Sintesi Tecnica: FUSE – Esempi Inapprendibili a Spettro Completo tramite l'Equalizzazione Spettrale

1. Definizione del Problema

Gli Esempi Inapprendibili (Unlearnable Examples, UE) sono una tecnica di preservazione della privacy progettata per proteggere i dati di addestramento aggiungendo perturbazioni impercettibili. Queste perturbazioni impediscono ai modelli di apprendimento automatico di estrarre rappresentazioni semantiche sfruttabili, causando così il fallimento dell'estrazione di informazioni, prevenendo l'addestramento non autorizzato su dati sensibili.

Tuttavia, gli autori identificano una vulnerabilità critica nei metodi UE esistenti: la loro efficacia dipende fortemente dalle componenti ad alta frequenza. Un'analisi empirica rivela che quando viene applicato un filtro passa-basso ai dati protetti, l'inapprendibilità degli approcci attuali crolla. I modelli addestrati su dati filtrati riescono ad estrarre con successo informazioni semantiche dal contenuto residuo a bassa frequenza, portando a una fuga di privacy. Ciò indica che le perturbazioni esistenti non sono "agnostiche rispetto allo spettro" e non riescono a proteggere i dati attraverso l'intero spettro di frequenza.

2. Metodologia

Il paper propone FUSE (Full-spectrum Unlearnable examples via Spectral Equalization), un framework progettato per generare perturbazioni che rimangano efficaci indipendentemente dal filtraggio spettrale. FUSE ottiene questo risultato attraverso due componenti complementari:

A. Mascheramento Spettrale Casuale (Random Spectral Masking, RSM)

RSM è progettato per impedire alle perturbazioni di collassare in regioni spettrali ristrette. Impiega due meccanismi durante l'addestramento del generatore:

1. Dropout di Frequenza Stocastico: Un operatore di maschera casuale $T_{spec}$ viene applicato ad ogni step di addestramento, il quale azzera una porzione contigua del dominio delle frequenze nella trasformata di Fourier dell'input. Questo costringe il generatore a garantire che le bande di frequenza rimanenti possano comunque indurre l'inapprendibilità, prevenendo l'eccessiva dipendenza da specifiche frequenze.
2. Regolarizzazione dell'Entropia: Per scoraggiare ulteriormente la concentrazione spettrale, il metodo massimizza l'entropia dello spettro di potenza normalizzato della perturbazione. Ciò incoraggia una distribuzione più uniforme dell'energia della perturbazione attraverso lo spettro senza imporre una distribuzione di rumore bianco.

L'obiettivo RSM ($L_{RSM}$) combina una perdita di invarianza (garantendo la degradazione delle prestazioni anche quando parti dello spettro sono mascherate) e un termine di entropia negativa.

B. Guida Cross-Band (Cross-Band Guidance, CBG)

Mentre RSM distribuisce le perturbazioni, CBG gestisce esplicitamente l'interazione tra le componenti a bassa frequenza (semantica globale) e ad alta frequenza (dettagli locali) per garantire la coerenza reciproca.

1. Decomposizione in Frequenza: Le immagini vengono suddivise in componenti a bassa frequenza ($x'_{low}$) e ad alta frequenza ($x'_{high}$) utilizzando una maschera circolare nel dominio di Fourier definita da un raggio $r_c$.
2. Guida Semantica: La branca ad alta frequenza, che naturalmente induce una maggiore confusione del classificatore, viene utilizzata come "target morbido" per guidare la branca a bassa frequenza. La componente a bassa frequenza è addestrata per allinearsi alle predizioni della componente ad alta frequenza ($L_{guide}$), assicurando che le strutture globali non rimangano apprendibili.
3. Coerenza Strutturale: Per evitare che la branca ad alta frequenza si distorca in modo indipendente, viene applicata una perdita di coerenza ($L_{struct}$). Questa perdita minimizza la differenza tra la somiglianza strutturale (combinando la similarità del coseno a livello di feature e l'indice SSIM) della coppia a bassa frequenza e della coppia ad alta frequenza. La similarità a bassa frequenza agisce come un target fisso (tramite stop-gradient) per regolarizzare le perturbazioni ad alta frequenza, preservando la fedeltà semantica pur mantenendo l'inapprendibilità.

L'obiettivo di ottimizzazione totale minimizza la somma di $L_{RSM}$ e $L_{CBG}$ soggetto a un budget di perturbazione ($\|\delta\|_\infty \le \epsilon$).

3. Contributi Chiave

• Identificazione della Vulnerabilità: Gli autori dimostrano che le difese UE esistenti falliscono sotto il filtraggio passa-basso perché le loro perturbazioni si affidano predominantemente alle componenti ad alta frequenza.
• Framework Agnostico rispetto allo Spettro: FUSE è proposto come un nuovo framework che distribuisce gli effetti della perturbazione attraverso l'intero intervallo di frequenza, impedendo la presenza di indizi residui in qualsiasi banda specifica.
• Valutazione Esaustiva: Esperimenti estesi su molteplici dataset (CIFAR-10, CIFAR-100, SVHN), architetture (ResNet, VGG, DenseNet, ViT e modelli non standard come ConvNeXt e Swin-T) mostrano che FUSE supera costantemente gli approcci precedenti.

4. Risultati Sperimentali

• Robustezza al Filtraggio Passa-Basso: Sotto il filtraggio passa-basso, i metodi esistenti (es. LSP, TUE, GUE) mostrano un significativo recupero dell'accuratezza (es. LSP raggiunge circa il 54% su CIFAR-10 con ResNet-18). Al contrario, FUSE mantiene l'accuratezza di test vicina al caso casuale (es. ~10% su CIFAR-10), dimostrando robustezza anche quando le alte frequenze vengono soppresse.
• Performance Senza Filtro: FUSE raggiunge l'accuratezza di test più bassa nella maggior parte delle coppie dataset-architettura anche senza filtraggio, confermando la sua efficacia negli scenari standard.
• Trasferibilità tra Architetture: FUSE rimane efficace quando il modello surrogato (ResNet-18) viene utilizzato per generare perturbazioni per diverse architetture target, inclusi i Vision Transformers e le CNN non standard.
• Resistenza alle Difese: FUSE mantiene una forte inapprendibilità contro varie strategie di difesa, inclusi l'augmentation dei dati, l'addestramento avversariale e le difese specifiche per UE come D-VAE, AN-SDA e ORTHO PROJ. Dimostra inoltre robustezza contro la compressione JPEG.
• Modelli Vision-Language: In uno studio di prova su CLIP, FUSE ha causato un calo significativo dell'accuratezza (4,28% senza filtro, 6,06% passa-basso) rispetto ai baseline, suggerendo l'applicabilità oltre la classificazione standard.
• Efficienza: Rispetto al baseline basato su generatore GUE, FUSE richiede significativamente meno parametri, meno GFLOPs e tempi di inferenza più rapidi.

5. Significato e Rivendicazioni

Il paper afferma che FUSE affronta un limite fondamentale nei correnti metodi di protezione dei dati garantendo che l'inapprendibilità non sia confinata alle regioni ad alta frequenza. Imponendo l'equalizzazione spettrale e la coerenza cross-band, FUSE fornisce una protezione della privacy affidabile che persiste anche quando i dati subiscono filtraggi spettrali o altre trasformazioni che rimuovono i dettagli ad alta frequenza. Gli autori posizionano questo lavoro come un passo verso meccanismi di protezione della privacy più robusti e consapevoli delle frequenze, in grado di resistere a difese adattive e cambiamenti di distribuzione.

Gli autori dichiarano esplicitamente che il loro obiettivo è rafforzare la protezione della privacy contro l'addestramento non autorizzato del modello, pur riconoscendo che tali perturbazioni potrebbero teoricamente essere utilizzate impropriamente in contesti avversari. Essi sottolineano che FUSE debba essere applicato esclusivamente per scopi etici di protezione dei dati, in conformità con i quadri legali e le licenze dei dataset.