Riepilogo Tecnico: Backdoor Statisticamente Indetectabili in Reti Neurali Profonde

1. Definizione del Problema

Il documento affronta le implicazioni per la sicurezza e la fiducia nel paradigma "Machine-Learning-as-a-Service" (MLaaS), dove un numero ristretto di istituzioni addestra reti neurali profonde (DNN) per la massa. La domanda centrale è se un avversario (l'addestratore del modello) possa inserire una "backdoor" in una DNN che gli conferisca il controllo esclusivo su specifici output del modello (nello specifico, la capacità di generare esempi avversari), pur rimanendo statisticamente indistinguibile da un modello addestrato onestamente, anche quando l'utente dispone dell'accesso completo ai parametri del modello (accesso white-box).

Gli autori si concentrano sugli esempi avversari basati sull'invarianza, in cui grandi variazioni, scelte avversarialmente, nell'input risultano in cambiamenti insolitamente piccoli nell'output (ovvero, $M(x) \approx M(x')$ per $x \neq x'$). L'obiettivo è dimostrare un'asimmetria di potere in cui l'addestratore può generare efficientemente tali collisioni, mentre qualsiasi avversario in tempo polinomiale privo della backdoor non può farlo.

2. Metodologia e Costruzione

2.1 Vincoli del Modello

La costruzione si applica a una specifica classe di DNN feedforward che soddisfano tre vincoli:

1. Primo Strato Compresso Congelato: Il primo strato è una matrice Gaussiana $m \times n$ casuale ($m < n$) che non viene aggiornata durante l'addestramento. Questo funge da mappa di caratteristiche casuali.
2. Composizione Bi-Lipschitziana: La composizione di tutti i successivi strati è bi-Lipschitziana (con distorsione $\beta_{upper}$). Ciò garantisce che piccole variazioni nell'input non causino cambiamenti arbitrariamente grandi nell'output, e viceversa. Questo è ottenuto tramite funzioni di attivazione bi-Lipschitziane (es. Leaky ReLU) e matrici di peso ben condizionate.
3. Input Discreti: Gli input sono interi provenienti da un intervallo limitato (es. valori dei pixel).

2.2 Il Meccanismo della Backdoor

Il nucleo della costruzione si basa sul piantare un vettore backdoor $z \in \{\pm 1\}^n$ nella matrice Gaussiana $A$ del primo strato.

• Generazione: L'addestratore campiona un $z$ casuale e poi campiona le righe di $A$ in modo che $\|Az\|_\infty$ sia estremamente piccolo (specificamente $\leq \kappa\sqrt{n}$). Ciò viene ottenuto tramite un processo di rejection sampling (o campionamento condizionale diretto) in cui le righe $a_i$ sono campionate da una distribuzione Gaussiana condizionata su $|a_i^\top z| \leq \kappa\sqrt{n}$.
• Attivazione: Per generare un esempio avversario per qualsiasi input $x$, l'addestratore deve semplicemente calcolare $x' = x + z$. Grazie alla linearità del primo strato, $A(x+z) = Ax + Az \approx Ax$. Poiché i successivi strati sono bi-Lipschitziani, l'output finale $M(x')$ rimane vicino a $M(x)$.
• Indetectabilità: Gli autori dimostrano che la distribuzione della matrice backdoored $A$ è statisticamente vicina a una matrice Gaussiana i.i.d. standard $N(0, 1)^{m \times n}$ in termini di distanza di Variazione Totale (TV). Questa vicinanza è stabilita analizzando la concentrazione del numero di soluzioni $N(A)$ (il conteggio di $z$ tale che $\|Az\|_\infty$ sia piccolo). Dimostrano che il secondo momento di $N(A)$ è vicino al quadrato del suo primo momento, implicando che la densità della matrice backdoored differisce dalla Gaussiana onesta solo per un fattore moltiplicativo trascurabile.

2.3 Difficoltà Crittografica

La sicurezza della backdoor si basa sulla difficoltà computazionale di trovare un vettore $z'$ dato solo la matrice $A$. Questo problema è equivalente a trovare un vettore corto in un reticolo o a risolvere il problema del Symmetric Binary Perceptron (SBP). Sotto le standard assunzioni crittografiche (specificamente, la durezza nel caso peggiore dei problemi di reticolo come LWE), è computazionalmente intrattabile per qualsiasi algoritmo in tempo polinomiale trovare un vettore $z'$ tale che $\|Az'\|_\infty$ sia così piccolo come il $\|Az\|_\infty$ piantato.

3. Contributi Chiave e Risultati

3.1 Indetectabilità Statistica

Il documento dimostra che per qualsiasi algoritmo di addestramento efficiente $A$ che produce un modello $M_A$ sotto i vincoli dichiarati, esiste un algoritmo backdoored $B$ che produce un modello $M_B$ e una backdoor $z$ tali che:

• La distanza di Variazione Totale tra le descrizioni di $M_A$ e $M_B$ (inclusi tutti i pesi) è $\epsilon = \tilde{O}(\sqrt{m/n})$.
• Nessun algoritmo, indipendentemente dalla potenza computazionale, può distinguere tra $M_A$ e $M_B$ con un vantaggio superiore a $\epsilon$. Questa è una garanzia statistica, più forte dell'indetectabilità computazionale trovata in lavori precedenti (es. [GKVZ22]).

3.2 Asimmetria di Potere Esponenziale

Il documento definisce la forza della backdoor come il rapporto tra la migliore collisione che un avversario può trovare e la collisione che il possessore della backdoor può trovare.

• Teorema 7: Per i modelli che soddisfano i vincoli, la forza della backdoor è almeno $\tilde{\Omega}\left(\frac{2^{n/m}}{\sqrt{nm} \cdot \beta_{upper}}\right)$.
• Ciò implica un vantaggio esponenziale (nel rapporto di compressione $n/m$) per il possessore della backdoor. Mentre l'addestratore può generare collisioni con distanza $\delta_0 \approx 2^{-n/m}$, qualsiasi avversario in tempo polinomiale è limitato a collisioni con distanza $\delta_1 \approx \text{negl}(n)$ (o significativamente maggiore a seconda dell'assunzione di durezza), rendendo la capacità del possessore della backdoor esponenzialmente più forte.

3.3 Meccanismo di Autenticazione

Gli autori interpretano queste backdoor come un meccanismo di "autenticazione integrato". Poiché il vettore della backdoor $z$ permette di generare una prova (una coppia $x, x+z$ con piccola distanza di output) che è computazionalmente impossibile da falsificare per altri, l'addestratore può provare la proprietà del processo di addestramento del modello senza alterare il comportamento di input/output del modello stesso.

3.4 Validazione Empirica

Il documento include un'implementazione proof-of-concept su dataset Fashion-MNIST:

• Architettura: Una DNN con un primo strato Gaussiano congelato di $256 \times 784$ e successivi strati bi-Lipschitziani.
• Risultati: Il modello backdoored ha raggiunto un'accuratezza di circa l'86,5% (leggermente inferiore al modello onesto a causa dello shift di distribuzione dovuto alla scala degli input).
• Forza della Collisione: Gli esperimenti hanno mostrato che la soluzione piantata $z$ ha prodotto $\|Az\| \approx 10^{-10}$, mentre le migliori soluzioni trovate da algoritmi standard (inclusi LLL e metodi euristici) erano ordini di grandezza più grandi ($\approx 0.1$), dimostrando una forza della backdoor di circa $10^9$.
• Indetectabilità: I test statistici (D'Agostino-Pearson) sulle righe della matrice backdoored non hanno mostrato deviazioni significative dalla normalità, a supporto delle affermazioni di indetectabilità teorica.

4. Significato e Rivendicazioni

Il documento sostiene di aver dimostrato un'asimmetria di potere fondamentale tra addestratori e utenti di modelli nel contesto delle DNN.

• Svolta Teorica: Stabilisce che componenti naturali del machine learning (specificamente le proiezioni Gaussiane casuali usate nel random feature learning) possiedono intrinsecamente proprietà di durezza crittografica (legate ai problemi di reticolo) che possono essere sfruttate per creare backdoor statisticamente indetectabili.
• Sicurezza White-Box: A differenza dei lavori precedenti che ottenevano solo l'indetectabilità computazionale o richiedevano l'accesso black-box, questo lavoro ottiene l'indetectabilità statistica anche quando l'avversario dispone di pieno accesso white-box ai pesi del modello.
• Limiti e Modestia: Gli autori riconoscono che la loro costruzione si basa su specifici vincoli architettonici (primo strato congelato, successivi strati bi-Lipschitziani). Notano che, sebbene i loro limiti teorici siano stretti fino a fattori logaritmici, i risultati empirici suggeriscono che la forza effettiva della backdoor possa essere persino superiore ai loro limiti inferiori teorici, potenzialmente perché la distanza statistica diventa non trascurabile solo a valori di $\kappa$ estremamente piccoli dove i test computazionali falliscono. Non pretendono di violare primitive crittografiche standard, ma piuttosto di mostrare come le assunzioni di durezza che le sottendono siano naturalmente incorporate in certe architetture di DNN.

Il documento conclude che, se questi vincoli sono comuni nella pratica (come avviene nel random feature learning e nelle reti regolarizzate Lipschitzianamente), allora la robustezza di tali DNN non può essere pienamente certificata contro un addestratore malizioso capace di piantare queste backdoor.