Cryptographic Backdoor for Neural Networks: Boon and Bane

Resumen Técnico: Puerta Trasera Criptográfica para Redes Neuronales: Beneficio y Perjuicio

Planteamiento del Problema
Las Redes Neuronales Profundas (DNN) se despliegan cada vez más como Aprendizaje Automático como Servicio (MLaaS), lo que crea riesgos significativos respecto al robo de Propiedad Intelectual (PI), la extracción de modelos y el acceso no autorizado. Mientras que las defensas existentes, como las marcas de agua y la huella digital, a menudo dependen de técnicas de puerta trasera (backdoor), estas son frecuentemente vistas como vulnerabilidades. Por el contrario, las puertas traseras criptográficas introducidas por Goldwasser et al. [10] ofrecen una indetectabilidad teórica pero carecen de exploración en escenarios de aplicación práctica. Este artículo aborda la naturaleza dual de las puertas traseras criptográficas: su potencial como un poderoso e invisible vector de ataque adversario y su utilidad como un mecanismo robusto para asegurar la privacidad y la propiedad de las redes neuronales.

Metodología
Los autores proponen un marco donde una puerta trasera criptográfica se implementa como un circuito paralelo al clasificador de la red neuronal principal, en lugar de modificar los pesos del modelo mediante envenenamiento (poisoning). El mecanismo central se basa en esquemas de firma digital:

1. Arquitectura: El sistema consiste en un clasificador estándar $f(x)$ y un circuito de verificación de firma $V$.
2. Transformación de Entrada: Las muestras de entrada se aumentan con un par mensaje-firma $(m, \sigma)$. El mensaje $m$ se incrusta en la entrada (por ejemplo, mediante esteganografía de bit menos significativo en imágenes), y $\sigma$ es una firma válida generada utilizando una clave secreta $sk$.
3. Lógica de Activación: Durante la inferencia, el sistema extrae $(m, \sigma)$. Si la firma se verifica exitosamente contra la clave pública $vk$($VERIFY(\sigma, m, vk) = \text{válido}$), el resultado es determinado por el circuito de verificación (que puede ser manipulado para producir "basura" o etiquetas maliciosas específicas). Si la firma es inválida o falta, el sistema devuelve la predicción del clasificador estándar.
4. Base Teórica: La seguridad se basa en la infalsificabilidad fuerte de las firmas digitales. Sin la clave secreta $sk$, un adversario no puede generar una firma válida para activar la puerta trasera, asegurando que la puerta trasera sea no replicable e indistinguible computacionalmente de un modelo limpio bajo acceso de caja negra.

Contribuciones Clave
El artículo establece que las puertas traseras criptográficas sirven a dos funciones opuestas:

• El "Perjuicio" (Ataque Adversario): Los autores extienden el trabajo teórico de Goldwasser et al. [10] a tareas de clasificación de imágenes. Demuestran un ataque indetectable de caja negra donde un adversario, poseyendo la clave secreta, puede forzar al modelo a emitir predicciones arbitrarias para entradas de activación específicas. El ataque es invisible para la evaluación estándar porque el modelo se comporta normalmente en muestras benignas, y el activador es imperceptible para observadores humanos.
• El "Beneficio" (Mecanismos de Defensa): El artículo propone tres aplicaciones prácticas para asegurar sistemas de ML:
  1. Marca de Agua Provablemente Robusta: Un esquema donde solo un auditor con el conjunto de firmas válido puede verificar la propiedad. La marca de agua es persistente porque depende del circuito de verificación externo, no de los parámetros del modelo, lo que la hace resistente a ataques de ajuste fino (fine-tuning).
  2. Autenticación de Usuario: Un protocolo donde los usuarios deben proporcionar una clave secreta válida para recibir predicciones significativas. Sin la clave correcta, el modelo devuelve salidas manipuladas de "basura", evitando la extracción o destilación no autorizada del modelo.
  3. Seguimiento de PI: Un mecanismo para rastrear el intercambio no autorizado de modelos. Al asignar conjuntos de etiquetas de activación únicos a copias de usuarios específicos (derivados mediante el hashing criptográfico de la clave secreta de un usuario), el propietario puede identificar la fuente de una filtración basándose en qué conjunto de etiquetas de usuario específico arroja una alta precisión.

Resultados Experimentales
Los autores implementaron estos protocolos en arquitecturas de vanguardia (ResNet-18, ResNet-50, ResNet-152) utilizando los conjuntos de datos CIFAR-10 e ImageNet.

• Eficacia del Ataque: La puerta trasera atacó con éxito reduciendo la precisión del modelo a niveles cercanos al azar (0.80% en CIFAR-10, 1.03% en ImageNet) cuando estaban presentes los activadores válidos, mientras mantenía la precisión base (92.26% y 80.11% respectivamente) en muestras benignas.
• Desempeño de la Defensa:
  • Marca de Agua: Logró un 100% de precisión en los conjuntos de activación para auditores autorizados con firmas válidas, mientras que las partes no autorizadas lograron una precisión cercana a cero.
  • Autenticación: Los usuarios con claves secretas válidas lograron la precisión total, mientras que aquellos con claves inválidas recibieron salidas inutilizables (por ejemplo, 0.09% de precisión en ImageNet).
  • Seguimiento de PI: Los modelos distribuidos a usuarios específicos lograron un 100% de precisión en sus etiquetas de activación designadas, pero cayeron significativamente (máximo 23% en CIFAR-10, 2% en ImageNet) cuando se probaron contra los conjuntos de etiquetas de otros usuarios, confirmando la trazabilidad.
• Sobrecarga Computacional: El estudio destaca un compromiso (trade-off) significativo. La decodificación de pares mensaje-firma (particularmente con esquemas post-cuánticos como Dilithium2) introduce una latencia sustancial, hasta 25.8 veces el tiempo de inferencia para ResNet-18 en ImageNet. Los autores sugieren la paralelización o una esteganografía más eficiente como mitigación.

Significancia y Reivindicaciones
El artículo afirma ser el primero en construir empíricamente una puerta trasera criptográfica paralela a una red neuronal anfitriona, demostrando su utilidad dual tanto para ataques maliciosos como para la seguridad defensiva. Los autores aseveran que sus protocolos son provablemente robustos contra adversarios con acceso de caja negra, apoyándose en el supuesto criptográfico de que las firmas digitales son infalsificables.

Sin embargo, el artículo mantiene un tono modesto respecto a sus limitaciones. Reconoce que las pruebas para los mecanismos de defensa requieren un mayor estudio teórico y que las implementaciones actuales son principalmente de caja negra. Los autores señalan que la sobrecarga computacional de la verificación de firmas es un inconveniente significativo para el despliegue en tiempo real. Además, aclaran que, aunque utilizan ideas de Goldwasser et al. [10], la indetectabilidad de caja blanca propuesta en ese trabajo es actualmente limitada a paradigmas de aprendizaje específicos (Random Fourier Features) y aún no es totalmente aplicable a contextos modernos de ML general. El artículo concluye sugiriendo que se pueden utilizar primitivas post-cuánticas para estas puertas traseras, sentando las bases para la seguridad del aprendizaje automático en la era cuántica.