Riepilogo Tecnico: Fai Attenzione ai Passi: Iniezione di Informazioni nei Modelli di Diffusione tramite Incorporamento dell'Istante Temporale Ombra

1. Enunciato del Problema

I modelli di diffusione (DM) sono diventati lo standard per l'intelligenza artificiale generativa ad alta fedeltà, tuttavia i loro meccanismi di sicurezza e di provenienza rimangono poco esplorati. Mentre la ricerca esistente si è concentrata sulla steganografia all'interno dei parametri del modello, degli spazi latenti o delle immagini di output, e sugli attacchi backdoor attivati da prompt o pattern di pixel, il componente dell'incorporamento dell'istante temporale è stato largamente trascurato come potenziale vettore di sicurezza.

Gli incorporamenti dell'istante temporale forniscono il segnale di condizionamento temporale che permette alla rete di denoising di adattare le previsioni attraverso diversi livelli di rumore. Gli autori identificano un divario critico: la capacità rappresentativa di questi incorporamenti è sottoutilizzata. Nello specifico, i codici posizionali standard (spesso sinusoidali) hanno un periodo massimo (ad esempio, 10.000) che supera di gran lunga l'intervallo tipico di addestramento (ad esempio, 1.000 step). Ciò lascia inutilizzato un vasto spazio temporale "ombra", che potrebbe potenzialmente essere sfruttato per iniettare informazioni malevole o fungere da canale covert per la provenienza legittima senza alterare la procedura di campionamento osservabile o i pesi del modello.

2. Metodologia: Incorporamento dell'Istante Temporale Ombra (STE)

Il documento propone l'Incorporamento dell'Istante Temporale Ombra (STE), un meccanismo che sfrutta lo spazio temporale inutilizzato dei modelli di diffusione per codificare distribuzioni di dati indipendenti.

Meccanismo Principale

• Estensione Temporale: I DM standard operano su un intervallo di istanti temporali fisso $t \in [0, T_0]$ (ad esempio, $T_0=1000$). Lo STE introduce un offset "ombra" $f_n$ per creare un nuovo intervallo temporale disgiunto $T_n = T_0 + f_n$.
• Offset Ombra: Invece di fornire l'istante temporale standard $t$ alla funzione di incorporamento $\Phi(t)$, il modello riceve un indice spostato $t_{sn} = t + f_n$. Questo mappa la traiettoria standard in un nuovo spazio di incorporamento $e_{t_{sn}} = \Phi(t_{sn})$.
• Ortogonalità: A causa delle proprietà della codifica posizionale sinusoidale, gli offset $f_n$ (ad esempio, multipli di 1000) inducono vettori di incorporamento che sono quasi ortogonali all'intervallo standard. Ciò crea un "manifold temporale ombra parallelo" che è linearmente separabile dal manifold esplicito.
• Addestramento in Modalità Duale: Il modello viene addestrato con una funzione di perdita combinata:
  $$L_{STE}(\theta) = L_{DM}(\theta) + E_{t_{sn}}[\|\epsilon - \epsilon_\theta(x_{t_{sn}}, t_{sn}, c_{sn})\|^2]$$
  Ciò permette al modello di apprendere una distribuzione primaria $D_0$ per gli istanti temporali espliciti e distribuzioni distinte e indipendenti $D_{sn}$ per gli istanti temporali ombra, tutti all'interno degli stessi pesi della rete.
• Compatibilità con il Programmatore: Crucialmente, il programmatore (il programma di rumore) rimane inalterato. Dal punto di vista dell'utente, la generazione segue la sequenza standard $t = [T_0, \dots, 0]$. Tuttavia, il modello interpreta internamente questi come istanti temporali ombra, attivando la specifica distribuzione appresa associata a quell'offset.

Base Teorica

Gli autori forniscono un'analisi teorica della Coerenza Reciproca tra intervalli temporali. Dimostrano che per intervalli disgiunti $I_0$ e $I_1$, la similarità coseno tra gli incorporamenti è limitata superiormente da un piccolo valore $\mu$ (osservato empiricamente essere $\approx 0.1$ quando la differenza temporale $\Delta t \ge 1000$). Questa bassa coerenza conferma che gli incorporamenti ombra formano uno spazio distinguibile capace di contenere informazioni separate senza collassare nel manifold delle caratteristiche primarie.

3. Contributi Chiave

1. Proposta di STE: Un nuovo metodo di iniezione di informazioni che rivela la dimensione temporale come un canale sottoutilizzato per codificare informazioni controllabili nei modelli di diffusione.
2. Superficie di Sicurezza a Doppio Uso: Dimostrazione che lo STE può funzionare sia come meccanismo di attacco covert (iniezione di trigger malevoli) sia come meccanismo di difesa (filigrana invisibile/verifica della proprietà).
3. Dimostrazione Teorica: Derivazione dei limiti di coerenza reciproca che dimostrano come gli intervalli di istanti temporali disgiunti producano incorporamenti quasi ortogonali, validando la fattibilità dell'apprendimento di distribuzioni indipendenti.
4. Validazione Empirica: Esperimenti completi che mostrano come lo STE possa iniettare distribuzioni di dati ausiliarie in modo affidabile, mantenendo al contempo l'indipendenza dei manifold espliciti e ombra.

4. Risultati Sperimentali

Gli autori hanno valutato lo STE su tre dimensioni: prestazioni generali, efficacia dell'attacco e robustezza della difesa.

Prestazioni Generali

• Preservazione della Qualità: Lo STE preserva la qualità generativa del dataset primario. Su CIFAR-10, i punteggi FID sono migliorati leggermente (da 24,38 a 21,82) quando si è addestrato con dataset ombra, indicando che l'aggiunta di intervalli ombra non degrada la distribuzione primaria.
• Indipendenza: Il Tasso di Esposizione (ER) — che misura la fuoriuscita involontaria tra dataset — è rimasto basso (circa 8–9%), confermando che le generazioni da istanti temporali espliciti non filtrano caratteristiche dai dataset ombra.
• Impatto del Programmatore: Lo STE funziona meglio con i programmatori DDPM. DDIM ha mostrato un FID leggermente più alto ma è rimasto competitivo, mentre DPM-Solver ha esibito un degrado significativo delle prestazioni, suggerendo che lo STE si basa su programmatori che preservano la mappatura standard da rumore a dati.

Prestazioni dell'Attacco (Iniezione Covert)

• Capacità Backdoor: Quando gli istanti temporali ombra sono associati a un dataset avvelenato (tasso di avvelenamento del 5%), il modello agisce come un backdoor stealth.
• Tasso di Successo: Lo STE-shadow ha raggiunto un Tasso di Successo dell'Attacco (ASR) del 99,2% su CIFAR-10 e del 98,8% su CelebA-HQ.
• Stealth: L'attacco è indetectabile tramite metriche standard; il ramo esplicito mantiene un'alta fedeltà (FID ~22,07) e un basso ASR (0,2%) quando non attivato, e non vengono rilevate anomalie nelle statistiche dei pixel o nei pesi del modello.

Prestazioni della Difesa (Filigrana)

• Verifica: Lo STE è stato utilizzato per generare immagini con filigrana legando gli istanti temporali ombra a un dataset con filigrane a scudo visibili.
• Robustezza: La filigrana è rimasta rilevabile sotto sfocatura, rumore e compressione JPEG (Accuratezza > 0,95), performando in modo competitivo rispetto a Tree-Ring e ROBIN.
• Limitazioni: La filigrana è risultata vulnerabile ad attacchi di schiarimento e ritaglio (scendendo rispettivamente a 0,85 e 0,71), attribuito alla natura visibile a livello di pixel della specifica filigrana utilizzata nello studio.

5. Significato e Affermazioni

Il documento afferma che il percorso di incorporamento dell'istante temporale è una superficie di sicurezza critica, precedentemente trascurata, nei modelli di diffusione. Trattando il tempo come una "chiave", lo STE abilita:

• Controllo Covert: La capacità di passare tra comportamenti benigni e malevoli (o con filigrana) senza modificare il programmatore o l'architettura del modello visibile all'utente.
• Nuovo Panorama delle Minacce: Evidenzia una vulnerabilità in cui gli avversari possono iniettare trigger tramite avvelenamento del codice (pipeline camuffate) che sfruttano lo spazio temporale, eludendo il monitoraggio tradizionale di input/output.
• Opportunità di Provenienza: Offre un nuovo primitivo per la provenienza sicura, permettendo ai proprietari del modello di incorporare segnali di proprietà che vengono attivati solo da specifiche chiavi temporali.

Gli autori concludono che comprendere la dimensione temporale è essenziale per il futuro della modellazione generativa sicura, poiché rivela un canale "ombra" che è fondamentalmente ortogonale alle difese nello spazio dei pixel o nello spazio dei pesi. Osservano che, sebbene lo STE esponga una vulnerabilità, motiva anche lo sviluppo di nuove strategie di difesa, come la verifica della coerenza tra gli istanti temporali emessi dal programmatore e i valori ricevuti dal denoiser.