💻 computer science

Why Neural Structural Obfuscation Can't Kill White-Box Watermarks for Good!

Il paper presenta \textsc{Canon}, un framework di recupero che, ridefinendo l'obfuscazione strutturale neurale come una minaccia di coerenza grafo, ripristina con successo il 100% la verificabilità dei watermark a scatola bianca alterando globalmente i consumatori a valle per sincronizzare i layout di rete, annullando così l'efficacia degli attacchi NSO.

Autori originali: Yanna Jiang, Guangsheng Yu, Qingyuan Yu, Yi Chen, Qin Wang

Pubblicato 2026-03-17

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Yanna Jiang, Guangsheng Yu, Qingyuan Yu, Yi Chen, Qin Wang

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immagina di avere un'opera d'arte digitale, un modello di intelligenza artificiale (come un sistema che riconosce i gatti o le auto). Per proteggere la tua proprietà intellettuale, hai nascosto un "segreto" (un filigrana digitale o watermark) dentro i mattoni fondamentali di questa opera: i numeri che compongono la sua mente.

Fino a poco tempo fa, c'era un nuovo trucco chiamato NSO (Neural Structural Obfuscation). Gli attaccanti dicevano: "Non dobbiamo cancellare il segreto, basta che lo nascondiamo cambiando la struttura della casa!".
In pratica, aggiungevano "muri finti" (neuroni inutili) o spostavano le stanze, rendendo il modello identico nel suo comportamento (continua a riconoscere i gatti perfettamente), ma così confuso nella sua architettura che il sistema di verifica non riusciva più a trovare il segreto. Era come se qualcuno avesse ridisegnato la mappa della tua casa: la casa è la stessa, ma se cerchi il cassetto segreto al "piano 1, stanza 3", non lo trovi più perché ora è al "piano 1, stanza 3B" o nascosto dietro un muro finto.

Gli esperti pensavano che questo fosse un colpo mortale per la sicurezza: un attacco "a costo zero" che rendeva le prove di proprietà inutili.

Ma questo paper dice: "Non è così semplice!"

Gli autori hanno creato un nuovo sistema chiamato CANON che funziona come un detective architetto o un restauratore geniale. Ecco come funziona, con delle analogie semplici:

1. Il Problema: La Casa dei Muri Finti

Immagina che l'attaccante abbia costruito un labirinto. Ha aggiunto corridoi che non portano da nessuna parte (neuroni "dummy" o finti) e ha duplicato porte che si annullano a vicenda.
Il problema è che, se guardi solo una stanza alla volta, sembra tutto normale. È come se qualcuno avesse aggiunto una stanza vuota in mezzo alla tua cucina: la cucina funziona ancora, ma il tuo sistema di sicurezza non sa più dove guardare.

2. La Soluzione: CANON (Il Restauratore)

CANON non cerca di indovinare quale muro è finto. Invece, guarda come l'acqua (i dati) scorre attraverso la casa.

L'Analogia dell'Acqua: Immagina di inviare un piccolo flusso d'acqua (un "probe" o sonda) attraverso la casa.
- Se c'è un muro finto (un neurone inutile), l'acqua non lo attraversa o lo attraversa in modo strano (si annulla o si duplica).
- CANON osserva come l'acqua si comporta in ogni stanza. Se vede che due tubi portano la stessa acqua con lo stesso ritmo, capisce che uno dei due è un duplicato inutile.

3. La Magia: La "Sincronizzazione Globale"

Qui sta il vero genio. I vecchi metodi provavano a sistemare una stanza alla volta. Ma in una casa moderna (come le reti neurali complesse), le stanze sono collegate da ponti e corridoi (connessioni residue, rami che si uniscono).
Se l'attaccante ha spostato un muro nella cucina, deve aver spostato anche i tubi che vanno al bagno e al salotto, altrimenti l'acqua non arriverebbe!

CANON capisce questa regola: "Se cambi la struttura qui, devi cambiare tutto il resto per mantenere l'equilibrio".
Quindi, invece di guardare una stanza, CANON:

Individua i muri finti guardando come l'acqua scorre.
Smonta i muri inutili.
Ricostruisce l'intera mappa della casa, assicurandosi che tutti i ponti e i corridoi siano allineati perfettamente come prima dell'attacco.

4. Il Risultato: La Casa Ritorna Normale

Dopo che CANON ha lavorato:

La casa è di nuovo compatta (nessun muro finto).
L'acqua scorre esattamente come prima (il modello funziona al 100% uguale).
Il segreto è tornato visibile! Poiché la mappa è tornata alla sua forma originale (o a una forma "canonica" prevedibile), il sistema di sicurezza può di nuovo trovare il cassetto segreto e dire: "Sì, questa è la mia opera!".

In Sintesi

Il paper dimostra che l'attacco NSO, che sembrava invincibile perché "cambiava la forma senza cambiare la funzione", in realtà lascia delle impronte digitali strutturali.
CANON è come un detective che, vedendo che un edificio ha troppe scale che portano al nulla e che le porte sono state spostate in modo coerente, riesce a ripristinare l'edificio originale rimuovendo tutto il "rumore" aggiunto dall'attaccante.

La morale? Non puoi nascondere un segreto cambiando solo la forma della casa se il modo in cui cambi la forma deve seguire regole matematiche rigide per far funzionare la casa. CANON sfrutta queste regole per smascherare l'inganno e recuperare la prova di proprietà, rendendo l'attacco "a costo zero" in realtà un costo molto alto per chi vuole nascondere la verità.

1. Il Problema: Obfuscazione Strutturale Neurale (NSO)

Il lavoro affronta una minaccia critica alla sicurezza dei modelli di Deep Learning: l'Obfuscazione Strutturale Neurale (NSO), introdotta in USENIX Security '23.

Natura dell'attacco: L'NSO è una famiglia di trasformazioni "a costo zero" che modificano la struttura interna della rete (iniettando neuroni fittizi o "dummy") senza alterare la funzionalità del modello (equivalenza funzionale).
Meccanismi: L'attacco utilizza tre strategie principali:
1. nso_zero: Iniezione di canali con pesi in ingresso/uscita tutti zero.
2. nso_clique: Duplicazione dei pesi in ingresso con pesi in uscita che si annullano a vicenda (somma zero).
3. nso_split: Sostituzione di un canale con $d+1$ sostituti i cui pesi in uscita sommano al valore originale.
Impatto sulle Watermark: Le tecniche di watermarking "white-box" esistenti si basano spesso sull'assunzione implicita che i parametri siano accessibili tramite indici fissi e ordinati. L'NSO rompe questa assunzione mescolando gli indici dei canali e inserendo ridondanza strutturale, rendendo il recupero del messaggio di watermark impossibile per i verificatori esistenti, pur mantenendo invariata l'accuratezza del modello.
Limiti delle difese precedenti: Le difese proposte nel lavoro originale di NSO erano limitate ad architetture sequenziali semplici e non gestivano correttamente le moderne reti a grafo (con connessioni residue, concatenazioni, ecc.), né offrivano un meccanismo di recupero completo senza conoscere il modello originale.

2. Metodologia: Il Framework CANON

Gli autori propongono CANON, un framework di recupero end-to-end che trasforma l'attacco NSO da una rimozione irreversibile a un problema di ridondanza strutturale risolvibile.

A. Riformulazione della Minaccia (Modello Produttore-Consumatore)

Il contributo teorico fondamentale è la ridefinizione dell'NSO come un modello di minaccia coerente con il grafo (graph-consistent).

Invece di vedere l'attacco come modifiche locali ai layer, CANON lo modella come una trasformazione della base dei canali che deve propagarsi coerentemente attraverso tutto il grafo di calcolo.
Vincoli di Coerenza: Per mantenere l'equivalenza funzionale in architetture moderne (come ResNet, EfficientNet, Inception), qualsiasi modifica introdotta da un "produttore" (es. un layer convoluzionale) deve essere assorbita coerentemente da tutti i "consumatori" a valle (es. operazioni add residue, concatenazioni cat, fan-out).
Questo vincolo impone che i canali dummy e le ridondanze seguano pattern specifici (cancellazione, proporzionalità) che sono rilevabili.

B. Il Processo di Recupero (CANON)

CANON recupera una rappresentazione canonica e compatta del modello attraverso i seguenti passaggi:

Rilevamento della Ridondanza (Probing): Il sistema esegue il modello attaccato su un piccolo set di input di prova (probe) in modalità di valutazione. Analizza le attivazioni dei canali per identificare pattern di ridondanza:
- Firme di Attività: Hashing dei bit di attività (on/off) dei canali per raggrupparli in bucket.
- Stima di Proporzionalità: All'interno dei bucket, si verifica se i canali sono proporzionali tra loro (tipico di nso_split) o se i loro contributi pesati si annullano (tipico di nso_clique).
Sintesi della Trasformazione: Si costruisce una trasformazione lineare sparsa ( $M_e$ ) per ogni bordo del grafo che mappa l'uscita "attaccata" (espansa) a un'uscita "compatta" (recuperata).
Riscrittura Globale Coerente: Invece di applicare correzioni locali, CANON propaga la trasformazione $M_e$ $M_{e}$ a tutti i consumatori lineari a valle (pesi $W \leftarrow W \cdot M$ $W \leftarrow W \cdot M$ ).
- Sincronizzazione: Per le operazioni di fusione (come add residuale), si impone che i rami abbiano layout di canali sincronizzati. Per le concatenazioni (cat), si usano trasformazioni a blocchi diagonali.
Output: Il risultato è un modello $\hat{\theta}$ che è funzionalmente equivalente all'originale ma ha una struttura compatta e allineata, rendendo nuovamente applicabili i verificatori di watermark white-box.

3. Contributi Chiave

Generalizzazione del Modello di Minaccia: L'NSO è stato esteso da un attacco locale a un modello di minaccia coerente con il grafo, che copre operazioni complesse come fan-out, add residuale e cat di canali.
Dimostrazione di Recupero: Si dimostra che l'obfuscazione NSO è fondamentalmente recuperabile. Le ridondanze strutturali imposte dalla necessità di equivalenza funzionale creano vincoli globali che permettono di identificare e rimuovere i canali dummy senza conoscere i dettagli dell'attacco o il modello originale pulito.
Framework CANON: Il primo framework end-to-end che neutralizza l'NSO costruendo una base di canali coerente con il grafo, sincronizzando i layout attraverso l'intera rete.
Invalidazione Empirica della "Rimozione a Costo Zero": Si dimostra sperimentalmente che l'NSO non è una strategia permanente per rimuovere le watermark.

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su quattro architetture CNN (ResNet-18, EfficientNet, InceptionV3, DenseNet) e nove schemi di watermarking white-box diversi (basati su pesi, attivazioni e passaporti).

Recupero Completo: CANON ha raggiunto un 100% di successo nel recupero della verificabilità della watermark in tutti i casi testati, anche sotto attacchi NSO composti e forti (rapporto di iniezione $\rho = 0.2$ e $0.5$).
Nessuna Perdita di Utilità: Il recupero non introduce alcuna perdita di accuratezza ( $\Delta acc = 0$ ). Il modello recuperato mantiene esattamente le stesse prestazioni del modello originale.
Certificazione di Equivalenza: È stato introdotto un protocollo di verifica a due livelli. Il livello 1 (Tier-1) fornisce una certificazione di equivalenza di riferimento: dimostra che i pesi recuperati corrispondono esattamente al modello originale (a meno di permutazioni e scaling consentiti), validando il recupero in modo indipendente dallo schema di watermark specifico.
Zero Falsi Positivi: Applicando CANON a modelli non attaccati, non vengono apportate modifiche strutturali e l'accuratezza rimane invariata, dimostrando che il sistema è sicuro e non danneggia i modelli legittimi.
Costo Computazionale: Il tempo di recupero è accettabile (nell'ordine di secondi o pochi minuti) e dipende principalmente dalla complessità strutturale dell'attacco, non dal tipo di watermark.

5. Significato e Implicazioni

Questo lavoro ha un impatto significativo sulla sicurezza dell'AI:

Sfata il mito dell'NSO: Dimostra che l'obfuscazione strutturale, sebbene potente nel rompere le verifiche basate sugli indici, non può nascondere permanentemente la proprietà intellettuale se si sfruttano i vincoli matematici dell'equivalenza funzionale.
Nuovo Paradigma di Difesa: Sposta il focus dalla semplice robustezza dei parametri alla ricostruzione canonica della struttura del modello.
Praticità: Fornisce una soluzione pratica per i proprietari di modelli che devono verificare la proprietà intellettuale anche dopo che il modello è stato distribuito e potenzialmente modificato da terzi.
Fondamento Teorico: Stabilisce che le trasformazioni strutturali che preservano la funzione in reti a grafo non sono arbitrarie, ma obbediscono a vincoli di consistenza che possono essere sfruttati per la difesa.

In sintesi, il paper conclude che l'NSO non può "uccidere" definitivamente le watermark white-box; al contrario, introduce una ridondanza strutturale prevedibile che, se analizzata correttamente tramite un approccio coerente con il grafo, permette di ripristinare completamente la verificabilità della proprietà intellettuale.