Why Neural Structural Obfuscation Can't Kill White-Box Watermarks for Good!

1. El Problema: La Amenaza de la Obfuscación Estructural Neural (NSO)

El artículo aborda una vulnerabilidad crítica en los esquemas de marcas de agua de caja blanca para modelos de aprendizaje profundo.

• Contexto: Las marcas de agua de caja blanca verifican la propiedad de un modelo accediendo a sus parámetros internos o activaciones intermedias. La mayoría de los verificadores asumen implícitamente que la estructura del modelo (el orden de los canales y las capas) es fija y conocida.
• La Amenaza (NSO): En USENIX Security '23, Yan et al. introdujeron la Obfuscación Estructural Neural (NSO). Esta técnica inyecta "neuronas dummy" (canales redundantes) en la red neuronal de manera que:
  1. Preserva la equivalencia funcional (el modelo sigue haciendo la misma tarea con la misma precisión).
  2. Rompe la verificación de la marca de agua al desordenar los índices de los canales y los parámetros.
• Limitación de las Defensas Anteriores: Las defensas existentes se centraban en la eliminación local de neuronas sospechosas. Sin embargo, en arquitecturas modernas (como ResNet, EfficientNet, Inception), las ediciones estructurales no son locales; deben propagarse consistentemente a través de conexiones residuales, concatenaciones y ramificaciones para mantener la equivalencia funcional. Los atacantes pueden combinar primitivas NSO (inyección cero, cancelación en clínicas, división de canales) para crear un caos estructural global que las defensas locales no pueden revertir sin romper el modelo.

2. Metodología: El Marco CANON

Los autores proponen CANON, un marco de recuperación que no intenta simplemente "eliminar" las neuronas, sino reconstruir una representación canónica del modelo respetando las restricciones del grafo de cómputo.

A. Nuevo Modelo de Amenaza: Productor-Consumidor Consistente en el Grafo

El artículo redefine NSO no como un ataque local, sino como un modelo de amenaza consistente en el grafo:

• Principio: Cualquier cambio en la disposición de los canales introducido por un nodo "productor" (inyección de canales) debe ser absorbido y sincronizado por todos los nodos "consumidores" aguas abajo (operaciones como add, cat, fan-out) para mantener la equivalencia funcional.
• Abstracción ChannelTransform: Se introduce una transformación lineal dispersa ($M$) que mapea la salida de un productor antes de la obfuscación a la salida después de la obfuscación ($y_{antes} = M \cdot y_{después}$). Para preservar la función, los pesos del consumidor deben reescribirse como $W_{nuevo} = W_{antiguo} \cdot M$.

B. El Proceso de Recuperación (CANON)

CANON opera en tres fases principales sin necesidad de conocer los detalles del ataque ni tener acceso al modelo original (aunque puede usarlo para certificación):

1. Detección de Redundancia (Probing):

   • Se utiliza un conjunto de entradas de prueba (probes) para capturar las activaciones de los canales.
   • Se generan firmas de actividad (bits de estado y resúmenes escalares) para identificar canales que tienen patrones de activación idénticos o proporcionales.
   • Se refina la detección mediante estimación de escala robusta para distinguir entre canales dummy (que se cancelan o son cero) y canales duplicados legítimos.

2. Síntesis de Transformación y Reescritura Global:

   • Una vez identificada la redundancia en un borde del grafo, CANON sintetiza una transformación de canal ($M_e$) que compacta la representación.
   • Sincronización Global: En lugar de corregir capa por capa, CANON propaga esta transformación a todos los consumidores lineales aguas abajo.
   • Manejo de Estructuras Complejas:
     • En Residuales (Add): Se fuerza que ambas ramas tengan la misma disposición de canales recuperada antes de la suma.
     • En Concatenación (Cat): Se componen las transformaciones de cada rama en una matriz diagonal por bloques y se propagan a los consumidores siguientes.

3. Verificación y Certificación:

   • Se genera un modelo recuperado ($\hat{\theta}$) que es funcionalmente equivalente al modelo atacado pero con una estructura compacta.
   • Certificado de Equivalencia de Referencia: Si se dispone de un modelo limpio de referencia, CANON verifica que los pesos recuperados coincidan con el original (hasta permutaciones y escalado positivo), demostrando que la marca de agua ha sido restaurada.

3. Contribuciones Clave

1. Generalización del Modelo de Amenaza: Se reformula NSO como un modelo de amenaza consistente en el grafo (productor-consumidor), exponiendo las restricciones de consistencia de la señal que son necesarias para la equivalencia funcional en arquitecturas modernas.
2. Recuperabilidad Probada: Se demuestra constructivamente que la obfuscación estilo NSO induce redundancia estructurada y globalmente restringida. Esto hace posible identificar canales dummy y revertir la obfuscación sin conocer los detalles del ataque.
3. CANON (Primer Marco End-to-End): Se presenta el primer marco de recuperación que derrota a NSO por construcción, sincronizando layouts en todo el grafo (fan-out, merges residuales, concatenaciones) sin requerir el modelo original.
4. Invalidación Empírica del "Costo Cero": Se demuestra que la afirmación de que NSO elimina las marcas de agua a "costo cero" es falsa; la recuperación es posible y efectiva.

4. Resultados Experimentales

Los autores evaluaron CANON en cuatro arquitecturas (ResNet-18, EfficientNet, InceptionV3, DenseNet) y nueve esquemas de marcas de agua de caja blanca (basados en pesos, activaciones y pasaportes) bajo ataques NSO compuestos y fuertes.

• Recuperación del 100%: CANON logró recuperar la verificabilidad de la marca de agua en todos los casos evaluados, incluso bajo ataques compuestos (mezcla de primitivas) y ratios de inyección altos (hasta 0.5 o 1.0).
• Cero Pérdida de Utilidad: La precisión del modelo recuperado es idéntica a la del modelo atacado y al original ($\Delta acc = 0$). La obfuscación no degrada el rendimiento, y la recuperación no lo degrada tampoco.
• Tasa de Falsos Positivos Cero: Al aplicar CANON a modelos limpios (no atacados), el sistema no realiza cambios estructurales ni altera la precisión, demostrando ser seguro y conservador.
• Certificados Tier-1: En todos los casos, el certificado de equivalencia de referencia (Tier-1) pasó, confirmando que los pesos recuperados pertenecen a la misma clase de equivalencia simétrica que el modelo original.
• Costo Computacional: El tiempo de recuperación es aceptable (escala de segundos a menos de un minuto), dependiendo principalmente de la complejidad del ataque (los ataques compuestos son más costosos de revertir, pero aún así manejables).

5. Significado e Impacto

Este trabajo es fundamental para la seguridad de la propiedad intelectual en IA:

• Cambio de Paradigma: Desplaza el enfoque de "defensa pasiva" (hacer la marca de agua más robusta) a "recuperación activa" (reconstruir la estructura del modelo).
• Resiliencia de las Marcas de Agua: Restaura la confianza en las marcas de agua de caja blanca, demostrando que la obfuscación estructural, aunque potente, no es irreversible si se explotan las restricciones matemáticas de la equivalencia funcional en grafos de cómputo.
• Defensa contra Ataques Adaptativos: Proporciona un mecanismo robusto contra atacantes que combinan múltiples técnicas de ofuscación en arquitecturas complejas, cerrando la brecha que NSO había abierto en la literatura de seguridad.

En resumen, el paper demuestra que la obfuscación estructural no es una solución definitiva para eliminar marcas de agua, ya que la necesidad de mantener la funcionalidad del modelo impone restricciones estructurales que pueden ser explotadas para revertir el ataque y recuperar la prueba de propiedad.