Riepilogo Tecnico: GUNGNIR

Enunciato del Problema

I Modelli di Diffusione (DM) hanno ottenuto risultati significativi nella generazione di immagini, ma sono vulnerabili ad attacchi backdoor. Gli attacchi esistenti si basano tipicamente su trigger a bassa dimensionalità e visivamente evidenti (ad esempio, patch di rumore specifiche, prompt testuali o condizioni ControlNet) che vengono facilmente rilevati dalle attuali meccanismi di difesa. Queste difese, come l'inversione del trigger e il rilevamento neurale, sono efficaci perché gli attacchi precedenti operano entro spazi di input limitati. Il documento individua una lacuna nel panorama delle minacce: la potenziale esistenza di attacchi backdoor che sfruttano caratteristiche di alto livello, percettivamente indistinguibili, in particolare le caratteristiche stilistiche delle immagini di input nei compiti da immagine a immagine. I metodi attuali faticano a rilevare questi trigger sottili, e gli algoritmi di addestramento standard spesso falliscono quando tentano di utilizzare le caratteristiche grezze delle immagini come trigger a causa del collasso del gradiente e dell'overfitting.

Metodologia: GUNGNIR

Gli autori propongono GUNGNIR, un nuovo framework di attacco backdoor che attiva comportamenti malevoli nei Modelli di Diffusione incorporando trigger basati sullo stile nelle immagini di input. Il metodo opera nello spazio dei compiti da immagine a immagine, dove l'immagine di input stessa funge da meccanismo di trigger.

Componenti Principali

1. Trigger Stilistici: A differenza dei metodi precedenti che iniettano patch esplicite o testo, GUNGNIR utilizza lo stile intrinseco di un'immagine di input (ad esempio, lo stile "Notte Stellata" di Van Gogh) come trigger. Quando un modello riceve un'immagine con questo specifico stile, attiva una mappatura nascosta per generare un'immagine target, indipendentemente dal contenuto semantico dell'input.
2. Rumore Adversariale Ricostruttivo (RAN):
   • Problema: Utilizzare direttamente le caratteristiche dell'immagine di input come trigger nell'addestramento backdoor standard causa un grave collasso del gradiente e overfitting. Il modello non riesce a imparare la mappatura perché l'obiettivo di previsione del rumore entra in conflitto con la preservazione dello stile.
   • Soluzione: RAN ricostruisce un vettore residuo $r$ dall'input rumoroso e dall'immagine target, invece di utilizzare l'immagine target direttamente come obiettivo di addestramento. La funzione di perdita viene spostata per minimizzare la differenza tra la previsione del modello e questo rumore adversariale ricostruito.
   • Meccanismo: Il residuo $r$ è definito come $r = \sqrt{\alpha_t}x_0 + \sqrt{1-\alpha_t}\epsilon - \text{trans}(i_t)$, dove $i_t$ è il latente target. Questo crea uno spostamento della media che guida il modello a ricostruire l'immagine target cancellando la distribuzione originale dal timestep precedente.
3. Mantenimento a Breve Termine dei Timestep (STTR):
   • Problema: Applicare l'iniezione backdoor su tutti i timestep ($T$) porta all'overfitting. Man mano che i timestep si avvicinano a zero, le variabili latenti approssimano la distribuzione finale dell'immagine, ma i timestep intermedi contengono contenuti semantici ambigui. Una supervisione su tutti i timestep costringe il modello ad associare i trigger a rappresentazioni instabili, causando la generazione dell'immagine target indipendentemente dall'input (perdita di utilità).
   • Soluzione: STTR limita l'iniezione backdoor ai soli primi $T_b$ passi del processo di diffusione inverso.
   • Meccanismo: Limitando la supervisione di addestramento a una finestra breve e stabile di timestep, il metodo preserva l'utilità originale del modello per input puliti, garantendo al contempo che il trigger sia efficace quando attivato. Questo previene l'intreccio della rappresentazione del trigger con il rumore di diffusione.

Formulazione dell'Attacco

Lo spazio di attacco viene ridefinito per includere lo spazio delle condizioni aggiuntive $A_{cond}$ (prompt, immagini, ControlNet). GUNGNIR prende di mira specificamente lo spazio di input delle immagini $A_b = \{images_b\}$. Il processo di addestramento prevede l'avvelenamento di una piccola percentuale (5%) del dataset con coppie di immagini trigger-stile e immagini target, utilizzando RAN e STTR per ottimizzare i parametri del modello.

Contributi Chiave

1. Espansione dello Spazio di Input dell'Attacco: Il documento dimostra per la prima volta che le caratteristiche stilistiche grezze delle immagini di input possono fungere da trigger backdoor efficaci nei compiti da immagine a immagine. Questo sposta il vettore di attacco dalle perturbazioni esplicite a basso livello alle caratteristiche percettive di alto livello.
2. Tecniche di Addestramento Innovative: Gli autori introducono RAN e STTR per risolvere le sfide specifiche dell'addestramento di backdoor su caratteristiche di immagine. RAN previene il collasso del gradiente ricostruendo il rumore adversariale, mentre STTR mitiga l'overfitting limitando l'iniezione a brevi timestep.
3. Furtività e Robustezza: I campioni incorporati con trigger risultanti sono percettivamente indistinguibili dalle immagini pulite. L'attacco elude le difese all'avanguardia (Elijah, TERD) che si basano sul rilevamento di pattern anomali o sull'inversione dei trigger, poiché i trigger basati sullo stile non introducono artefatti sospetti.
4. Capacità di Migrazione: Lo studio rivela che il backdoor non è limitato ai compiti da immagine a immagine; può essere attivato anche nei compiti da testo a immagine se il modello viene sollecitato a generare immagini nello specifico stile trigger.

Risultati Sperimentali

• Tasso di Successo dell'Attacco (ASR): GUNGNIR ha raggiunto un ASR del 61,50% su tre modelli di base (Stable Diffusion v1.5, v2.1 e Realistic Vision v4.0). Sebbene inferiore rispetto ad alcuni attacchi basati su patch, gli autori notano che ciò è sufficiente per un attacco robusto data l'alta furtività.
• Evasione delle Difese: L'attacco ha raggiunto un 0% di Tasso di Rilevamento Backdoor (BDR) contro entrambi i framework di difesa Elijah e TERD. I trigger basati sullo stile non sono stati rilevati come anomalie.
• Robustezza: L'attacco è rimasto efficace anche dopo la purificazione basata sul fine-tuning, dimostrando resistenza alle comuni strategie di difesa dei modelli.
• Studi di Ablazione: Gli esperimenti hanno confermato che senza RAN, i gradienti collassano (l'ASR scende a quasi zero). Senza STTR, il modello va in overfitting, generando immagini target indiscriminatamente. Le prestazioni ottimali sono state riscontrate con specifiche intensità di RAN ($\gamma$) e finestre di timestep brevi.

Significato e Affermazioni

Il documento afferma che GUNGNIR rivela una vulnerabilità precedentemente poco esplorata nei Modelli di Diffusione: la suscettibilità ai backdoor basati sullo stile. Il significato risiede in:

• Furtività: L'attacco utilizza caratteristiche naturali al processo di generazione delle immagini, rendendole invisibili sia all'ispezione umana che ai rilevatori automatizzati progettati per trigger espliciti.
• Cambio di Paradigma: Mette in discussione l'assunto secondo cui i trigger backdoor devono essere espliciti o a bassa dimensionalità, mostrando che le caratteristiche semantiche di alto livello (stile) possono essere armate.
• Implicazioni per la Sicurezza: I risultati suggeriscono che le attuali meccanismi di difesa sono insufficienti contro attacchi che sfruttano la capacità intrinseca del modello di percepire e replicare caratteristiche stilistiche. Gli autori sostengono che la ricerca futura debba affrontare questi spazi di attacco ampliati per garantire la sicurezza dei sistemi di IA generativa.

Gli autori mantengono una posizione modesta, riconoscendo che l'ASR è leggermente inferiore rispetto agli attacchi basati su patch a causa della difficoltà intrinseca del processo di diffusione nell'aderire strettamente ai vincoli di stile senza moduli aggiuntivi di trasferimento dello stile. Tuttavia, sottolineano che il compromesso in termini di furtività e la capacità di eludere le difese esistenti rendono GUNGNIR un vettore di minaccia critico.