NeurIPS 2024 Spotlight | 如何操縱時間序列預測結果？BackTime：全新的時間序列後門攻擊正規化

机器之心發表於2024-11-15

AIxiv專欄是機器之心釋出學術、技術內容的欄目。過去數年，機器之心AIxiv專欄接收報導了2000多篇內容，覆蓋全球各大高校與企業的頂級實驗室，有效促進了學術交流與傳播。如果您有優秀的工作想要分享，歡迎投稿或者聯絡報導。投稿郵箱：liyazhou@jiqizhixin.com；zhaoyunfeng@jiqizhixin.com

這篇文章獲選 Neurips 2024 Spotlight，作者均來自於伊利諾伊大學香檳分校計算機系。第一作者是博士生林嘯，指導老師是童行行教授。所在的 IDEA 實驗室的研究興趣涵蓋圖機器學習、可信機器學習、LLM 最佳化以及資料探勘等方面。

論文連結：https://arxiv.org/pdf/2410.02195
github 連結: https://github.com/xiaolin-cs/backtime
neurips 主頁: https://neurips.cc/virtual/2024/poster/95645

多變數時間序列（MTS）預測任務在現實世界中有著廣泛的應用，例如氣象預測、交通預測等。而深度學習模型在這一任務上展現了強大的預測能力。

然而，大量文獻表明，在分類任務中，深度學習模型非常容易被後門攻擊從而給出錯誤的分類結果。因此，自然的想到，當面對適用於時間序列預測的深度學習模型時，後門攻擊是否依然可以操縱預測結果？

為了回答這個問題，本文首次全面地定義了時間序列預測的後門攻擊正規化，並進而提供了對應的雙層最佳化數學模型。在此基礎上，本文提出了模型無關的 BackTime 攻擊方法，旨在透過改變時間依賴（temporal dependency）和跨變數依賴（inter-variable dependency）來影響被攻擊模型的預測結果。

實驗表明，透過 BackTime，攻擊者可以隱蔽地操縱預測模型，強制要求模型輸出任意形狀的預測結果。這種全新的攻擊正規化揭示了預測（迴歸）任務中深度學習訓練的潛在不安全性。

時間序列預測的後門攻擊正規化

傳統的後門攻擊針對影像 / 文字分類任務，無論是從資料特性到任務型別都和時間序列預測全然不同。所以傳統的後門攻擊無法適用於時間序列預測。因此，我們在此開創性地提出時間序列預測的後門攻擊目標，並進而列出時間預測後門攻擊的多條重要特性。

時間序列後門攻擊目標：被攻擊模型在面對乾淨輸入的時候提供正常的預測結果，但是如果輸入中包含了觸發器（trigger），那麼被攻擊模型就會輸出攻擊者預先定義的結果。這個攻擊者自定義的結果被稱為目標模式（target pattern）。

時間序列預測的後門攻擊特性：

實時性。在對 t 時刻進行攻擊的時候，觸發器形狀必須要在 t 時刻之前就預先決定。其原因是，時間序列預測只關心 “未知的未來”，而不關心 “已知的過去”，一旦時刻 t 到來，那麼它就變成 “已知的過去”，對這個時刻的攻擊也就毫無意義。
攻擊目標的約束性。由於迴歸任務沒有標籤，因此目標模式和觸發器一樣直接嵌入訓練集中。這就要求目標模式也滿足隱蔽性要求。
軟定位。預測任務的輸入是從訓練集中擷取的一部分時間視窗，因此，輸入可能只含有部分觸發器和目標模式。在這種情況下，如何定義輸入是否被攻擊是一個難點。