Backdoor 'clean-label' explora a dimensão temporal de redes neurais de pulso e passa despercebido pelas defesas atuais
Pesquisadores introduzem um ataque de backdoor clean-label contra redes neurais de pulso que reordena os timestamps dos eventos de amostras da classe-alvo, preservando exatamente a contagem de eventos por pixel e por polaridade — de forma que a amostra continua com o rótulo original correto e parece estatisticamente idêntica a uma amostra limpa quando agregada no tempo. O ataque atinge taxa de sucesso de 100% nas configurações mais fortes, contra modelos convolucionais e baseados em transformer, em três datasets neuromórficos diferentes. Defesas que colapsam o eixo temporal antes de inspecionar as amostras são cegas a esse ataque por construção, já que a informação maliciosa vive exclusivamente na ordem temporal dos eventos.
Ataques de backdoor tradicionais dependem de "envenenar" o conjunto de treino trocando o rótulo de amostras com um gatilho visual ou de padrão, o que os torna detectáveis por qualquer auditoria que verifique consistência entre conteúdo e rótulo. Este trabalho demonstra uma variante clean-label: os rótulos das amostras nunca mudam, e a única alteração é uma transformação fixa aplicada aos timestamps dos eventos das amostras que já pertencem à classe-alvo.
O truque técnico é que a transformação preserva exatamente a contagem de eventos por pixel e por polaridade — ou seja, se alguém agregar os eventos ao longo do tempo (como a maioria das defesas de "limpeza" de dados faz), a amostra envenenada parece idêntica à limpa. A informação maliciosa só existe na sequência temporal exata dos eventos, processada pela rede de pulso ao longo do tempo, não na contagem agregada. Isso é o que permite ao ataque atingir 100% de taxa de sucesso nas configurações mais fortes, testado tanto em arquiteturas convolucionais quanto baseadas em transformer, e em três datasets neuromórficos diferentes.
A consequência para defesa é direta: qualquer método que colapse o eixo temporal antes de inspecionar as amostras — abordagem comum em defesas de backdoor adaptadas de visão computacional convencional — é estruturalmente cego a esse ataque, porque descarta exatamente a dimensão onde o gatilho vive. Métodos baseados em espaço de características (feature-space) detectam o ataque só em cenários limitados.
Os próprios autores propõem um detector "model-free" baseado na massa de eventos por passo de tempo, que consegue identificar a transformação temporal maliciosa — mas isso serve mais como prova de conceito de que é possível detectar do que como defesa pronta para produção. Como redes de pulso e dados baseados em eventos (câmeras de eventos, sensores neuromórficos) começam a aparecer em aplicações reais de borda e robótica, esse é o primeiro trabalho a mostrar que a dimensão temporal, por si só, já é uma superfície de ataque viável e praticamente invisível às defesas herdadas de modelos convencionais.