Hypnopaedia-Aware Machine Unlearning via Psychometrics of Artificial Mental Imagery

1. Enunciato del Problema

Il paper affronta la minaccia critica alla cybersecurity delle backdoor neurali (cavalli di Troia) nei modelli di machine learning.

• La Minaccia: Gli attaccanti iniettano "trigger" nascosti in un modello durante la fase di addestramento. Quando viene presentato un input specifico contenente questo trigger, il modello ignora la sua logica normale e produce una classe target predeterminata, spesso maligna.
• La Sfida:
  • Indisponibilità dei Dati: In molti scenari reali (a causa di regolamenti sulla privacy, restrizioni proprietarie o politiche di archiviazione), il dataset di addestramento originale non è accessibile. Pertanto, i metodi di difesa tradizionali che si basano sul riaddestramento con dati puliti o sull'ispezione del dataset grezzo sono impossibili.
  • Ambienti Dinamici: Nell'apprendimento federato o nell'apprendimento continuo, le fonti di dati sono dinamiche e potenzialmente inaffidabili, rendendo necessaria una sorveglianza continua.
  • L'Obiettivo: L'obiettivo è dimenticare (unlearn) il trigger della backdoor da un modello pre-addestrato, potenzialmente infetto, mantenendo la fedeltà della conoscenza (preservando l'accuratezza del modello sui dati benigni) senza accesso al dataset di addestramento originale. Gli autori assumono che sia disponibile solo un piccolo insieme "normativo" di campioni puliti e un intervallo candidato per la dimensione del trigger.

2. Metodologia

Gli autori propongono un Framework Cibernetico denominato Psycho-Pass, che attinge metafore dalla psicologia (ipnopedia, metacognizione, oblio motivato) e dalla teoria del controllo. Il framework consta di tre fasi principali:

A. Inversione del Modello (Recupero di "Immagini Mentali Artificiali")

Poiché il dataset originale non è disponibile, il sistema tenta di "recuperare" la memoria interna del modello.

• Concetto: Utilizzando l'Inversione del Modello, il sistema genera input sintetici ("immagini mentali artificiali") che massimizzano l'attivazione di specifiche classi target. Queste immagini rappresentano il prototipo interno del modello per una classe.
• Tecnica:
  • Discesa del Gradiente Multi-scala: Per evitare di convergere su pattern subottimali (attrattori), l'ottimizzazione inizia a bassa risoluzione e si affina progressivamente ad alta risoluzione.
  • Stocasticità e Apprendimento Avversario: Vengono introdotti rumore casuale e tecniche di apprendimento avversario per interrompere la convergenza verso minimi locali, garantendo che le immagini generate catturino caratteristiche diversificate, inclusi potenziali trigger nascosti.
  • Output: Un insieme di immagini sintetiche ($Z$) per ogni classe. Se un modello è infetto, l'immagine mentale per la classe della backdoor conterrà probabilmente una fusione delle caratteristiche della classe e del trigger nascosto.

B. Analisi delle Ipotesi (Valutazione Psicometrica)

Il sistema analizza le immagini mentali generate per identificare il trigger più probabile.

• Generazione di Ipotesi: Crea "campioni maligni ipotetici" sovrapponendo maschere candidate ($M$) a campioni puliti utilizzando le immagini sintetiche ($Z$).
• Stima di Massima Verosimiglianza (MLE): Valuta quale trigger ipotetico causa la classificazione errata dei campioni puliti in modo più efficace (perdita minima).
• Esclusione degli Outlier: Per distinguere tra vere backdoor e "trigger naturali" (pattern intrinseci che sembrano trigger ma sono benigni), il sistema impiega un processo di filtraggio in tre fasi:
  1. Selezione Top-k: Mantiene le $k$ ipotesi con la perdita più bassa.
  2. Esclusione Intra: Raggruppa le ipotesi in cluster basati sulla prossimità spaziale per rimuovere le traslazioni geometriche dello stesso pattern.
  3. Esclusione Inter: Filtra in base alla similarità percettiva (utilizzando LPIPS) per garantire che il pattern sia coerente attraverso molteplici tentativi di inversione.
• Inferenza Bayesiana: Il sistema calcola la Probabilità di Infezione. Confronta la distanza percettiva del trigger rilevato con distribuzioni di riferimento provenienti da modelli surrogati noti non infetti e infetti. Se la probabilità supera una soglia, il sistema decide di procedere con l'oblio.

C. Machine Unlearning (Oblio Motivato)

Una volta identificato un trigger e confermata l'infezione:

• Processo: Il modello viene fine-tunato utilizzando un piccolo "insieme di oblio" di dati puliti.
• Meccanismo: Il sistema genera campioni "pseudo-tossici" applicando il trigger stimato a immagini pulite. Successivamente, addestra il modello a classificare correttamente questi campioni pseudo-tossici secondo le loro etichette di verità fondamentale (true ground truth) anziché la target della backdoor.
• Obiettivo: Questo costringe il modello a dissociare il pattern specifico del trigger dalla risposta target maligna, "dimenticando" efficacemente la backdoor mentre mantiene la conoscenza generale.

3. Contributi Chiave

1. Framework Cibernetico: Introduce un innovativo framework "Psycho-Pass" che tratta il rilevamento delle backdoor come una valutazione psicometrica delle "immagini mentali" di una macchina, utilizzando concetti come metacognizione e oblio motivato.
2. Machine Unlearning Senza Dati: Sviluppa un metodo robusto per rilevare e rimuovere le backdoor senza accesso al dataset di addestramento originale, affidandosi solo a un piccolo insieme normativo e all'inversione del modello.
3. Ottimizzazione Stocastica Multi-scala: Propone un algoritmo specifico per l'inversione del modello che utilizza ottimizzazione multi-scala e processi stocastici per sfuggire agli "attrattori" (pattern convergenti ma difettosi), portando a una ricostruzione più accurata dei trigger.
4. Meccanismo di Esclusione degli Outlier: Un processo statistico rigoroso per differenziare tra trigger artificiali iniettati e pattern naturali intrinseci che potrebbero apparire falsamente come trigger.
5. Decision Making Probabilistico: Utilizza l'inferenza bayesiana per quantificare la probabilità di infezione, fornendo un punteggio di confidenza per la decisione di oblio.

4. Risultati Sperimentali

Il metodo è stato valutato su MNIST, CIFAR-10 e ImageNet (sottoinsieme) attraverso tre architetture (VGG, ResNet, Inception) e due modalità di addestramento (Standard e Avversario). È stato confrontato con benchmark come Neural Cleanse, Tabor, Pixel Backdoor e Unicorn.

• Vulnerabilità (Tasso di Successo dell'Attacco - ASR):
  • Il metodo proposto (Psycho-Pass) ha costantemente ottenuto il più basso ASR (spesso < 3% attraverso i dataset), neutralizzando efficacemente le backdoor.
  • I benchmark come Neural Cleanse e Tabor hanno mostrato una vulnerabilità residua significativamente più alta (ASR spesso > 20-50% in scenari complessi).
• Fedeltà (Accuratezza di Classificazione - ACC):
  • Psycho-Pass ha mantenuto un'alta accuratezza sui dati benigni, con cali generalmente entro il 10% dell'accuratezza originale del modello infetto (accettabile dato il processo di oblio).
  • Ha superato o eguagliato i benchmark nel preservare l'utilità del modello.
• Rilevabilità:
  • L'inferenza bayesiana ha distinto con successo tra modelli infetti e non infetti con alta probabilità (vicino a 1,0 per infetti, vicino a 0,0 per non infetti).
  • Le visualizzazioni hanno confermato che il metodo poteva ricostruire trigger visivamente più vicini alla verità fondamentale rispetto ad altri metodi.

5. Significato e Conclusione

• Cambiamento di Paradigma: Il paper va oltre la semplice "pulizia" dei dati verso un approccio auto-consapevole e cibernetico in cui la macchina monitora il proprio stato cognitivo (tramite immagini mentali) per rilevare e correggere corruzioni "subcoscienti".
• Applicabilità Pratica: Risolvendo il problema della rimozione delle backdoor senza il dataset originale, il metodo affronta un collo di bottiglia maggiore nel dispiegamento di AI sicura in ambienti sensibili alla privacy o proprietari.
• Direzioni Future: Gli autori riconoscono le limitazioni riguardanti dimensioni dei trigger sconosciute e la diversità degli attacchi "in-the-wild". Il lavoro futuro mira ad ampliare la portata per gestire dimensioni variabili dei trigger e distinguere meglio tra trigger estrinseci (maligni) e intrinseci (naturali).

In sintesi, questo paper presenta un approccio sofisticato, teoricamente fondato e validato empiricamente per la sicurezza delle reti neurali trattando la rimozione delle backdoor come un processo di analisi psicometrica e oblio motivato, ottenendo prestazioni superiori sia nel rilevamento che nella neutralizzazione delle minacce di backdoor rispetto ai metodi esistenti all'avanguardia.