPurifyはsemantics-awareな復元を導入し、backdoor除去とsemantic情報保持の両立を狙う点が先行研究と異なる。 - 著者らはblack-box backdoor defense向けの初のsemantics-aware data purification frameworkと位置づけている。

3. 技術・手法の肝は？

- まず画像変換によってtriggerパターンを破壊する(具体的な変換手法は要旨からは不明)。 - 変換後のサンプルをT2Iフレームワークで復元する際、multi-level semanticsを条件として利用。 - low-level semantic embeddings: 視覚的な細部保持に関与。 - high-level image tags: 高次の意味情報を保持するために使用。 - これらのsemantic情報がT2Iモデルのrefineを導き、復元中のvisual detailsとsemantic informationの保持を助ける。 - 全体としてblack-box前提のデータ浄化パイプラインを構成。

4. どうやって有効だと検証した？

- 複数のbackdoorシナリオで広範な実験を実施。 - 対象はclassification models、CLIP-style encoders、generative models。 - 結果として、SemPurifyがbackdoorを確実に除去しつつ、下流タスク向けのsemantic情報を効果的に保持することを示した。 - 具体的なデータセット名・攻撃名・評価指標は要旨からは不明。

5. 議論はある？

- 画像変換とT2I復元の組合せにより、従来のblurringやdiffusion-based restorationが抱える画質・semantic劣化の課題を緩和できると主張。 - 一方、変換手法の詳細、T2Iモデルの選択依存性、計算コスト、black-box前提での限界については要旨からは不明。 - 多様なモデル種別で有効性を示すが、未知のtriggerや適応的攻撃への頑健性は要旨からは不明。

6. 次に読むべき論文は？

- 要旨で比較対象として言及される既存のpurification-based defenses(blurring等の画像変換)およびdiffusion modelsを用いたrestoration手法。 - 関連するbackdoor attackおよびbackdoor defenseの代表的文献(要旨では個別名は挙げられていない)。 - text-to-image (T2I) フレームワークおよびCLIP-style encodersに関する基礎文献。 - 具体的な論文名は要旨からは不明。

※ AIが要旨から生成した要約です。正確性は原文をご確認ください。

著者: Jiawei Yu, Syed Irfan Ali Meerza, Yi Wu, Amir Sadovnik, Jian Liu

分類: cs.CV

原文アブストラクト

Backdoor attacks have emerged as a critical security threat in machine learning, where adversaries embed triggers within poisoned training samples to manipulate a model's predictions on targeted inputs while leaving its general behavior unaffected. This stealthy nature makes backdoor attacks difficult to detect, as the model functions normally until activated by a specific malicious trigger. Current purification-based defenses use image transformations (e.g., blurring) to disrupt trigger patterns but often degrade image quality. Even with advanced restoration techniques like diffusion models, these approaches can still alter visual or semantic information, reducing utility for downstream tasks. To address this, we propose the first semantics-aware data purification framework for black-box backdoor defense, SemPurify, which explicitly incorporates multi-level semantics (i.e., low-level semantic embeddings and high-level image tags) within a text-to-image (T2I) framework to guide image restoration during purification. Using this semantic information, the T2I model subsequently refines the transformed samples, helping preserve visual details and semantic information during restoration. Extensive experiments spanning multiple backdoor scenarios, i.e., classification models, CLIP-style encoders, and generative models, demonstrate that SemPurify reliably removes backdoors while effectively preserving semantic information for downstream tasks.

arXivで原文を読む →arXiv概要ページ

← 論文一覧