Resumen Técnico: GUNGNIR

Enunciado del Problema

Los Modelos de Difusión (DM) han logrado un éxito significativo en la generación de imágenes, pero son vulnerables a ataques de puerta trasera. Los ataques existentes dependen típicamente de disparadores de baja dimensión y visualmente conspicuos (por ejemplo, parches de ruido específicos, indicaciones de texto o condiciones de ControlNet) que son fácilmente detectados por los mecanismos de defensa actuales. Estas defensas, como la inversión de disparadores y la detección neuronal, son efectivas porque los ataques anteriores operan dentro de espacios de entrada limitados. El artículo identifica una brecha en el panorama de amenazas: el potencial de ataques de puerta trasera que explotan características de alto nivel, perceptualmente indistinguibles, específicamente las características estilísticas de las imágenes de entrada en tareas de imagen a imagen. Los métodos actuales luchan por detectar estos disparadores sutiles, y los algoritmos de entrenamiento estándar a menudo fallan al intentar utilizar características de imagen crudas como disparadores debido al colapso de gradientes y al sobreajuste.

Metodología: GUNGNIR

Los autores proponen GUNGNIR, un nuevo marco de ataque de puerta trasera que activa comportamientos maliciosos en Modelos de Difusión incrustando disparadores basados en estilos dentro de las imágenes de entrada. El método opera dentro del espacio de tareas de imagen a imagen, donde la propia imagen de entrada sirve como mecanismo de disparo.

Componentes Principales

1. Disparadores Estilísticos: A diferencia de los métodos anteriores que inyectan parches explícitos o texto, GUNGNIR utiliza el estilo inherente de una imagen de entrada (por ejemplo, el estilo "Noche Estrellada" de Van Gogh) como disparador. Cuando un modelo recibe una imagen con este estilo específico, activa un mapeo oculto para generar una imagen objetivo, independientemente del contenido semántico de la entrada.
2. Ruido Adversarial de Reconstrucción (RAN):
   • Problema: Utilizar directamente las características de la imagen de entrada como disparadores en el entrenamiento estándar de puertas traseras causa un colapso severo de gradientes y sobreajuste. El modelo falla al aprender el mapeo porque el objetivo de predicción de ruido entra en conflicto con la preservación del estilo.
   • Solución: RAN reconstruye un vector residual $r$ a partir de la entrada ruidosa y la imagen objetivo, en lugar de utilizar la imagen objetivo directamente como objetivo de entrenamiento. La función de pérdida se desplaza para minimizar la diferencia entre la predicción del modelo y este ruido adversarial reconstruido.
   • Mecanismo: El residual $r$ se define como $r = \sqrt{\alpha_t}x_0 + \sqrt{1-\alpha_t}\epsilon - \text{trans}(i_t)$, donde $i_t$ es el latente objetivo. Esto crea un desplazamiento de la media que guía al modelo a reconstruir la imagen objetivo mientras borra la distribución original del paso de tiempo anterior.
3. Retención de Pasos de Tiempo a Corto Plazo (STTR):
   • Problema: Aplicar la inyección de puerta trasera a través de todos los pasos de tiempo ($T$) conduce al sobreajuste. A medida que los pasos de tiempo se acercan a cero, las variables latentes aproximan la distribución de la imagen final, pero los pasos de tiempo intermedios contienen contenido semántico ambiguo. La supervisión de pasos de tiempo completos fuerza al modelo a asociar disparadores con representaciones inestables, causando que el modelo genere la imagen objetivo independientemente de la entrada (pérdida de utilidad).
   • Solución: STTR restringe la inyección de puerta trasera únicamente a los primeros $T_b$ pasos del proceso de difusión inverso.
   • Mecanismo: Al limitar la supervisión de entrenamiento a una ventana corta y estable de pasos de tiempo, el método preserva la utilidad original del modelo para entradas limpias mientras asegura que el disparador sea efectivo cuando se activa. Esto previene el entrelazamiento de la representación del disparador con el ruido de difusión.

Formulación del Ataque

El espacio de ataque se redefine para incluir el espacio de condiciones adicional $A_{cond}$ (indicaciones, imágenes, ControlNet). GUNGNIR se dirige específicamente al espacio de entrada de imágenes $A_b = \{imágenes_b\}$. El proceso de entrenamiento implica envenenar un pequeño porcentaje (5%) del conjunto de datos con pares de imágenes de estilo disparador e imágenes objetivo, utilizando RAN y STTR para optimizar los parámetros del modelo.

Contribuciones Clave

1. Expansión del Espacio de Entrada del Ataque: El artículo demuestra por primera vez que las características estilísticas crudas de las imágenes de entrada pueden servir como disparadores de puerta trasera efectivos en tareas de imagen a imagen. Esto desplaza el vector de ataque desde perturbaciones explícitas de bajo nivel hacia características perceptuales de alto nivel.
2. Técnicas de Entrenamiento Novedosas: Los autores introducen RAN y STTR para resolver los desafíos específicos de entrenar puertas traseras en características de imagen. RAN previene el colapso de gradientes reconstruyendo ruido adversarial, mientras que STTR mitiga el sobreajuste restringiendo la inyección a pasos de tiempo cortos.
3. Sigilo y Robustez: Las muestras resultantes con el disparador incrustado son perceptualmente indistinguibles de las imágenes limpias. El ataque elude las defensas más avanzadas (Elijah, TERD) que dependen de detectar patrones anómalos o invertir disparadores, ya que los disparadores basados en estilo no introducen artefactos sospechosos.
4. Capacidad de Migración: El estudio revela que la puerta trasera no se limita a tareas de imagen a imagen; también puede activarse en tareas de texto a imagen si se solicita al modelo que genere imágenes en el estilo específico del disparador.

Resultados Experimentales

• Tasa de Éxito del Ataque (ASR): GUNGNIR logró una ASR del 61.50% en tres modelos de referencia (Stable Diffusion v1.5, v2.1 y Realistic Vision v4.0). Aunque es menor que algunos ataques basados en parches, los autores señalan que esto es suficiente para un ataque robusto dada su alta sigilo.
• Evasión de Defensas: El ataque logró una Tasa de Detección de Puerta Trasera (BDR) del 0% contra ambos marcos de defensa Elijah y TERD. Los disparadores basados en estilo no fueron detectados como anomalías.
• Robustez: El ataque permaneció efectivo incluso después de la purificación basada en ajuste fino, demostrando resistencia a estrategias comunes de defensa de modelos.
• Estudios de Ablación: Los experimentos confirmaron que sin RAN, los gradientes colapsan (la ASR cae a casi cero). Sin STTR, el modelo se sobreajusta, generando imágenes objetivo indiscriminadamente. Se encontró un rendimiento óptimo con una intensidad específica de RAN ($\gamma$) y ventanas de pasos de tiempo cortos.

Significado y Afirmaciones

El artículo afirma que GUNGNIR revela una vulnerabilidad previamente poco explorada en los Modelos de Difusión: la susceptibilidad a puertas traseras basadas en estilo. El significado radica en:

• Sigilo: El ataque utiliza características que son naturales al proceso de generación de imágenes, haciéndolas invisibles tanto para la inspección humana como para detectores automatizados diseñados para disparadores explícitos.
• Cambio de Paradigma: Cuestiona la suposición de que los disparadores de puerta trasera deben ser explícitos o de baja dimensión, mostrando que las características semánticas de alto nivel (estilo) pueden ser armadas.
• Implicaciones de Seguridad: Los hallazgos sugieren que los mecanismos de defensa actuales son insuficientes contra ataques que aprovechan la capacidad inherente del modelo para percibir y replicar características estilísticas. Los autores argumentan que la investigación futura debe abordar estos espacios de ataque expandidos para asegurar los sistemas de IA generativa.

Los autores mantienen una postura modesta, reconociendo que la ASR es ligeramente inferior a la de los ataques basados en parches debido a la dificultad inherente del proceso de difusión para adherirse estrictamente a las restricciones de estilo sin módulos adicionales de transferencia de estilo. Sin embargo, enfatizan que el compromiso en sigilo y la capacidad de eludir las defensas existentes hacen de GUNGNIR un vector de amenaza crítico.