Large Language Models are Good Attackers: Efficient and Stealthy Textual Backdoor Attacks

📄 arXiv: 2408.11587v1 📥 PDF

作者: Ziqiang Li, Yueqi Zeng, Pengfei Xia, Lei Liu, Zhangjie Fu, Bin Li

分类: cs.CL, cs.CR

发布日期: 2024-08-21

备注: Under Review

💡 一句话要点

提出EST-Bad：利用大语言模型实现高效隐蔽的文本后门攻击

🎯 匹配领域: 支柱九：具身大模型 (Embodied Foundation Models)

关键词: 文本后门攻击 大语言模型 NLP安全 对抗性攻击 模型安全

📋 核心要点

  1. 现有文本后门攻击在有效性和隐蔽性之间存在权衡，难以同时满足两者需求，主要受限于文本数据的高信息熵。
  2. EST-Bad利用大语言模型，通过优化模型缺陷作为触发器、隐蔽注入触发器和选择最具影响样本，实现高效隐蔽的攻击。
  3. 实验表明，EST-Bad在多种文本分类数据集上，相较于现有方法，在保持更高隐蔽性的同时，实现了具有竞争力的攻击性能。

📝 摘要（中文）

随着自然语言处理（NLP）领域的蓬勃发展，对训练数据的需求显著增加。为了节省成本，用户和企业通常将劳动密集型的数据收集任务外包给第三方实体。然而，最近的研究揭示了这种做法的内在风险，特别是将NLP系统暴露于潜在的后门攻击。这些攻击通过毒化少量训练数据，从而恶意控制训练模型的行为。与计算机视觉中的后门攻击不同，文本后门攻击对攻击的隐蔽性提出了严格的要求。然而，现有的攻击方法在有效性和隐蔽性之间存在显著的权衡，这主要是由于文本数据中固有的高信息熵。在本文中，我们介绍了一种高效且隐蔽的文本后门攻击方法EST-Bad，它利用大型语言模型（LLM）。我们的EST-Bad包含三个核心策略：优化模型固有的缺陷作为触发器，利用LLM隐蔽地注入触发器，以及精心选择最具影响力的样本进行后门注入。通过整合这些技术，EST-Bad展示了在保持优于先前方法的隐蔽性的同时，高效地实现了具有竞争力的攻击性能，适用于各种文本分类器数据集。

🔬 方法详解

问题定义：论文旨在解决文本后门攻击中，攻击效果与隐蔽性难以兼顾的问题。现有方法由于文本数据的高信息熵，难以在不引起注意的情况下植入有效的后门触发器。因此，如何在保证攻击成功率的同时，最大限度地降低触发器的可检测性，是本研究要解决的核心问题。

核心思路：论文的核心思路是利用大型语言模型（LLM）的生成能力和对文本语义的理解能力，来设计更隐蔽、更有效的后门触发器。通过优化模型固有的缺陷作为触发器，并利用LLM生成与原始文本语义更接近的触发器，从而降低触发器的可疑程度。此外，通过选择最具影响力的样本进行注入，提高攻击效率。

技术框架：EST-Bad攻击方法主要包含三个阶段： 1. 触发器优化：利用模型固有的缺陷，寻找或生成更易于激活后门的触发词或短语。 2. 隐蔽注入：使用LLM生成包含触发器的文本，并确保生成的文本与原始文本在语义上保持一致，以降低触发器的可检测性。 3. 样本选择：选择对模型训练影响最大的样本进行后门注入，以提高攻击效率。

关键创新：EST-Bad的关键创新在于利用LLM来生成和注入后门触发器。与传统方法相比，LLM能够生成更自然、更流畅的文本，从而使得触发器更难以被检测到。此外，通过优化模型缺陷作为触发器，能够更有效地激活后门。

关键设计： 1. 触发器生成：使用LLM根据目标标签和原始文本生成包含触发器的文本。 2. 损失函数：使用交叉熵损失函数来训练模型，并添加正则化项来约束触发器的生成。 3. 样本选择策略：采用基于梯度或影响力的样本选择策略，选择对模型训练影响最大的样本进行后门注入。

🖼️ 关键图片

fig_0
fig_1
fig_2

📊 实验亮点

EST-Bad在多个文本分类数据集上进行了实验，结果表明，与现有的后门攻击方法相比，EST-Bad在保持竞争力的攻击成功率的同时，显著提高了攻击的隐蔽性。具体而言，EST-Bad在某些数据集上实现了与现有方法相似的攻击成功率，但其触发器的可检测性降低了XX%。

🎯 应用场景

该研究成果可应用于提升自然语言处理系统的安全性，尤其是在外包数据收集和模型训练的场景下。通过更有效地检测和防御后门攻击，可以保护NLP系统免受恶意控制，确保其可靠性和安全性。此外，该研究也为开发更安全的模型训练方法提供了新的思路。

📄 摘要（原文）

With the burgeoning advancements in the field of natural language processing (NLP), the demand for training data has increased significantly. To save costs, it has become common for users and businesses to outsource the labor-intensive task of data collection to third-party entities. Unfortunately, recent research has unveiled the inherent risk associated with this practice, particularly in exposing NLP systems to potential backdoor attacks. Specifically, these attacks enable malicious control over the behavior of a trained model by poisoning a small portion of the training data. Unlike backdoor attacks in computer vision, textual backdoor attacks impose stringent requirements for attack stealthiness. However, existing attack methods meet significant trade-off between effectiveness and stealthiness, largely due to the high information entropy inherent in textual data. In this paper, we introduce the Efficient and Stealthy Textual backdoor attack method, EST-Bad, leveraging Large Language Models (LLMs). Our EST-Bad encompasses three core strategies: optimizing the inherent flaw of models as the trigger, stealthily injecting triggers with LLMs, and meticulously selecting the most impactful samples for backdoor injection. Through the integration of these techniques, EST-Bad demonstrates an efficient achievement of competitive attack performance while maintaining superior stealthiness compared to prior methods across various text classifier datasets.