Riepilogo Tecnico: SABRE-FL

Definizione del Problema

L'Apprendimento di Prompt Federato (Federated Prompt Learning - FPL) è emerso come un paradigma efficiente per l'adattamento di grandi modelli vision-language (VLM), come CLIP, attraverso client decentralizzati. Nell'FPL, i client ottimizzano vettori di prompt leggeri e apprendibili mantenendo il backbone del modello congelato, condividendo solo questi prompt con un server centrale. Nonostante la sua natura preservante della privacy e l'efficienza nella comunicazione, le implicazioni di sicurezza dell'FPL rimangono poco esplorate.

Questo articolo identifica una vulnerabilità critica: l'Apprendimento di Prompt Federato è altamente suscettibile ad attacchi backdoor. Gli autori dimostrano che i client malevoli possono iniettare trigger di rumore apprendibili e visivamente impercettibili nei propri dati di addestramento locali. Questi trigger sono ottimizzati per spostare gli embedding delle immagini nello spazio semantico di CLIP verso una specifica classe target. Di conseguenza, il prompt learner globale, quando aggregato, diventa vulnerabile alla classificazione errata mirata su input contenenti il trigger, pur mantenendo un'alta accuratezza su dati puliti e benigni. Questo attacco è particolarmente insidioso perché opera all'interno dello spazio limitato dei parametri dei vettori di prompt, pur compromettendo efficacementamente l'integrità del modello globale senza degradarne l'utilità complessiva.

Metodologia

1. L'Attacco Backdoor

Gli autori propongono il primo attacco backdoor specificamente mirato all'apprendimento di prompt in un contesto federato.

• Meccanismo: I client malevoli (assunti essere una frazione del totale, ad esempio il 25%) iniettano un trigger di rumore additivo apprendibile ($t$) in un sottoinsieme delle loro immagini locali ($x^* = x \oplus t$).
• Ottimizzazione: Il trigger è ottimizzato congiuntamente al prompt learner per massimizzare la similarità del coseno tra l'embedding dell'immagine avvelenata e l'embedding testuale di una classe target ($y_{target}$), minimizzando al contempo la similarità con l'etichetta reale.
• Modello di Minaccia: L'attaccante controlla un sottoinsieme di client, ha piena conoscenza dell'architettura del modello (backbone CLIP congelato) e può rinominalizzare i campioni avvelenati con la classe target (attacco dirty-label).
• Risultato: L'attacco impianta con successo una backdoor nel prompt learner globale. In fase di inferenza, qualsiasi input contenente il trigger viene classificato erroneamente come la classe target con alta confidenza, mentre gli input puliti rimangono inalterati.

2. La Difesa: SABRE-FL

Per contrastare questa vulnerabilità, gli autori propongono SABRE-FL (Selective and Accurate Backdoor Rejection for Federated Prompt Learning), una difesa leggera lato server.

• Intuizione Centrale: Sebbene il trigger sia visivamente impercettibile, esso induce uno spostamento sistematico e consistente degli embedding delle immagini all'interno dello spazio di embedding di CLIP. Questa deviazione crea una firma statistica che distingue gli aggiornamenti avvelenati da quelli puliti.
• Addestramento del Detector:
  • La difesa utilizza un dataset ausiliario (Caltech-101) per generare un set di addestramento di embedding.
  • Immagini pulite e immagini con trigger iniettati vengono passate attraverso l'encoder di immagini CLIP congelato per produrre gli embedding.
  • Un classificatore binario (detector) viene addestrato offline su questi embedding per distinguere tra rappresentazioni "pulite" e "avvelenate". Fondamentalmente, questo detector non richiede l'accesso ai dati grezzi del client, alle etichette o ai gradienti.
• Inferenza e Filtraggio:
  • Durante ogni round federato, il server riceve gli aggiornamenti dei prompt dai client.
  • Il server calcola il punteggio medio del detector per gli embedding associati all'aggiornamento di ciascun client.
  • Viene impiegata un'euristica basata sul ranking: i $m$ client con il maggior numero di embedding segnalati (avvelenati) vengono esclusi dal processo di aggregazione. Ciò presuppone un limite superiore sul numero di client malevoli.

Contributi Chiave

1. Primo Studio sui Backdoor nell'FPL: L'articolo presenta la prima investigazione sugli attacchi backdoor all'interno dell'apprendimento di prompt federato. Stabilisce che anche con aggiornamenti di parametri limitati (solo i prompt), il sistema è vulnerabile ad attacchi basati su trigger che ottengono alti tassi di successo preservando l'accuratezza sui dati puliti.
2. Difesa SABRE-FL: Gli autori progettano una difesa modulare e generalizzabile che opera nello spazio degli embedding. Essa rileva gli aggiornamenti avvelenati utilizzando un detector addestrato offline, richiedendo nessun accesso ai dati privati dei client.
3. Validazione Teorica ed Empirica: Il lavoro fornisce condizioni teoriche per la generalizzazione del detector e ampie valutazioni empiriche su cinque diversi dataset (Flowers, Pets, DTD, FGVC Aircraft, Food101) e quattro difese baseline (Trimmed Mean, Median, Norm Bounding, FLAME).

Risultati

La valutazione dimostra che SABRE-FL supera significativamente le esistenti baseline di aggregazione robusta:

• Mitigazione del Backdoor: SABRE-FL riduce l'accuratezza del backdoor a livelli vicini allo zero in tutti i dataset (ad esempio, 1,1% su Flowers, 1,9% su Food101, 7,6% su FGVC Aircraft), mentre i metodi baseline spesso lasciano un significativo influsso del backdoor (ad esempio, FLAME lascia il 16,4% su FGVC Aircraft).
• Preservazione dell'Accuratezza Clean: La difesa mantiene un'accuratezza sui dati puliti comparabile o migliore rispetto ai metodi baseline, provando che il filtraggio dei client avvelenati non pregiudica la generalizzazione del modello sui dati benigni.
• Generalizzazione: Il detector, addestrato su Caltech-101, si generalizza con successo a diversi domini, inclusi il riconoscimento di oggetti fine-grained e compiti basati sulla texture, senza necessità di riaddestramento.
• Robustezza al Numero di Shot: La difesa rimane efficace anche all'aumentare del numero di shot (campioni per classe), uno scenario in cui i prompt learner tipicamente diventano più suscettibili ad attacchi basati sulla memorizzazione.
• Evidenza Visiva: Le visualizzazioni t-SNE confermano una chiara separazione tra gli embedding puliti e quelli con backdoor nello spazio CLIP, validando il meccanismo sottostante della difesa.

Significato e Rivendicazioni

L'articolo sostiene che l'Apprendimento di Prompt Federato, nonostante i suoi benefici in termini di efficienza e privacy, introduce una nuova superficie di attacco attualmente non affrontata. Il significato di questo lavoro risiede in:

• Esporre una Vulnerabilità Critica: Dimostrare che la natura "leggera" dell'apprendimento di prompt non protegge intrinsecamente dalla manipolazione avversaria; anzi, l'allineamento semantico dei prompt può essere sfruttato per piantare backdoor durevoli.
• Fornire una Soluzione Pratica: SABRE-FL offre una difesa fattibile che si allinea ai vincoli di privacy dell'apprendimento federato (nessun accesso ai dati grezzi) pur neutralizzando efficacementamente la minaccia.
• Evidenziare la Necessità di Robustezza: Gli autori sottolineano la necessità di integrare misure di sicurezza robuste nei futuri sistemi federati, in particolare man mano che questi adottano modelli fondativi e strategie di adattamento basate su prompt.

L'articolo conclude che, sebbene gli attacchi backdoor siano una minaccia potente, le costanti deviazioni statistiche che essi causano negli spazi di embedding possono essere sfruttate per costruire difese efficaci e preservanti della privacy.