Resumen Técnico: Cuidado con el Paso: Inyección de Información en Modelos de Difusión mediante Incrustación de Pasos de Tiempo Sombras

1. Declaración del Problema

Los modelos de difusión (DM) se han convertido en el estándar para la IA generativa de alta fidelidad, sin embargo, sus mecanismos de seguridad y procedencia permanecen poco explorados. Mientras que la investigación existente se ha centrado en la esteganografía dentro de los parámetros del modelo, los espacios latentes o las imágenes de salida, y en ataques de puerta trasera desencadenados por indicaciones o patrones de píxeles, el componente de incrustación de pasos de tiempo ha sido pasado por alto en gran medida como un vector de seguridad potencial.

Las incrustaciones de pasos de tiempo proporcionan la señal de condicionamiento temporal que permite a la red de eliminación de ruido adaptar las predicciones a través de diferentes niveles de ruido. Los autores identifican una brecha crítica: la capacidad representacional de estas incrustaciones está subutilizada. Específicamente, las codificaciones posicionales estándar (a menudo sinusoidales) tienen un periodo máximo (por ejemplo, 10,000) que excede ampliamente el rango de entrenamiento típico (por ejemplo, 1,000 pasos). Esto deja un vasto espacio temporal "sombra" sin utilizar, que podría explotarse potencialmente para inyectar información maliciosa o servir como un canal encubierto para la procedencia legítima sin alterar el procedimiento de muestreo observable ni los pesos del modelo.

2. Metodología: Incrustación de Pasos de Tiempo Sombras (STE)

El artículo propone la Incrustación de Pasos de Tiempo Sombras (STE), un mecanismo que aprovecha el subespacio temporal sin utilizar de los modelos de difusión para codificar distribuciones de datos independientes.

Mecanismo Central

• Extensión Temporal: Los DM estándar operan en un rango de pasos de tiempo fijo $t \in [0, T_0]$ (por ejemplo, $T_0=1000$). STE introduce un desplazamiento "sombra" $f_n$ para crear un nuevo intervalo temporal disjunto $T_n = T_0 + f_n$.
• Desplazamientos Sombra: En lugar de alimentar el paso de tiempo estándar $t$ a la función de incrustación $\Phi(t)$, el modelo recibe un índice desplazado $t_{sn} = t + f_n$. Esto mapea la trayectoria estándar en un nuevo espacio de incrustación $e_{t_{sn}} = \Phi(t_{sn})$.
• Ortogonalidad: Debido a las propiedades de la codificación posicional sinusoidal, los desplazamientos $f_n$ (por ejemplo, múltiplos de 1000) inducen vectores de incrustación que son casi ortogonales al rango estándar. Esto crea una "variedad temporal sombra paralela" que es linealmente separable de la variedad explícita.
• Entrenamiento en Modo Dual: El modelo se entrena con una función de pérdida combinada:
  $$L_{STE}(\theta) = L_{DM}(\theta) + E_{t_{sn}}[\|\epsilon - \epsilon_\theta(x_{t_{sn}}, t_{sn}, c_{sn})\|^2]$$
  Esto permite que el modelo aprenda una distribución primaria $D_0$ para los pasos de tiempo explícitos y distribuciones distintas e independientes $D_{sn}$ para los pasos de tiempo sombra, todo dentro de los mismos pesos de la red.
• Compatibilidad con el Programador: Crucialmente, el programador (el programa de ruido) permanece sin modificar. Desde la perspectiva del usuario, la generación sigue la secuencia estándar $t = [T_0, \dots, 0]$. Sin embargo, el modelo interpreta internamente estos como pasos de tiempo sombra, activando la distribución aprendida específica asociada con ese desplazamiento.

Base Teórica

Los autores proporcionan un análisis teórico de la Coherencia Mutua entre intervalos temporales. Demuestran que para intervalos disjuntos $I_0$ y $I_1$, la similitud del coseno entre las incrustaciones está acotada superiormente por un valor pequeño $\mu$ (observado empíricamente como $\approx 0.1$ cuando la diferencia de tiempo $\Delta t \ge 1000$). Esta baja coherencia confirma que las incrustaciones sombra forman un subespacio distinguible capaz de contener información separada sin colapsar en la variedad de características primaria.

3. Contribuciones Clave

1. Propuesta de STE: Un nuevo método de inyección de información que descubre la dimensión temporal como un canal subutilizado para codificar información controlable en modelos de difusión.
2. Superficie de Seguridad de Doble Uso: Demostración de que STE puede funcionar tanto como un mecanismo de ataque encubierto (inyectando desencadenantes maliciosos) como un mecanismo de defensa (marcas de agua invisibles/verificación de propiedad).
3. Prueba Teórica: Derivación de límites de coherencia mutua que prueban que los intervalos de pasos de tiempo disjuntos producen incrustaciones casi ortogonales, validando la viabilidad del aprendizaje de distribuciones independientes.
4. Validación Empírica: Experimentos exhaustivos que muestran que STE puede inyectar distribuciones de datos auxiliares de manera confiable mientras mantiene la independencia de las variedades explícitas y sombra.

4. Resultados Experimentales

Los autores evaluaron STE en tres dimensiones: rendimiento general, eficacia del ataque y robustez de la defensa.

Rendimiento General

• Preservación de la Calidad: STE preserva la calidad generativa del conjunto de datos primario. En CIFAR-10, las puntuaciones FID mejoraron ligeramente (de 24.38 a 21.82) al entrenar con conjuntos de datos sombra, lo que indica que añadir intervalos sombra no degrada la distribución primaria.
• Independencia: La Tasa de Exposición (ER) —que mide la filtración no intencionada entre conjuntos de datos— se mantuvo baja (alrededor del 8–9%), confirmando que las generaciones a partir de pasos de tiempo explícitos no filtran características de los conjuntos de datos sombra.
• Impacto del Programador: STE funciona mejor con programadores DDPM. DDIM mostró un FID ligeramente superior pero permaneció competitivo, mientras que DPM-Solver exhibió una degradación significativa del rendimiento, lo que sugiere que STE depende de programadores que preservan el mapeo estándar de ruido a datos.

Rendimiento del Ataque (Inyección Encubierta)

• Capacidad de Puerta Trasera: Cuando los pasos de tiempo sombra se asocian con un conjunto de datos envenenado (tasa de envenenamiento del 5%), el modelo actúa como una puerta trasera sigilosa.
• Tasa de Éxito: STE-sombra logró una Tasa de Éxito del Ataque (ASR) del 99.2% en CIFAR-10 y del 98.8% en CelebA-HQ.
• Sigilo: El ataque es indetectable mediante métricas estándar; la rama explícita mantiene una alta fidelidad (FID ~22.07) y una baja ASR (0.2%) cuando no se activa, y no se encuentran anomalías en las estadísticas de píxeles ni en los pesos del modelo.

Rendimiento de Defensa (Marcas de Agua)

• Verificación: STE se utilizó para generar imágenes con marcas de agua vinculando pasos de tiempo sombra a un conjunto de datos con marcas de agua de escudo visibles.
• Robustez: La marca de agua permaneció detectable bajo desenfoque, ruido y compresión JPEG (Precisión > 0.95), compitiendo favorablemente con Tree-Ring y ROBIN.
• Limitaciones: La marca de agua fue vulnerable a ataques de aclarado y recorte (cayendo a 0.85 y 0.71, respectivamente), atribuido a la naturaleza visible en píxeles de la marca de agua específica utilizada en el estudio.

5. Significado y Afirmaciones

El artículo afirma que la ruta de incrustación de pasos de tiempo es una superficie de seguridad crítica, previamente pasada por alto, en los modelos de difusión. Al tratar el tiempo como una "clave", STE permite:

• Control Encubierto: La capacidad de cambiar entre comportamientos benignos y maliciosos (o con marcas de agua) sin modificar el programador o la arquitectura del modelo visible para el usuario.
• Nuevo Panorama de Amenazas: Destaca una vulnerabilidad donde los adversarios pueden inyectar desencadenantes mediante envenenamiento de código (pipelines disfrazados) que explotan el espacio temporal, evadiendo la supervisión tradicional de entrada/salida.
• Oportunidades de Procedencia: Ofrece un nuevo primitivo para la procedencia segura, permitiendo a los propietarios del modelo incrustar señales de propiedad que solo se activan mediante claves temporales específicas.

Los autores concluyen que comprender la dimensión temporal es esencial para el futuro del modelado generativo seguro, ya que revela un canal "sombra" que es fundamentalmente ortogonal a las defensas del espacio de píxeles o del espacio de pesos. Señalan que, aunque STE expone una vulnerabilidad, también motiva el desarrollo de nuevas estrategias de defensa, como verificar la consistencia entre los pasos de tiempo emitidos por el programador y los valores recibidos por el eliminador de ruido.