Sintesi Tecnica: GhostVAE – Eludere i Watermark Semantici della Diffusione tramite un Backdoor Occulto

Definizione del Problema

Il watermarking semantico è emerso come una soluzione tecnica primaria per stabilire la provenienza delle immagini generate da Modelli di Diffusione Latente (LDM). Questi schemi, come Tree-Ring, Gaussian Shading e PRCMark, incorporano informazioni nel rumore latente iniziale del processo di generazione, facendo affidamento sulla preservazione della distribuzione Gaussiana latente per mantenere la fedeltà dell'immagine. Un'assunzione critica in questi sistemi è che la pipeline di rilevamento, che tipicamente coinvolge un Variational Autoencoder (VAE) per mappare le immagini nuovamente nello spazio latente, sia affidabile.

Questo articolo identifica una vulnerabilità fondamentale in questa assunzione: l'affidamento a reti neurali per il rilevamento introduce una superficie di attacco backdoor. Gli autori pongono un modello di minaccia in cui un fornitore di modelli malevolo, pur rispettando esternamente i requisiti normativi distribuendo uno schema di watermarking "provabilmente sicuro", pianta segretamente un backdoor nel codificatore VAE. Ciò consente al fornitore di distribuire un trigger universale agli utenti collusi. Quando un'immagine contenente questo trigger viene elaborata dal codificatore con backdoor, il rilevamento del watermark viene selettivamente disabilitato, consentendo la generazione di contenuti dannosi e non tracciabili che eludono l'audit regolatorio.

Metodologia: GhostVAE

Gli autori propongono GhostVAE, un framework di attacco backdoor a due stadi progettato per piantare un backdoor occulto nel codificatore VAE degli LDM. L'attacco è progettato per essere selettivo (eludendo il rilevamento solo quando attivato), occulto (indetectabile dagli auditor white-box) e generalizzabile su diverse architetture LDM e schemi di watermarking.

Stadio 1: Generazione del Trigger Universale

Il primo stadio si concentra sulla costruzione di un trigger ($\delta$) robusto e impercettibile che possa essere applicato a qualsiasi immagine.

• Obiettivo: Il trigger deve indurre un effetto di "inversione di segno" (sign-flip) coerente nello spazio latente dell'immagine codificata, pur rimanendo robusto contro comuni corruzioni e tecniche di purificazione.
• Ottimizzazione: Il trigger è ottimizzato tramite Projected Gradient Descent (PGD) per minimizzare una funzione di perdita che combina due termini:
  1. Flipping Loss ($L_{flip}$): Incoraggia la rappresentazione latente dell'immagine triggerata ($E_{bd}(x+\delta)$) a essere l'opposto negativo della latente dell'immagine pulita ($E_{cl}(x)$). Questo interrompe gli schemi di watermarking che si basano sul segno del latente (es. Gaussian Shading, PRCMark) o sulla struttura di Fourier (Tree-Ring).
  2. Robustness Loss ($L_{robust}$): Utilizza la regolarizzazione dello spettro di potenza (adattata da BlurGuard) per allineare lo spettro di potenza dell'immagine triggerata con l'originale. Ciò viene ottenuto applicando una sfocatura Gaussiana apprendibile al trigger durante l'ottimizzazione, garantendo che il trigger eviti firme ad alta frequenza che le difese di purificazione (come DiffPure) potrebbero sopprimere.

Stadio 2: Addestramento del Codificatore con Backdoor

Il secondo stadio affina il codificatore VAE ($E_{bd}$) per rispondere in modo affidabile al trigger mantenendo la normale funzionalità sugli input benigni.

• Apprendimento Multi-Task: Il codificatore è addestrato per minimizzare una funzione di perdita composita:
  1. Functionality Loss ($L_{func}$): Assicura che l'output del codificatore sulle immagini pulite corrisponda al codificatore di riferimento benigno ($E_{cl}$), preservando la fedeltà della generazione e i tassi di rilevamento benigni.
  2. Backdoor Loss ($L_{bd}$): Impone il comportamento di inversione del segno specificamente per gli input triggerati.
  3. Stealth Loss ($L_{stealth}$): Per prevenire il rilevamento nello spazio dei parametri, gli autori utilizzano un regolarizzatore Maximum Mean Discrepancy (MMD). Questo allinea le distribuzioni dei pesi per canale del codificatore con backdoor con quelle del riferimento benigno, evitando la concentrazione del comportamento backdoor in neuroni specifici che potrebbero essere segnalati da difese di pruning o clustering delle attivazioni.

Contributi Chiave

1. Formalizzazione del Modello di Minaccia: Il documento identifica e formalizza un nuovo vettore di minaccia in cui l'integrità del codificatore VAE è compromessa, minando l'affidabilità dei sistemi di watermarking semantico anche se l'incorporazione del watermark è crittograficamente solida.
2. Framework di Attacco GhostVAE: Gli autori propongono un attacco pratico e occulto che raggiunge elevati tassi di evasione senza degradare la qualità dell'immagine o richiedere l'ottimizzazione per immagine al momento dell'inferenza.
3. Valutazione Esaustiva delle Difese: Il lavoro fornisce una valutazione rigorosa di 17 difese rappresentative nelle dimensioni dello spazio di input, dello spazio dei parametri e dello spazio latente, dimostrando i limiti delle attuali strategie di mitigazione contro questo specifico attacco.

Risultati Sperimentali

Gli autori hanno valutato GhostVAE su tre LDM allo stato dell'arte (SD-2.1, SD-XL, FLUX-1.0) e tre schemi di watermarking semantico (Tree-Ring, Gaussian Shading, PRCMark).

• Attack Success Rate (ASR): GhostVAE ha raggiunto un ASR medio del 94,6% in tutte le configurazioni. Notevolmente, ha raggiunto il 100% di ASR su SD-2.1 sotto lo schema PRCMark.
• Performance Benigna: L'attacco ha preservato il rilevamento delle immagini con watermark benigne, mantenendo un True Positive Rate (TPR) medio del 94,4% con un tasso di False Positive Rate (FPR) vicino allo zero.
• Qualità dell'Immagine: Il trigger era impercettibile, con un impatto minimo sulla fedeltà visiva (ad esempio, il PSNR è rimasto elevato e i punteggi LPIPS hanno indicato una degradazione percettiva trascurabile).
• Confronto con gli Attacchi di Rimozione: A differenza degli attacchi di rimozione del watermark esistenti (es. Embedding, Imprint, Regeneration) che richiedono elevati costi computazionali, ottimizzazione iterativa o campionamento di diffusione, GhostVAE opera con una latenza trascurabile (circa $5 \times 10^{-5}$ s per immagine) e senza campionamento di diffusione al tempo di test.

Evasione delle Difese

GhostVAE ha dimostrato robustezza contro una vasta gamma di difese:

• Spazio di Input: Il trigger è rimasto efficace contro corruzioni dell'immagine (JPEG, rumore, rotazione), tecniche di purificazione (DiffPure) e pipeline dei social media (X/Twitter).
• Spazio dei Parametri: Le difese basate su pruning (CLP, ANP, structured pruning) e le difese di fine-tuning (FT, FT-SAM, I-BAU) non sono riuscite a rimuovere il backdoor senza degradare significativamente la funzionalità benigna del modello o le capacità di rilevamento del watermark.
• Spazio Latente: L'attacco ha eluso i detector meta-classificatori (Jumbo MNTD), il clustering delle attivazioni e i test di Kolmogorov-Smirnov, poiché le distribuzioni latenti e i pattern di attivazione del codificatore con backdoor rimanevano statisticamente indistinguibili dai codificatori benigni.

Significato e Rivendicazioni

Il documento conclude che la sicurezza dei sistemi di watermarking semantico non può essere garantita esclusivamente da algoritmi di embedding robusti; i componenti sottostanti della rete neurale, specificamente il codificatore VAE, devono essere anch'essi messi in sicurezza. Gli autori affermano che:

• Vulnerabilità Fondamentale: L'affidamento a reti neurali per il rilevamento crea una superficie di attacco critica e poco esplorata che può minare fondamentalmente la tracciabilità dei contenuti generati dall'IA.
• Sicurezza End-to-End: Una distribuzione sicura richiede considerazioni di sicurezza end-to-end, inclusa la supervisione della pipeline di addestramento del modello e l'integrità dei componenti VAE.
• Implicazioni Regolatorie: Gli attuali quadri normativi focalizzati sulla presenza del watermark potrebbero essere insufficienti se la pipeline di rilevamento stesso è compromessa. Gli autori suggeriscono che l'addestramento dei VAE da parte di terze parti fidate e i controlli di integrità crittografica per i componenti del modello siano mitigazioni necessarie.

Il lavoro evidenzia un divario tra la robustezza teorica degli schemi di watermarking e la loro sicurezza pratica in presenza di componenti di modello compromessi, esortando la comunità ad affrontare la sicurezza dell'intero processo di generazione.