Resumen Técnico: SABRE-FL

Planteamiento del Problema

El Aprendizaje de Prompts Federado (FPL, por sus siglas en inglés) ha surgido como un paradigma eficiente para adaptar modelos de lenguaje y visión (VLMs) de gran escala, como CLIP, a través de clientes descentralizados. En el FPL, los clientes optimizan vectores de prompts ligeros y aprendibles mientras mantienen el esqueleto del modelo congelado, compartiendo únicamente estos prompts con un servidor central. A pesar de su naturaleza preservadora de la privacidad y su eficiencia en comunicación, las implicaciones de seguridad del FPL permanecen inexploradas.

Este artículo identifica una vulnerabilidad crítica: el Aprendizaje de Prompts Federado es altamente susceptible a ataques de puerta trasera (backdoor attacks). Los autores demuestran que clientes maliciosos pueden inyectar ruido disparador (trigger) aprendible y visualmente imperceptible en sus datos de entrenamiento locales. Estos disparadores se optimizan para desplazar los embeddings de las imágenes en el espacio semántico de CLIP hacia una clase objetivo específica. En consecuencia, el aprendiz de prompts global, al ser agregado, se vuelve vulnerable a la clasificación errónea dirigida en entradas con el disparador, manteniendo una alta precisión en datos limpios y benignos. Este ataque es particularmente insidioso porque opera dentro del espacio limitado de parámetros de los vectores de prompts, pero compromete eficazmente la integridad del modelo global sin degradar su utilidad general.

Metodología

1. El Ataque de Puerta Trasera

Los autores proponen el primer ataque de puerta trasera dirigido específicamente al aprendizaje de prompts en un entorno federado.

• Mecanismo: Los clientes maliciosos (asumidos como una fracción del total, por ejemplo, el 25%) inyectan un disparador de ruido aditivo aprendible ($t$) en un subconjunto de sus imágenes locales ($x^* = x \oplus t$).
• Optimización: El disparador se optimiza conjuntamente con el aprendiz de prompts para maximizar la similitud de coseno entre el embedding de la imagen envenenada y el embedding de texto de una clase objetivo ($y_{target}$), minimizando simultáneamente la similitud con la etiqueta real.
• Modelo de Amenaza: El atacante controla un subconjunto de clientes, posee conocimiento total de la arquitectura del modelo (esqueleto CLIP congelado) y puede reetiquetar las muestras envenenadas a la clase objetivo (ataque de etiqueta sucia o dirty-label attack).
• Resultado: El ataque implanta con éxito una puerta trasera en el aprendiz de prompts global. En la inferencia, cualquier entrada que contenga el disparador es clasificada erróneamente como la clase objetivo con alta confianza, mientras que las entradas limpias permanecen inalteradas.

2. La Defensa: SABRE-FL

Para contrarrestar esta vulnerabilidad, los autores proponen SABRE-FL (Selective and Accurate Backdoor Rejection for Federated Prompt Learning), una defensa ligera en el lado del servidor.

• Perspectiva Central: Aunque el disparador es visualmente imperceptible, induce un desplazamiento sistemático y consistente en los embeddings de las imágenes dentro del espacio de embeddings de CLIP. Esta desviación crea una firma estadística que distingue las actualizaciones envenenadas de las limpias.
• Entrenamiento del Detector:
  • La defensa utiliza un conjunto de datos auxiliar (Caltech-101) para generar un conjunto de entrenamiento de embeddings.
  • Imágenes limpias e imágenes con disparadores inyectados pasan a través del codificador de imágenes CLIP congelado para producir embeddings.
  • Un clasificador binario (detector) se entrena fuera de línea (offline) sobre estos embeddings para distinguir entre representaciones "limpias" y "envenenadas". Crucialmente, este detector no requiere acceso a los datos brutos de los clientes, etiquetas o gradientes.
• Inferencia y Filtrado:
  • Durante cada ronda federada, el servidor recibe las actualizaciones de los prompts de los clientes.
  • El servidor calcula la puntuación media del detector para los embeddings asociados con la actualización de cada cliente.
  • Se emplea un heurístico basado en el rango: los $m$ clientes con el mayor número de embeddings marcados (envenenados) son excluidos del proceso de agregación. Esto asume un límite superior en el número de clientes maliciosos.

Contribuciones Clave

1. Primer Estudio de Puertas Traseras en FPL: El artículo presenta la primera investigación sobre ataques de puerta trasera dentro del aprendizaje de prompts federado. Establece que incluso con actualizaciones de parámetros limitadas (solo prompts), el sistema es vulnerable a ataques basados en disparadores que logran altas tasas de éxito preservando la precisión en datos limpios.
2. Defensa SABRE-FL: Los autores diseñan una defensa modular y generalizable que opera en el espacio de embeddings. Detecta actualizaciones envenenadas utilizando un detector entrenado fuera de línea, sin requerir acceso a los datos privados de los clientes.
3. Validación Teórica y Empírica: El trabajo proporciona condiciones teóricas para la generalización del detector y extensas evaluaciones empíricas en cinco conjuntos de datos diversos (Flowers, Pets, DTD, FGVC Aircraft, Food101) y cuatro defensas de referencia (Trimmed Mean, Median, Norm Bounding, FLAME).

Resultados

La evaluación demuestra que SABRE-FL supera significativamente a las bases de agregación robustas existentes:

• Mitigación de Puertas Traseras: SABRE-FL reduce la precisión de la puerta trasera a niveles cercanos a cero en todos los conjuntos de datos (por ejemplo, 1.1% en Flowers, 1.9% en Food101, 7.6% en FGVC Aircraft), mientras que los métodos de referencia suelen dejar una influencia significativa de la puerta trasera (por ejemplo, FLAME deja un 16.4% en FGVC Aircraft).
• Preservación de la Precisión en Datos Limpios: La defensa mantiene una precisión en datos limpios comparable o incluso mejor que los métodos de referencia, demostrando que filtrar clientes envenenados no perjudica la generalización del modelo en datos benignos.
• Generalización: El detector, entrenado en Caltech-101, se generaliza con éxito a diversos dominios, incluyendo el reconocimiento de objetos de grano fino y tareas basadas en texturas, sin necesidad de reentrenamiento.
• Robustez al Número de Muestras (Shot Count): La defensa sigue siendo efectiva incluso a medida que aumenta el número de shots (muestras por clase), un escenario donde los aprendices de prompts suelen volverse más susceptibles a ataques basados en la memorización.
• Evidencia Visual: Las visualizaciones de t-SNE confirman una separación clara entre los embeddings limpios y los envenenados en el espacio de CLIP, validando el mecanismo subyacente de la defensa.

Significado y Reivindicaciones

El artículo afirma que el Aprendizaje de Prompts Federado, a pesar de sus beneficios de eficiencia y privacidad, introduce una nueva superficie de ataque que actualmente no ha sido abordada. La importancia de este trabajo radica en:

• Exponer una Vulnerabilidad Crítica: Demostrar que la naturaleza "ligera" del aprendizaje de prompts no protege inherentemente contra la manipulación adversaria; de hecho, la alineación semántica de los prompts puede ser explotada para implantar puertas traseras duraderas.
• Proporcionar una Solución Práctica: SABRE-FL ofrece una defensa factible que se alinea con las restricciones de privacidad del aprendizaje federado (sin acceso a datos brutos) mientras neutraliza eficazmente la amenaza.
• Resaltar la Necesidad de Robustez: Los autores subrayan la necesidad de integrar medidas de seguridad robustas en los futuros sistemas federados, particularmente a medida que estos adopten modelos fundacionales y estrategias de adaptación basadas en prompts.

El artículo concluye que, si bien los ataques de puerta trasera son una amenaza potente, las desviaciones estadísticas consistentes que causan en los espacios de embeddings pueden aprovecharse para construir defensas efectivas y preservadoras de la privacidad.