Time Is All It Takes: Spike-Retiming Attacks on Event-Driven Spiking Neural Networks

arXiv:2602.03284v2 Announce Type: replace-cross Abstract: スパイキング神経ネットワーク（SNN）は離散のスパイキングを用いて計算し、時系列構造を活用しますが、多くの対抗手続は強度やイベントの数を変えており、タイミング自体を変えません。本研究では、既存のスパイキングのタイミングだけを変えて、スプライキング数と振幅を保ち、イベント駆動型 SNN でレート保持性を維持する、タイミングだけのアディバーサリ进行分析します。我々は、スプライキング数の 1 つ分（capacity-1）のスパイクリタイミング脅威モデルを定式化し、単一的な 3 つの予算セットを定義します：単一スパイクのランダム化$\oldsymbol{\mathcal{B}}_{\infty}$、全体的な遅延$\oldsymbol{\mathcal{B}}_{1}$、および改変カウント$\oldsymbol{\mathcal{B}}_{0}$。実行可能な対抗例はタイムラインの一貫性と非重複を満たさなければならないため、検索領域は離散的かつ制約があります。大規模なリタイミング最適化を行うために、私々はプロジェクテッド・インザ・ループ（PIL）最適化を使用します：シフト確率ロジットは微分可能なソフトリタイミングを提供し、逆传播に使用できます。前向パスにおける厳密な投影は、容量 1、非重複、および選択された予算を満たす実行可能な離散的スケジュールを生成します。目的関数は、投影入力でのタスク損失を最大化し、容量制約項とともに予算に配慮したペナルティを加えることで、勾配を安定化させ、最適化を評価と整合させるものです。イベント駆動ベンチマーク（CIFAR10-DVS、DVS-Gesture、N-MNIST）および多様な SNN アーキテクチャにおいて、2 値および整数イベントグリッド、そして様々なリタイミング予算の下で評価を実施し、タイミングに意識した対抗訓練で訓練されたモデルの性能もテストしました。例えば、DVS-Gesture の場合、$\oldsymbol{\mathcal{B}}_{0}$下でスパイキング数の 2%未満に接触しつつ成功率は 90%を超えます。私々の結果は、スパイクリタイミングが現在の防御から対抗するのが困難な実用的かつ静かな攻撃表面であるとともに、イベント駆動型 SNN の時系列頑健性についての明確な参考を提供することを示しています。コードは https://github.com/yuyi-sd/Spike-Retiming-Attacks に利用可能です。

arXiv:2602.03284v2 Announce Type: replace-cross Abstract: Spiking neural networks (SNNs) compute with discrete spikes and exploit temporal structure, yet most adversarial attacks change intensities or event counts instead of timing. We study a timing-only adversary that retimes existing spikes while preserving spike counts and amplitudes in event-driven SNNs, thus remaining rate-preserving. We formalize a capacity-1 spike-retiming threat model with a unified trio of budgets: per-spike jitter $\mathcal{B}_{\infty}$, total delay $\mathcal{B}_{1}$, and tamper count $\mathcal{B}_{0}$. Feasible adversarial examples must satisfy timeline consistency and non-overlap, which makes the search space discrete and constrained. To optimize such retimings at scale, we use projected-in-the-loop (PIL) optimization: shift-probability logits yield a differentiable soft retiming for backpropagation, and a strict projection in the forward pass produces a feasible discrete schedule that satisfies capacity-1, non-overlap, and the chosen budget at every step. The objective maximizes task loss on the projected input and adds a capacity regularizer together with budget-aware penalties, which stabilizes gradients and aligns optimization with evaluation. Across event-driven benchmarks (CIFAR10-DVS, DVS-Gesture, N-MNIST) and diverse SNN architectures, we evaluate under binary and integer event grids and a range of retiming budgets, and also test models trained with timing-aware adversarial training designed to counter timing-only attacks. For example, on DVS-Gesture the attack attains high success (over $90\%$) while touching fewer than $2\%$ of spikes under $\mathcal{B}_{0}$. Taken together, our results show that spike retiming is a practical and stealthy attack surface that current defenses struggle to counter, providing a clear reference for temporal robustness in event-driven SNNs. Code is available at https://github.com/yuyi-sd/Spike-Retiming-Attacks.