Resumen Técnico: Ataques a Cachés Aproximadas en Modelos de Difusión Texto-a-Imagen

Enunciado del Problema

Los modelos de difusión texto-a-imagen son computacionalmente intensivos, requiriendo pasos iterativos de eliminación de ruido para generar imágenes de alta calidad. Para mitigar esta sobrecarga, trabajos recientes de la industria y la academia (por ejemplo, NIRVANA de Adobe) han adoptado caché aproximada. Esta técnica reutiliza estados intermedios de generaciones anteriores cuando un nuevo prompt es semánticamente similar a uno almacenado en caché, permitiendo al sistema saltarse pasos de eliminación de ruido.

Aunque eficiente, esta optimización introduce una vulnerabilidad de seguridad crítica: rompe el aislamiento entre usuarios. Al almacenar y reutilizar estados intermedios basados en la similitud del prompt, el sistema crea un estado compartido que puede ser explotado. Este trabajo postula que la investigación de seguridad existente sobre modelos de difusión se ha centrado en gran medida en los pesos del modelo o los datos de entrenamiento, dejando las vulnerabilidades del sistema de servicio—específicamente la caché aproximada—poco exploradas.

Metodología

Los autores replican el sistema de caché aproximada NIRVANA, el más avanzado, y lo despliegan con dos modelos líderes de texto-a-imagen: FLUX y Stable Diffusion 3 (SD3). Utilizan conjuntos de datos de prompts del mundo real (DiffusionDB y Lexica) y un entorno de GPU basado en la nube (H100 y A100) para simular un sistema de servicio realista.

La investigación identifica dos Primitivas de Ataque fundamentales inherentes a la caché aproximada:

1. Canal de Temporización (Primitiva de Ataque 1): Los aciertos en caché resultan en una latencia significativamente menor que los fallos en caché, ya que se saltan los pasos de eliminación de ruido. La magnitud de la reducción de la latencia se correlaciona con la similitud semántica entre el nuevo prompt y el prompt almacenado en caché.
2. Similitud Estructural (Primitiva de Ataque 2): Las imágenes generadas a partir del mismo estado intermedio almacenado en caché retienen una mayor similitud estructural (medida por SSIM) en comparación con las imágenes generadas a partir de diferentes estados, incluso si los prompts finales difieren ligeramente.

Basándose en estas primitivas, los autores demuestran tres ataques distintos bajo un modelo de amenaza donde el atacante no tiene conocimiento previo de los prompts almacenados en caché y solo posee acceso de usuario estándar al sistema de servicio.

1. Canal Encubierto Remoto

• Mecanismo: Un remitente y un receptor intercambian mensajes de forma asíncrona. El remitente inyecta prompts que contienen palabras clave específicas y raras (por ejemplo, "Apricity") en la caché. El receptor sondea la caché utilizando las mismas palabras clave.
• Detección: El receptor utiliza un proceso de detección de dos niveles:
  • Clasificador de Latencia: Determina si una sondeo acertó en algún prompt almacenado en caché.
  • Detector de Contenido: Utiliza detección de objetos (DINOv2) para verificar si la imagen de salida contiene un "marcador" específico (por ejemplo, un perro o el logotipo de McDonald's) incrustado por el remitente.
• Codificación: Un acierto en caché con el marcador codifica un '1'; un fallo o un acierto sin el marcador codifica un '0'.

2. Ataque de Robo de Prompts (CacheExposer)

• Objetivo: Recuperar el prompt original de una víctima sin acceso a sus imágenes generadas.
• Mecanismo: El atacante envía un gran volumen de prompts de "sondeo" al sistema.
• Agrupación: Utilizando el canal de temporización, el atacante identifica qué sondeos acertaron en la caché. Un clasificador estructural agrupa luego estos sondeos basándose en la similitud de sus imágenes generadas, asumiendo que los sondeos en el mismo grupo acertaron en el mismo prompt subyacente almacenado en caché.
• Recuperación: Un Predictor de Incrustaciones (utilizando SGD) genera una incrustación objetivo que maximiza la similitud con los sondeos agrupados. Un Recuperador de Prompts (un modelo basado en GPT-2) convierte luego esta incrustación de nuevo en texto, reconstruyendo el prompt de la víctima.

3. Ataque de Envenenamiento de Imágenes (CachePoison)

• Objetivo: Inyectar el contenido del atacante (por ejemplo, logotipos) en las imágenes generadas por otros usuarios.
• Mecanismo: El atacante primero roba prompts utilizando CacheExposer. Luego utiliza un Inyector de Logotipos (un modelo basado en atención) para incrustar una descripción de logotipo en el espacio de incrustaciones del prompt robado.
• Ejecución: El atacante convierte esta incrustación envenenada de nuevo a texto e la inyecta en la caché. Cuando el prompt de una víctima acierta en esta entrada envenenada de la caché, el sistema reutiliza el estado intermedio, haciendo que la imagen generada por la víctima incluya inadvertidamente el logotipo del atacante, aunque la víctima nunca lo solicitó.

Resultados Clave

Rendimiento del Canal Encubierto

• Precisión: El canal logró una precisión del 97,8% en FLUX y del 95,8% en SD3 al combinar la detección de latencia y contenido.
• Sigilo: Los prompts inyectados permanecieron en la caché hasta 44 horas (dependiendo del tamaño de la caché y las políticas de reemplazo como LCBFU), permitiendo una comunicación asíncrona a largo plazo.
• Ancho de banda: Aunque el ancho de banda es menor que el de los canales síncronos, la naturaleza asíncrona y el alto sigilo lo convierten en una amenaza viable.

Rendimiento del Robo de Prompts (CacheExposer)

• Similitud Semántica: Los prompts recuperados lograron una similitud coseno promedio de 0,78 con los prompts originales, superando significativamente una línea base ingenua (0,67).
• Fidelidad de la Imagen: Las imágenes generadas a partir de prompts robados fueron casi idénticas a las originales, con puntuaciones PSNR superiores a 25 y puntuaciones SSIM altas.
• Eficiencia: El ataque requirió una mediana de 4.385 prompts de sondeo por recuperación, pero este costo se amortiza ya que múltiples prompts pueden recuperarse de una sola sesión de sondeo.

Rendimiento del Envenenamiento (CachePoison)

• Tasa de Aciertos: CachePoison logró tasas de acierto significativamente más altas que una línea base de inyección directa ingenua (por ejemplo, 3.646 aciertos frente a 2.624 para FLUX en DiffusionDB).
• Éxito de Renderizado: El ataque renderizó logotipos con éxito en ~57% de los aciertos para FLUX (frente a ~40% para la inyección ingenua). SD3 mostró tasas de éxito más bajas debido a una alineación texto-imagen más débil en los primeros pasos de eliminación de ruido.
• Persistencia: El ataque permaneció efectivo a través de diferentes tamaños de caché y políticas de reemplazo, aunque las cachés más pequeñas y las políticas FIFO/LRU aumentaron la cantidad de aciertos al expulsar entradas competidoras más rápido.

Significado y Afirmaciones

El trabajo afirma ser el primer estudio que explota vulnerabilidades de seguridad específicamente dentro de los mecanismos de caché aproximada de los modelos de difusión texto-a-imagen. Su importancia radica en:

1. Cambio del Superficie de Ataque: Demuestra que las optimizaciones de eficiencia en los sistemas de servicio pueden crear riesgos de seguridad graves (canales encubiertos, robo de datos y envenenamiento de contenido) que son independientes de la arquitectura del modelo o del envenenamiento de los datos de entrenamiento.
2. Practicidad: Los ataques se realizan de forma remota contra un sistema de servicio en la nube realista, sin requerir acceso al modelo ni manipulación de los datos de entrenamiento.
3. Sigilo y Persistencia: La naturaleza asíncrona del canal encubierto y la larga vida útil de las entradas en caché hacen que estos ataques sean difíciles de detectar y mitigar.
4. Urgencia para la Defensa: Los autores argumentan que, a medida que la caché aproximada se convierte en estándar en implementaciones comerciales (por ejemplo, por Adobe, Google, OpenAI), estas vulnerabilidades deben abordarse antes de su adopción generalizada.

El trabajo concluye que, aunque la caché aproximada mejora el rendimiento, compromete fundamentalmente el aislamiento de los usuarios, lo que requiere nuevos mecanismos de defensa como la selección aleatoria de caché, el filtrado de contenido y la detección de comportamientos maliciosos.