Poisoning the Pixels: Revisiting Backdoor Attacks on Semantic Segmentation

1. Il Problema

I modelli di segmentazione semantica sono fondamentali per applicazioni critiche per la sicurezza, come la guida autonoma, l'imaging medico e il telerilevamento, poiché assegnano un'etichetta di classe a ogni pixel di un'immagine. Nonostante il loro ampio utilizzo, la loro vulnerabilità agli attacchi backdoor è stata finora sottostimata.

La ricerca esistente su questo tema ha limitato i suoi studi a:

• Un singolo vettore di attacco: la classificazione errata di un oggetto come "sfondo" (Object-to-Background).
• Progettazioni di trigger (inneschi) euristiche adattate dalla classificazione di immagini, che non garantiscono prestazioni ottimali nella segmentazione.
• Modelli basati su CNN tradizionali, trascurando architetture emergenti come i Transformer e il Segment Anything Model (SAM).

Questo lavoro evidenzia che tali limitazioni lasciano scoperte gravi vulnerabilità di sicurezza che potrebbero portare a conseguenze catastrofiche (es. un pedone non rilevato o un ostacolo fantasma).

2. Metodologia: Il Framework BADSEG

Gli autori introducono BADSEG (BAckDoor attacks on semantic SEGmentation), un framework unificato progettato per ottimizzare gli attacchi backdoor specifici per la segmentazione semantica. Il processo si articola in tre fasi principali:

1. Preparazione del Backdoor (Surrogate Model):

   • L'attaccante addestra un modello "surrogato" su un dataset ausiliario per approssimare il comportamento del modello vittima (in un setting black-box).
   • Questo permette di ottimizzare i parametri dell'attacco senza accesso diretto al modello target.

2. Ottimizzazione del Trigger:

   • Il problema della progettazione del trigger (forma, dimensione, posizione, quantità, intensità) viene formulato come un problema di ottimizzazione end-to-end.
   • Poiché molti parametri sono discreti (es. scegliere una forma tra cerchio, quadrato, ecc.), gli autori utilizzano la rilassazione Gumbel-Softmax. Questo rende lo spazio dei parametri differenziabile, permettendo l'uso della discesa del gradiente per trovare la configurazione del trigger che massimizza l'efficacia dell'attacco mantenendo l'invisibilità.

3. Manipolazione delle Etichette (Label Manipulation):

   • Invece di scegliere coppie vittima-target arbitrariamente, il framework calcola le distanze semantiche tra le classi nello spazio delle feature.
   • Vengono selezionate coppie di classi (vittima e target) con la minima distanza semantica (es. "auto" e "strada" o "marciapiede" e "strada"). Questo sfrutta la similarità delle feature per rendere l'attacco più efficiente e meno invasivo per il modello.

3. Vettori di Attacco Identificati

Il paper espande significativamente lo spettro delle minacce, identificando 6 vettori di attacco distinti:

• Attacchi a Grana Grossa (Coarse-Grained):

  1. Object-to-Object (O2O): Un oggetto viene erroneamente classificato come un altro oggetto (es. un pedone diventa un'auto).
  2. Object-to-Background (O2B): Un oggetto viene cancellato e classificato come sfondo (es. un'auto diventa parte della strada).
  3. Background-to-Object (B2O): Il modello "allucina" oggetti in aree di sfondo (es. vedere un'auto dove c'è solo asfalto).
  4. Background-to-Background (B2B): Errori nella classificazione di regioni "stuff" (es. classificare un marciapiede come strada percorribile).

• Attacchi a Grana Sottile (Fine-Grained):

  5. Attacco a Livello di Istanza (Instance-Level): Il trigger colpisce solo istanze specifiche di un oggetto, lasciando le altre intatte, rendendo l'attacco più difficile da rilevare.
  6. Attacco Condizionale (Conditional): L'attacco si attiva solo se il trigger è presente insieme a condizioni contestuali specifiche (es. solo auto rosse con il trigger).

4. Risultati Sperimentali

Gli esperimenti sono stati condotti su dataset di guida autonoma (BDD100K, Cityscapes) e su diverse architetture (PSPNet, DeepLabV3, ConvNeXt, Transformer).

• Efficacia: BADSEG raggiunge tassi di successo dell'attacco (ASR) estremamente elevati, spesso superiori al 90-98% su tutti i vettori di attacco e modelli testati.
• Utilità del Modello: Gli attacchi preservano l'accuratezza del modello su dati puliti (CBA e PBA rimangono stabili e comparabili ai modelli non infetti), dimostrando che il backdoor non degrada le prestazioni generali.
• Stealth (Furtività): I trigger ottimizzati da BADSEG sono altamente impercettibili. Le metriche di furtività (PSNR > 35, SSIM > 0.98) superano significativamente gli attacchi precedenti (HBA, OFBA, IBA), rendendo le immagini avvelenate visivamente indistinguibili da quelle pulite.
• Resistenza alle Difese: Il paper valuta sei difese rappresentative (Fine-tuning, Pruning, ABL, STRIP, TeCo, Beatrix). Il risultato è allarmante: nessuna di queste difese riesce a mitigare in modo affidabile gli attacchi proposti. Le difese basate sulla rilevazione di campioni avvelenati falliscono perché gli attacchi modificano le etichette a livello di pixel localmente, non creando anomalie statistiche globali evidenti.

5. Attacchi ad Architetture Emergenti

Il lavoro valida la vulnerabilità anche su modelli di nuova generazione:

• Transformer (ViT, Swin-T): Gli attacchi si generalizzano efficacemente, confermando che anche queste architetture avanzate sono vulnerabili.
• Segment Anything Model (SAM): Poiché SAM non usa etichette di classe fisse ma maschere condizionate da prompt, gli autori adattano l'attacco (BADSEG-SAM) per manipolare direttamente le maschere predette. Hanno dimostrato tre nuovi vettori:
  1. Distorsione della Maschera: Alterazione dei bordi o della posizione.
  2. Cancellazione della Maschera: Rimozione completa dell'oggetto target.
  3. Iniezione di Maschera: Creazione di oggetti fantasma.
     I risultati mostrano che SAM è altamente vulnerabile, con tassi di successo superiori al 90%.

6. Significato e Contributi Chiave

Questo lavoro è fondamentale per la sicurezza dell'IA perché:

1. Ridefinisce il panorama delle minacce: Sposta il focus da un singolo tipo di attacco (O2B) a un ecosistema completo di 6 vettori di attacco, inclusi quelli a grana fine e condizionali.
2. Introduce un framework unificato: BADSEG dimostra che l'ottimizzazione differenziabile dei trigger e la selezione basata sulla distanza semantica sono strategie superiori rispetto alle euristiche precedenti.
3. Espone lacune critiche nelle difese: Dimostra che le attuali difese, efficaci per la classificazione, sono inefficaci per la segmentazione, richiedendo lo sviluppo di nuove contromisure specifiche per la predizione densa (pixel-wise).
4. Avverte sui rischi futuri: Evidenzia che i modelli più recenti e potenti, come SAM e i Transformer, non sono intrinsecamente sicuri e possono essere compromessi con la stessa facilità dei modelli CNN tradizionali.

In sintesi, il paper avverte che la sicurezza dei sistemi di visione artificiale per la guida autonoma e altre applicazioni critiche è attualmente fragile e richiede un ripensamento urgente delle strategie di difesa specifiche per la segmentazione semantica.