Resumen Técnico: Del Diagnóstico Interno a la Auditoría Externa

1. Declaración del Problema

Las Redes Neuronales Profundas (DNN) siguen siendo fundamentalmente vulnerables a los ataques de puerta trasera (backdoor attacks), donde los adversarios envenenan los datos de entrenamiento para implantar activadores (triggers) ocultos que secuestran el comportamiento del modelo en entradas específicas, preservando el rendimiento en datos benignos. El panorama de amenazas ha evolucionado de patrones conspicuos a estrategias dinámicas, de etiqueta limpia (clean-label) y de imagen limpia (clean-image) sigilosas, lo que hace que la detección tradicional sea cada vez más difícil.

En escenarios de "Modelo como Servicio" (Model-as-a-Service), los defensores a menudo carecen de acceso a los datos de entrenamiento limpios o a los pesos del modelo víctima, lo que requiere una defensa de tiempo de prueba libre de datos (data-free test-time defense). La investigación actual está limitada por el paradigma de diagnóstico interno, que sufre dos vulnerabilidades fundamentales:

1. Métodos de Reparación de Modelos: Estos inspeccionan las propiedades internas del modelo víctima (p. ej., trazas de activación de neuronas, Lipschitz de canal). Fallan contra ataques dinámicos avanzados que optimizan explícitamente los activadores para suprimir estas anomalías internas.
2. Métodos de Robustez de Entrada: Estos dependen de perturbaciones de entrada o verificaciones de consistencia. Fallan contra puertas traseras naturales (p. ej., ataques de imagen limpia) donde el activador es una característica semántica robusta indistinguible de las características benignas mediante perturbaciones.

El desafío central es desarrollar una defensa que sea robusta ante diversas modalidades de ataque sin depender de los estados internos comprometidos del modelo o de supuestos de entrada frágiles.

2. Metodología: PRISM

Los autores proponen PRISM (Prototype Refinement & Inspection via Statistical Monitoring), un cambio de paradigma del diagnóstico interno a la Auditoría Semántica Externa en Línea. Este enfoque desacopla la defensa del modelo comprometido utilizando un Modelo de Visión y Lenguaje (VLM) universal y preentrenado como un auditor independiente y "limpio".

PRISM opera como un envoltorio (wrapper) de tiempo de prueba alrededor del modelo sospechoso utilizando una arquitectura de tres pilos:

A. Marco de Inferencia de Doble Flujo

Para cada muestra de prueba entrante $x$, el sistema inicia dos pasadas hacia adelante concurrentes:

1. Flujo de la Víctima: Procesa $x$ a través del modelo potencialmente comprometido $f_S$ para obtener predicciones y logits.
2. Flujo del Auditor: Procesa $x$ a través de un VLM Universal congelado y confiable (p. ej., CLIP, Qwen-VL). El VLM actúa como un "Profesor Universal", proporcionando una señal de verificación semántica basada en su vasto conocimiento de mundo abierto, el cual es estadísticamente independiente de la distribución envenenada de la víctima.

B. Profesor VLM Híbrido

Para cerrar la brecha de dominio entre los VLM generales y las tareas especializadas de descenso, PRISM emplea un mecanismo de anclaje híbrido:

• Anclas de Texto Estáticas: Proporcionan guía semántica de alto nivel mediante la similitud de coseno con etiquetas de texto predefinidas.
• Prototipos Visuales Dinámicos: Aumentan al auditor con centroides de clase ($C$) aprendidos en línea desde el flujo de prueba.
• Fusión: Los logits finales del VLM ($S_{VLM}$) son una fusión ponderada de similitudes basadas en texto y en prototipos:
  $$S_{VLM} = \lambda \cdot \text{Sim}(z_{img}, C) + (1 - \lambda) \cdot \text{Sim}(z_{img}, T)$$
  Esto permite que el auditor se adapte a la distribución de características específica del flujo de prueba sin requerir datos de entrenamiento etiquetados.

C. Enrutador Adaptativo mediante Monitoreo Estadístico

La lógica de decisión central determina si se acepta la predicción de la víctima o se rechaza en favor del VLM. Esto se rige por una métrica de discrepancia de margen de logit ($\Delta$):
$$\Delta = \exp\left(S_{VLM}^{\hat{y}_S} - \max_{i \neq \hat{y}_S} S_{VLM}^i\right)$$
donde $\hat{y}_S$ es la clase predicha por la víctima. Un $\Delta$ pequeño indica un fuerte desacuerdo (ataque potencial), mientras que un $\Delta$ grande indica alineación.

Para manejar la naturaleza no gaussiana y sesgada de la distribución de $\Delta$, PRISM utiliza un Umbral Adaptativo derivado mediante la expansión de Cornish-Fisher:
$$\tau_k = \mu_k + \left(\zeta + \frac{\gamma_k}{6}(\zeta^2 - 1)\right) \cdot \sigma_k$$
donde $\mu_k, \sigma_k, \gamma_k$ son la media móvil, la desviación estándar y la asimetría del margen para la clase $k$, y $\zeta$ es un coeficiente de confianza base.

D. Mecanismo de Actualización en Línea

PRISM emplea un Promedio Móvil Acumulativo (CMA) para actualizar los momentos estadísticos y los prototipos visuales. Crucialmente, las actualizaciones ocurren solo cuando una muestra es certificada como limpia (es decir, $\Delta > \tau$). Este mecanismo de actualización selectiva, combinado con la inercia estadística del CMA, garantiza la robustez contra cambios de distribución y evita que las muestras envenenadas corrompan el estado de la defensa.

3. Contribuciones Clave

1. Nuevo Paradigma (Auditoría Semántica Externa): El artículo identifica los modos de falla de los diagnósticos internos y propone el uso de VLMs universales como auditores externos e independientes, desacoplando efectivamente la defensa de los modelos víctimas comprometidos sin acceder a los pesos o a los datos de entrenamiento.
2. Marco Adaptativo en Línea (PRISM): Un marco de tiempo de prueba que transforma los VLM genéricos en auditores efectivos mediante un Profesor VLM Híbrido (que cierra la brecha de dominio) y un Enrutador Adaptativo (que evita umbrales estáticos mediante el monitoreo estadístico).
3. Generalización y Robustez Superior: PRISM logra un rendimiento de estado del arte en 17 conjuntos de datos y 11 tipos de ataques, demostrando una robustez única contra ataques avanzados de imagen limpia y ataques adaptativos donde los paradigmas tradicionales fallan.

4. Resultados Experimentales

La evaluación se realizó en 17 conjuntos de datos (incluyendo CIFAR-10, CIFAR-100, ImageNet, GTSRB y conjuntos de datos específicos de dominio) y 11 ataques de puerta trasera de última generación (Clásicos, Dinámicos, de Etiqueta Limpia y de Imagen Limpia).

• Rendimiento: PRISM logra suprimir la Tasa de Éxito de Ataque (ASR) a < 1% en CIFAR-10 y consistentemente por debajo del 15% en todos los 11 tipos de ataques, mientras mejora o mantiene la Precisión de Limpieza (CA).
• Comparación: Supera a las defensas existentes libres de datos (p. ej., CLP, ScaleUp, ZIP, Refine), que a menudo fallan por completo contra ataques de Imagen Limpia (FLIP, GCB) o ataques Dinámicos. Los baselines ingenuos de VLM logran un bajo ASR pero sufren caídas catastróficas en la CA (p. ej., >70% en GTSRB), mientras que PRISM cierra esta brecha.
• Eficiencia: En una GPU NVIDIA A100, PRISM (usando CLIP) logra una latencia de inferencia de 12.5 ms por imagen, situándose entre las mejores defensas en términos de eficiencia.
• Robustez:
  • Arquitecturas VLM: PRISM mantiene un bajo ASR (<10%) tanto en modelos de incrustación (embedding models como CLIP, SigLIP) como en modelos generativos (Qwen, LLaVA).
  • Escala de Datos: Sigue siendo efectivo en conjuntos de datos con tamaños que varían en tres órdenes de magnitud (de 200 a 10,000 imágenes).
  • Ataques Adaptativos: PRISM resiste estrategias adaptativas en línea (Inundación, Periódica, Mixta) donde el adversario intenta manipular el flujo de prueba, manteniendo un ASR < 20%.
  • Compromiso del Auditor: En un escenario de "Cadena de Confianza" donde un auditor especializado es atacado por una puerta trasera, un VLM generalista, aunque más débil pero limpio, puede sanear el flujo, recuperando la seguridad.

5. Significado y Reivindicaciones

El artículo sostiene que PRISM establece que el desacoplamiento de la defensa mediante la auditoría semántica externa no solo es factible, sino esencial para la seguridad de los modelos de próxima generación.

• Cambio de Paradigma: Se aleja del supuesto frágil de que las puertas traseras dejan huellas internas conspicuas o que los activadores son sensibles a las perturbaciones de entrada. En su lugar, aprovecha la independencia estadística de los modelos fundacionales para detectar discrepancias semánticas.
• Practicidad: Al operar de manera libre de datos y en tiempo de prueba sin modificar los pesos del modelo, PRISM aborda las restricciones críticas de los despliegues de Modelo como Servicio donde los defensores carecen de acceso a los datos de entrenamiento o a los internos del modelo.
• Escalabilidad: El marco es agnóstico al modelo y puede extenderse a otras tareas (p. ej., descripción de imágenes) adaptando el filtrado de margen de logit a la confianza a nivel de secuencia, ofreciendo una vía escalable para el monitoreo de la seguridad de la IA en dominios críticos como la salud y la conducción autónoma.

Los autores concluyen que, si bien el paradigma depende de la independencia estadística del VLM auditor, proporciona una salvaguarda robusta contra amenazas evolutivas, incluyendo ataques de imagen limpia y dinámicos sigilosos, estableciendo un nuevo estándar para la defensa agnóstica al modelo.