NeurIPS 2024 Spotlight | 如何操纵时间序列预测结果？BackTime：全新的时间序列后门攻击范式

AIxiv专栏是机器之心发布学术、技术内容的栏目。过去数年，机器之心AIxiv专栏接收报道了2000多篇内容，覆盖全球各大高校与企业的顶级实验室，有效促进了学术交流与传播。如果您有优秀的工作想要分享，欢迎投稿或者联系报道。投稿邮箱：liyazhou@jiqizhixin.com；zhaoyunfeng@jiqizhixin.com

• 论文链接：https://arxiv.org/pdf/2410.02195
• github 链接: https://github.com/xiaolin-cs/backtime
• neurips 主页: https://neurips.cc/virtual/2024/poster/95645

• 实时性。在对 t 时刻进行攻击的时候，触发器形状必须要在 t 时刻之前就预先决定。其原因是，时间序列预测只关心 “未知的未来”，而不关心 “已知的过去”，一旦时刻 t 到来，那么它就变成 “已知的过去”，对这个时刻的攻击也就毫无意义。
  
  
• 攻击目标的约束性。由于回归任务没有标签，因此目标模式和触发器一样直接嵌入训练集中。这就要求目标模式也满足隐蔽性要求。
  
  
• 软定位。预测任务的输入是从训练集中截取的一部分时间窗口，因此，输入可能只含有部分触发器和目标模式。在这种情况下，如何定义输入是否被攻击是一个难点。 

为了满足上述所有特性，论文作者提出了如下双层优化模型。攻击者将触发器 g 和目标模式 p 嵌入到训练集中，得到了被污染数据集。

因此，下层优化希望找出在被污染数据集上训练的局部最优模型，其参数为。而上层优化则更新嵌入在数据集 中的触发器 g，从而降低模型的预测结果和目标模式的差异。

其中，是对时刻 的软定位机制，衡量了时刻输入的被污染程度。具体来说，我们定义只有当输入中包含全部触发器，后门攻击才会起效。而在刚起效的时候攻击效果最强。随着未来中需要预测的目标模式长度逐渐降低，攻击效果逐渐减弱。 

• 何处攻击：基于前文的攻击范式，攻击者可以随意选择想要攻击的变量，而后门攻击依然成功。

• 何时攻击：将训练集中的数据按照干净模型的预测 MAE 从小到大（图上从左到右）分成十组。这十组数据对于干净模型的学习难度逐步提升。论文作者使用简易的后门攻击（固定的触发器）来分别攻击这十组数据。

• 如何攻击：首先，将变量之间的关联建模成有权邻接矩阵 A。

（1）在更新代理模型的时候，提高其在数据集  的预测能力以模拟正常训练：

在 5 个数据集上，BackTime 可以对三种完全不同的 SOTA 时间序列分析模型实现有效的攻击（最低的），并同时保持这些模型的正常预测能力（较低的）。这展现了 BackTime 模型无关的特性，并同时说明了其强大的攻击效果。

论文作者使用了三种完全不同的目标模式，并观察 BackTime 的攻击效果。结果显示，BackTime 持续性取得最好的攻击表现（最低的和）。