Cryptographic Backdoor for Neural Networks: Boon and Bane

Sintesi Tecnica: Backdoor Crittografica per le Reti Neurali: Beneficio e Pericolo

Definizione del Problema
Le reti neurali profonde (DNN) sono sempre più impiegate come Machine Learning as a Service (MLaaS), creando rischi significativi relativi al furto di proprietà intellettuale (IP), all'estrazione del modello e all'accesso non autorizzato. Mentre le difese esistenti, come il watermarking e il fingerprinting, si basano spesso su tecniche di backdoor, queste vengono frequentemente viste come vulnerabilità. Al contrario, le backdoor crittografiche introdotte da Goldwasser et al. [10] offrono un'indetectabilità teorica ma mancano di esplorazione in scenari di applicazione pratica. Questo articolo affronta la duplice natura della backdoor crittografica: il suo potenziale come potente e invisibile vettore di attacco avversario e la sua utilità come meccanismo robusto per garantire la privacy e la proprietà delle reti neurali.

Metodologia
Gli autori propongono un framework in cui una backdoor crittografica viene implementata come un circuito parallelo al classificatore della rete neurale primaria, anziché modificare i pesi del modello attraverso il poisoning. Il meccanismo centrale si basa su schemi di firma digitale:

1. Architettura: Il sistema consiste in un classificatore standard $f(x)$ e in un circuito di verifica della firma $V$.
2. Trasformazione dell'Input: I campioni di input sono aumentati con una coppia messaggio-firma $(m, \sigma)$. Il messaggio $m$ è incorporato nell'input (ad esempio, tramite steganografia LSB nei pixel meno significativi nelle immagini), e $\sigma$ è una firma valida generata utilizzando una chiave segreta $sk$.
3. Logica di Attivazione: Durante l'inferenza, il sistema estrae $(m, \sigma)$. Se la firma viene verificata con successo rispetto alla chiave pubblica $vk$($VERIFY(\sigma, m, vk) = \text{valido}$), l'output è determinato dal circuito di verifica (che può essere manipolato per produrre output "inutilizzabili" o etichette malevole specifiche). Se la firma è invalida o mancante, il sistema restituisce la predizione del classificatore standard.
4. Base Teorica: La sicurezza si basa sulla forte non-falsificabilità delle firme digitali. Senza la chiave segreta $sk$, un avversario non può generare una firma valida per attivare la backdoor, garantendo che la backdoor sia non replicabile e computazionalmente indistinguibile da un modello pulito sotto accesso black-box.

Contributi Chiave
L'articolo stabilisce che le backdoor crittografiche servono due funzioni opposte:

• Il "Pericolo" (Attacco Avversario): Gli autori estendono il lavoro teorico di Goldwasser et al. [10] ai compiti di classificazione di immagini. Dimostrano un attacco indetectabile in black-box, dove un avversario, possedendo la chiave segreta, può forzare il modello a produrre predizioni arbitrarie per specifici input trigger. L'attacco è invisibile alle valutazioni standard perché il modello si comporta normalmente sui campioni benigni, e il trigger è impercettibile all'osservatore umano.
• Il "Beneficio" (Meccanismi di Difesa): L'articolo propone tre applicazioni pratiche per la sicurezza dei sistemi ML:
  1. Watermarking Provabilmente Robusto: Uno schema in cui solo un auditor con il set di firme valido può verificare la proprietà. Il watermark è persistente perché si basa sul circuito di verifica esterno, non sui parametri del modello, rendendolo resistente agli attacchi di fine-tuning.
  2. Autenticazione dell'Utente: Un protocollo in cui gli utenti devono fornire una chiave segreta valida per ricevere predizioni significative. Senza la chiave corretta, il modello restituisce output manipolati ("inutilizzabili"), impedendo l'estrazione o la distillazione non autorizzata del modello.
  3. Tracciamento della Proprietà Intellettuale (IP Tracking): Un meccanismo per tracciare la condivisione non autorizzata del modello. Assegnando set di etichette trigger unici a ogni copia destinata a uno specifico utente (derivati tramite hashing crittografico della chiave segreta dell'utente), il proprietario può identificare la fonte di una fuga basandosi su quale set di trigger specifico dell'utente produce un'alta accuratezza.

Risultati Sperimentali
Gli autori hanno implementato questi protocolli su architetture allo stato dell'arte (ResNet-18, ResNet-50, ResNet-152) utilizzando i dataset CIFAR-10 e ImageNet.

• Efficacia dell'Attacco: La backdoor ha ridotto con successo l'accuratezza del modello a livelli quasi casuali (0,80% su CIFAR-10, 1,03% su ImageNet) quando erano presenti i trigger validi, mantenendo l'accuratezza di base (92,26% e 80,11% rispettivamente) sui campioni benigni.
• Prestazioni della Difesa:
  • Watermarking: Ha raggiunto il 100% di accuratezza sui set di trigger per gli auditor autorizzati con firme valide, mentre le parti non autorizzate hanno ottenuto un'accuratezza vicina allo zero.
  • Autenticazione: Gli utenti con chiavi segrete valide hanno ottenuto la piena accuratezza, mentre quelli con chiavi non valide hanno ricevuto output inutilizzabili (ad esempio, 0,09% di accuratezza su ImageNet).
  • IP Tracking: I modelli distribuiti a utenti specifici hanno raggiunto il 100% di accuratezza sulle loro etichette trigger designate, ma sono scesi significativamente (massimo 23% su CIFAR-10, 2% su ImageNet) quando testati contro i set di etichette di altri utenti, confermando la tracciabilità.
• Overhead Computazionale: Lo studio evidenzia un significativo compromesso. La decodifica delle coppie messaggio-firma (particolarmente con schemi post-quantum come Dilithium2) introduce una latenza sostanziale, fino a 25,8 volte il tempo di inferenza per ResNet-18 su ImageNet. Gli autori suggeriscono la parallelizzazione o una steganografia più efficiente come strategia di mitigazione.

Significatività e Rivendicazioni
L'articolo sostiene di essere il primo a costruire empiricamente una backdoor crittografica in parallelo a una rete neurale ospite, dimostrando la sua duplice utilità sia per attacchi malevoli che per la sicurezza difensiva. Gli autori affermano che i loro protocolli sono provabilmente robusti contro avversari con accesso black-box, basandosi sull'assunto crittografico che le firme digitali siano non falsificabili.

Tuttavia, l'articolo mantiene un tono modesto riguardo ai propri limiti. Riconosce che le prove per i meccanismi di difesa richiedono ulteriori studi teorici e che le attuali implementazioni sono principalmente black-box. Gli autori notano che l'overhead computazionale della verifica della firma è un limite significativo per l'impiego in tempo reale. Inoltre, chiariscono che, sebbene utilizzino idee di Goldwasser et al. [10], l'indetectabilità white-box proposta in quel lavoro è attualmente limitata a specifici paradigmi di apprendimento (Random Fourier Features) e non è ancora pienamente applicabile ai moderni contesti di ML generale. L'articolo conclude suggerendo che le primitive post-quantum possono essere utilizzate per queste backdoor, ponendo le basi per la sicurezza del machine learning nell'era quantistica.