One Surrogate to Fool Them All: Universal, Transferable, and Targeted Adversarial Attacks with CLIP

Immaginate che Internet sia una città gigantesca e frenetica dove i computer agiscono come poliziotti, medici e negozianti. Questi computer usano un tipo speciale di cervello chiamato Rete Neurale Profonda (DNN) per prendere decisioni, come riconoscere un gatto in una foto o diagnosticare una malattia. Per molto tempo, gli scienziati hanno scoperto un trucco bizzarro: si può ingannare il cervello di questi computer con gli "attacchi avversari". È come mettere un piccolo adesivo, quasi invisibile, su un segnale di stop per far pensare al computer che sia un segnale di limite di velocità. Di solito, per compiere questo trucco, un hacker deve o sbirciare nel codice segreto del computer (il che è impossibile nel mondo reale) o porre al computer migliaia di domande per scoprirne i segreti (il che è troppo lento e costoso).

Ma se potessi ingannare qualsiasi cervello artificiale senza mai porgli una singola domanda? Questa è la grande domanda che questo articolo affronta. I ricercatori hanno utilizzato uno strumento potente chiamato CLIP, che è come un bibliotecario super intelligente che ha letto miliardi di libri e visto miliardi di immagini, imparando come le parole e le immagini si connettono. Volevano vedere se questo "bibliotecario universale" potesse essere usato per creare una chiave maestra — una singola, minuscola distorsione digitale — capace di ingannare quasi tutti i sistemi di visione artificiale, dalla ricerca di Google ai robot tecnologicamente avanzati, usando semplicemente parole come "gallina" o "gatto" come guida.

La Chiave Maestra: Un Unico Sostituto per Ingannarli Tutti

Incontra UnivIntruder, un nuovo framework di attacco introdotto da Binyan Xu e dal suo team. Pensatelo come a una "chiave maestra universale" per la visione artificiale. In passato, se un hacker voleva ingannare un sistema informatico specifico, doveva costruire una copia falsa di quel sistema (un "modello sostituto" o surrogate model) utilizzando gli stessi dati su cui il sistema reale era stato addestrato. Era come cercare di scassinare una serratura specifica costruendo prima una replica perfetta della serratura usando lo stesso metallo e le stesse viti. Se non avevi le planimetrie della serratura originale o il metallo esatto, la tua chiave falsa non avrebbe funzionato.

UnivIntruder cambia le regole del gioco. I ricercatori si sono resi conto che non avevano bisogno di una copia perfetta del bersaglio. Invece, hanno utilizzato CLIP, un'IA pubblicamente disponibile e super intelligente che comprende la relazione tra immagini e testo. Hanno trattato CLIP come il loro "sostituto" o serratura di prova. Ecco la magia: non hanno cercato di copiare i dati di addestramento del bersaglio. Inve invece, hanno utilizzato un dataset pubblico di immagini casuali (che potrebbero non somigliare affatto ai dati del bersaglio) e concetti testuali semplici.

Come funziona il trucco:
Immaginate di voler ingannare una telecamera di sicurezza facendo credere che l'immagine di uno scoiattolo sia in realtà una "gallina".

1. La Guida Testuale: Dite al sistema: "Voglio che questo sembri una gallina" e "Non voglio che sembri un gatto o un cavallo".
2. Lo Spostamento Direzionale: Invece di guardare solo l'immagine, il sistema guarda la differenza tra l'immagine e il testo. Calcola una "direzione" nel cervello del computer. Si chiede: "Se spingo l'immagine dello scoiattolo in questa specifica direzione, si avvicinerà al concetto di 'gallina' e si allontanerà dal concetto di 'gatto'?"
3. L'Adesivo Universale: Il sistema crea un piccolo "adesivo" universale (una perturbazione) che, quando aggiunto a qualsiasi immagine, la spinge in quella direzione.
4. Il Colpo di Scena: Per assicurarsi che questo adesivo funzioni su qualsiasi telecamera, e non solo su quella su cui si sono esercitati, fanno ruotare, zoomare e ritagliare le immagini durante la creazione dell'adesivo. Questo li costringe a rendere l'adesivo robusto, come un adesivo che continua a funzionare anche se l'auto passa attraverso un autolavaggio o viene coperto dal fango.

I Risultati: Ingannare il Mondo

Il team ha testato questa "chiave maestra" su scala massiccia. Non hanno testato l'attacco su un solo computer; lo hanno testato su 85 modelli diversi e applicazioni del mondo reale.

• I Numeri: Sui set di test standard, il loro attacco è stato terrificantemente efficace. Sul dataset CIFAR-10 (un comune test per il riconoscimento delle immagini), hanno raggiunto un tasso di successo del 99,4%. Sul massiccio dataset ImageNet (con 1.000 categorie diverse), hanno raggiunto l'85,1%.
• Il Mondo Reale: È qui che la cosa diventa spaventosa. Non si sono fermati ai test di laboratorio. Hanno provato a ingannare servizi reali:
  • Motori di Ricerca: Hanno caricato un'immagine perturbata di una scimmia su Google, Baidu, Taobao e JD. I motori di ricerca, invece di mostrare scimmie, hanno iniziato a mostrare loro delle galline. Su Baidu, il tasso di successo è stato dell'84%.
  • Super-IA: Hanno testato l'attacco su GPT-4 e Claude-3.5, i chatbot più avanzati. Mostrando un'immagine perturbata di una scimmia, queste IA l'hanno descritta con sicurezza come una "gallina" o un "pulcino". Il tasso di successo su Claude-3.5 è stato dell'80%.
  • Generatori di Immagini: Persino le IA che disegnano immagini, come DALL·E 3, sono state ingannate. Chiedendo di generare un'immagine basata sull'input perturbato, l'IA ha prodotto immagini di galline invece di scimmie.

Perché altri metodi sono falliti

Il documento è molto chiaro su ciò che non funziona. I metodi precedenti cercavano di usare CLIP come un aiuto, ma fallivano perché non tenevano conto del "bias" (pregiudizio/distorsione) dei dati.

• Il Problema del Bias: Se addestri una serratura falsa usando un dataset che ha una leggera tonalità blu, la tua chiave potrebbe funzionare solo su serrature con tonalità blu. I ricercatori hanno scoperto che usando le "direzioni" (sottraendo le caratteristiche dell'immagine originale da quelle nuove) invece delle caratteristiche grezze, riuscivano ad annullare questi bias.
• Il Problema del Sostituto: Altri metodi cercavano di usare CLIP ma fallivano nel trasferire l'attacco ad altri modelli. Gli autori hanno dimostrato che, senza i loro specifici trucchi "direzionali" e di "trasformazione casuale", anche usando CLIP, i tassi di fallimento rimanevano superiori al 70% sui modelli avanzati. UnivIntruder è l'unico metodo che ha colmato con successo il divario tra il modello pubblico CLIP e i diversi modelli sconosciuti utilizzati nel mondo reale.

Cosa significa per la sicurezza

Il documento suggerisce che la nostra attuale idea di sicurezza potrebbe essere rotta. Di solito, pensiamo che se nascondiamo i nostri dati di addestramento e limitiamo il numero di domande che le persone possono porre, saremo al sicuro. UnivIntruder dimostra che un attaccante può aggirare completamente queste difese. Non hanno bisogno dei vostri dati, e non hanno bisogno di farvi domande. Hanno solo bisogno di un'IA pubblica (CLIP) e di poche parole.

I ricercatori hanno anche testato se possiamo fermarli. Hanno provato l' "addestramento avversario" (insegnare al computer a resistere ai trucchi) e le "difese al tempo di test" (pulire l'immagine prima che venga elaborata). Sebbene questi metodi abbiano aiutato un po', spesso rendevano il computer meno bravo nel suo compito effettivo (come riconoscere veri gatti) o erano troppo costosi da eseguire su sistemi enormi come GPT-4. Il documento conclude che dobbiamo ripensare a come proteggiamo l'IA, perché un singolo modello, disponibile pubblicamente, può ora essere usato per ingannare quasi tutto.

In breve, UnivIntruder è un campanello d'allarme. Dimostra che con la giusta "chiave universale", i sistemi di visione del mondo digitale sono molto più fragili di quanto pensassimo, e che l'unica cosa che separa una scimmia da una gallina agli occhi di un'IA potrebbe essere un piccolo, invisibile glitch digitale.