Riepilogo Tecnico: Dalla Diagnosi Interna all'Auditing Esterno

1. Definizione del Problema

Le Reti Neurali Profonde (DNN) rimangono fondamentalmente vulnerabili agli attacchi backdoor, in cui gli avversari avvelenano i dati di addestramento per impiantare trigger nascosti che dirottano il comportamento del modello su input specifici, preservando al contempo le prestazioni sui dati benigni. Il panorama delle minacce si è evoluto da pattern vistosi a strategie furtive di tipo dinamico, clean-label e clean-image, rendendo il rilevamento tradizionale sempre più difficile.

Negli scenari "Model-as-a-Service", i difensori spesso non hanno accesso ai dati di addestramento puliti o ai pesi del modello vittima, rendendo necessario un difesa data-free al tempo di test (test-time defense). La ricerca attuale è limitata dal paradigma della diagnosi interna, che soffre di due vulnerabilità fondamentali:

1. Metodi di Riparazione del Modello: Questi ispezionano le proprietà interne del modello vittima (ad esempio, tracce di attivazione dei neuroni, Lipschitzianità dei canali). Falliscono contro attacchi dinamici avanzati che ottimizzano esplicitamente i trigger per sopprimere queste anomalie interne.
2. Metodi di Robustezza dell'Input: Questi si affidano a perturbazioni dell'input o controlli di coerenza. Falliscono contro backdoor naturali (ad esempio, attacchi clean-image) dove il trigger è una caratteristica semantica robusta indistinguibile dalle caratteristiche benigne tramite perturbazione.

La sfida centrale è sviluppare una difesa che sia robusta attraverso diverse modalità di attacco senza fare affidamento sugli stati interni del modello compromesso o su fragili assunzioni sull'input.

2. Metodologia: PRISM

Gli autori propongono PRISM (Prototype Refinement & Inspection via Statistical Monitoring), un cambio di paradigma dalla diagnosi interna all'Auditing Semantico Esterno Online. Questo approccio scinde la difesa dal modello compromesso utilizzando un modello visione-linguaggio (VLM) universale e pre-addestrato come auditor indipendente e "pulito".

PRISM opera come un wrapper al tempo di test attorno al sospetto modello vittima utilizzando un'architettura a tre pilastri:

A. Framework di Inferenza a Doppio Stream

Per ogni campione di test $x$ in entrata, il sistema avvia due passaggi forward concorrenti:

1. Stream Vittima: Elabora $x$ attraverso il modello potenzialmente compromesso $f_S$ per ottenere predizioni e logit.
2. Stream Auditor: Elabora $x$ attraverso un VLM Universale congelato e fidato (ad esempio, CLIP, Qwen-VL). Il VLM agisce come un "Insegnante Universale", fornendo un segnale di verifica semantica basato sulla sua vasta conoscenza del mondo aperto, che è statisticamente indipendente dalla distribuzione avvelenata della vittima.

B. Insegnante Ibrido VLM

Per colmare il divario di dominio tra i VLM generici e i compiti specializzati a valle, PRISM impiega un meccanismo di ancoraggio ibrido:

• Ancore Testuali Statiche: Forniscono una guida semantica di alto livello tramite la similarità del coseno con etichette testuali predefinite.
• Prototipi Visivi Dinamici: Augmentano l'auditor con centroidi di classe ($C$) appresi online dallo stream di test.
• Fusione: I logit finali del VLM ($S_{VLM}$) sono una fusione pesata delle similarità basate su testo e sui prototipi:
  $$S_{VLM} = \lambda \cdot \text{Sim}(z_{img}, C) + (1 - \lambda) \cdot \text{Sim}(z_{img}, T)$$
  Ciò consente all'auditor di adattarsi alla specifica distribuzione delle caratteristiche dello stream di test senza richiedere dati di addestramento etichettati.

C. Router Adattivo tramite Monitoraggio Statistico

La logica decisionale principale determina se accettare la predizione della vittima o rifiutarla a favore del VLM. Questo è governato da una metrica di discrepanza del margine dei logit ($\Delta$):
$$\Delta = \exp\left(S_{VLM}^{\hat{y}_S} - \max_{i \neq \hat{y}_S} S_{VLM}^i\right)$$
dove $\hat{y}_S$ è la classe predetta dalla vittima. Un $\Delta$ piccolo indica un forte disaccordo (potenziale attacco), mentre un $\Delta$ grande indica allineamento.

Per gestire la natura non gaussiana e asimmetrica della distribuzione di $\Delta$, PRISM utilizza una Soglia Adattiva derivata tramite l'espansione di Cornish-Fisher:
$$\tau_k = \mu_k + \left(\zeta + \frac{\gamma_k}{6}(\zeta^2 - 1)\right) \cdot \sigma_k$$
dove $\mu_k, \sigma_k, \gamma_k$ sono la media mobile, la deviazione standard e l'asimmetria (skewness) del margine per la classe $k$, e $\zeta$ è un coefficiente di confidenza di base.

D. Meccanismo di Aggiornamento Online

PRISM impiega una Media Mobile Cumulativa (CMA) per aggiornare i momenti statistici e i prototipi visivi. Fondamentalmente, gli aggiornamenti avvengono solo quando un campione è certificato come pulito (ovvero, $\Delta > \tau$). Questo meccanismo di aggiornamento selettivo, combinato con l'inerzia statistica della CMA, garantisce la robustezza contro i cambiamenti di distribuzione e impedisce ai campioni avvelenati di corrompere lo stato della difesa.

3. Contributi Chiave

1. Nuovo Paradigma (Auditing Semantico Esterno): Il documento identifica i modi di fallimento della diagnosi interna e propone l'uso di VLM universali come auditor esterni indipendenti, scindendo efficacementamente la difesa dai modelli vittima compromessi senza accedere a pesi o dati di addestramento.
2. Framework Adattivo Online (PRISM): Un framework al tempo di test che trasforma i VLM generici in auditor efficaci tramite un Insegnante Ibrido VLM (che colma il divario di dominio) e un Router Adattivo (che evita soglie statiche tramite il monitoraggio statistico).
3. Generalizzazione e Robustezza Superiori: PRISM raggiunge prestazioni allo stato dell'arte su 17 dataset e 11 tipi di attacchi backdoor, dimostrando una robustezza unica contro attacchi clean-image e attacchi adattivi avanzati in cui i paradigmi tradizionali falliscono.

4. Risultati Sperimentali

La valutazione è stata condotta su 17 dataset (inclusi CIFAR-10, CIFAR-100, ImageNet, GTSRB e dataset specifici di dominio) e 11 attacchi backdoor allo stato dell'arte (Classici, Dinamici, Clean-Label e Clean-Image).

• Prestazioni: PRISM riesce a sopprimere l'Attack Success Rate (ASR) a < 1% su CIFAR-10 e costantemente sotto il 15% in tutti gli 11 tipi di attacco, migliorando o mantenendo contemporaneamente la Clean Accuracy (CA).
• Confronto: Supera le difese data-free esistenti (ad esempio, CLP, ScaleUp, ZIP, Refine), che spesso falliscono completamente contro attacchi Clean-Image (FLIP, GCB) o attacchi Dinamici. I baseline VLM ingenui ottengono un basso ASR ma soffrono di crolli catastrofici della CA (ad esempio, >70% su GTSRB), mentre PRISM colma questo divario.
• Efficienza: Su una GPU NVIDIA A100, PRISM (usando CLIP) raggiunge una latenza di inferenza di 12,5 ms per immagine, posizionandosi tra le difese più efficienti.
• Robustezza:
  • Architetture VLM: PRISM mantiene un basso ASR (<10%) sia con modelli di embedding (CLIP, SigLIP) che con modelli generativi (Qwen, LLaVA).
  • Scala del Dataset: Rimane efficace su dataset di dimensioni variabili di tre ordini di grandezza (da 200 a 10.000 immagini).
  • Attacchi Adattivi: PRISM resiste alle strategie adattive online (Flooding, Periodico, Misto) in cui l'avversario tenta di manipolare lo stream di test, mantenendo un ASR < 20%.
  • Compromissione dell'Auditor: In uno scenario di "Catena di Fiducia" in cui un auditor specializzato è backdoorato, un VLM generalista debole ma pulito può sanificare lo stream, recuperando la sicurezza.

5. Significato e Rivendicazioni

Il documento sostiene che PRISM stabilisce che scindere la difesa attraverso l'auditing semantico esterno non è solo fattibile, ma essenziale per la sicurezza dei modelli di prossima generazione.

• Cambio di Paradigma: Si allontana dalla fragile assunzione che le backdoor lascino impronte interne vistose o che i trigger siano sensibili alle perturbazioni dell'input. Al contrario, sfrutta l'indipendenza statistica dei modelli di base per rilevare le discrepanze semantiche.
• Praticità: Operando in modo data-free e al tempo di test senza modificare i pesi del modello, PRISM affronta i vincoli critici delle implementazioni Model-as-a-Service dove i difensori mancano di accesso ai dati di addestramento o agli interni del modello.
• Scalabilità: Il framework è indipendente dal modello e può essere esteso ad altri compiti (ad esempio, la didascalia delle immagini) adattando il gating del margine dei logit alla confidenza a livello di sequenza, offrendo una via scalabile per il monitoraggio della sicurezza dell'IA in domini critici come la sanità e la guida autonoma.

Gli autori concludono che, sebbene il paradigma dipenda dall'indipendenza statistica del VLM auditor, esso fornisce una salvaguardia robusta contro le minacce in evoluzione, inclusi gli attacchi stealthy clean-image e dinamici, stabilendo un nuovo standard per la difesa model-agnostic.