技術概要：テキストから画像への拡散モデルにおける近似キャッシュへの攻撃

問題定義

テキストから画像への拡散モデルは、高品質な画像を生成するために反復的なノイズ除去ステップを必要とするため、計算集約的です。このオーバーヘッドを軽減するため、Adobe の NIRVANA などの最近の産業界および学術界の研究では、近似キャッシュが採用されています。この技術は、新しいプロンプトがキャッシュされたプロンプトと意味的に類似している場合、以前の生成からの中間状態を再利用し、システムがノイズ除去ステップをスキップできるようにします。

この最適化は効率的である一方で、重要なセキュリティ脆弱性を導入します。それはユーザー間の隔離を破る点です。プロンプトの類似性に基づいて中間状態を保存・再利用することで、システムは悪用可能な共有状態を作成します。本論文は、拡散モデルに関する既存のセキュリティ研究の多くがモデル重みまたは訓練データに焦点を当てており、サービングシステム、特に近似キャッシュの脆弱性は十分に研究されていないと主張しています。

手法

著者は最先端の NIRVANA 近似キャッシュシステムを再現し、2 つの主要なテキストから画像へのモデル、FLUXと**Stable Diffusion 3 (SD3)**と共に展開しました。彼らは、現実的なサービングシステムをシミュレートするために、実世界のプロンプトデータセット（DiffusionDB および Lexica）とクラウドベースの GPU 環境（H100 および A100）を利用しました。

研究は、近似キャッシングに固有の 2 つの基本的な攻撃プリミティブを特定しました。

1. タイミングチャネル（攻撃プリミティブ 1）: キャッシュヒットは、ノイズ除去ステップがスキップされるため、キャッシュミスよりも著しく低いレイテンシをもたらします。レイテンシの削減の大きさは、新しいプロンプトとキャッシュされたプロンプトとの間の意味的類似性と相関します。
2. 構造的類似性（攻撃プリミティブ 2）: 最終的なプロンプトがわずかに異なっていても、同じキャッシュされた中間状態から生成された画像は、異なる状態から生成された画像と比較して、より高い構造的類似性（SSIM によって測定）を保持します。

これらのプリミティブに基づき、著者は、攻撃者がキャッシュされたプロンプトに関する事前知識を持たず、サービングシステムへの標準的なユーザーアクセスのみを有するという脅威モデル下で、3 つの異なる攻撃を実証しました。

1. リモートコバートチャネル

• メカニズム: 送信者と受信者が非同期にメッセージを交換します。送信者は、特定の希少なキーワード（例：「Apricity」）を含むプロンプトをキャッシュに注入します。受信者は、同じキーワードを使用してキャッシュをプローブします。
• 検出: 受信者は 2 段階の検出プロセスを使用します。
  • レイテンシ分類器: プローブが任意のキャッシュされたプロンプトにヒットしたかどうかを判定します。
  • コンテンツ検出器: 送信者によって埋め込まれた特定の「マーカー」（例：犬やマクドナルドのロゴ）が出力画像に含まれているかを確認するために、物体検出（DINOv2）を使用します。
• 符号化: マーカー付きのキャッシュヒットは「1」を符号化し、ミスまたはマーカーなしのヒットは「0」を符号化します。

2. プロンプト窃取攻撃（CacheExposer）

• 目的: 生成された画像へのアクセスなしに、犠牲者の元のプロンプトを回復することです。
• メカニズム: 攻撃者は大量の「プロービング」プロンプトをシステムに送信します。
• クラスタリング: タイミングチャネルを使用して、攻撃者はどのプローブがキャッシュにヒットしたかを特定します。次に、構造的分類器は、生成された画像の類似性に基づいてこれらのプローブをグループ化し、同じグループ内のプローブが同じ基盤となるキャッシュされたプロンプトにヒットしたと仮定します。
• 回復: 埋め込み予測器（SGD を使用）は、グループ化されたプローブとの類似性を最大化するターゲット埋め込みを生成します。次に、プロンプト復元器（GPT-2 ベースのモデル）がこの埋め込みをテキストに変換し、犠牲者のプロンプトを再構築します。

3. 画像汚染攻撃（CachePoison）

• 目的: 攻撃者のコンテンツ（例：ロゴ）を他のユーザーによって生成された画像に注入することです。
• メカニズム: 攻撃者はまず CacheExposer を使用してプロンプトを窃取します。次に、ロゴインジェクター（アテンションベースのモデル）を使用して、窃取されたプロンプトの埋め込み空間にロゴの説明を埋め込みます。
• 実行: 攻撃者はこの汚染された埋め込みをテキストに変換し、キャッシュに注入します。犠牲者のプロンプトがこの汚染されたキャッシュエントリにヒットすると、システムは中間状態を再利用し、犠牲者が要求していなかったにもかかわらず、犠牲者の生成された画像に攻撃者のロゴが誤って含まれることになります。

主要な結果

コバートチャネルのパフォーマンス

• 精度: レイテンシとコンテンツ検出を組み合わせた場合、このチャネルは FLUX で97.8%の精度、SD3 で95.8%の精度を達成しました。
• 隠密性: 注入されたプロンプトは、キャッシュサイズや LCBFU などの置換ポリシーに依存して最大44 時間キャッシュに残り、長期的な非同期通信を可能にしました。
• 帯域幅: 同期チャネルよりも帯域幅は低いものの、非同期性および高い隠密性により、実効的な脅威となります。

プロンプト窃取（CacheExposer）のパフォーマンス

• 意味的類似性: 回復されたプロンプトは、元のプロンプトとの平均コサイン類似度が 0.78に達し、単純なベースライン（0.67）を大幅に上回りました。
• 画像忠実度: 窃取されたプロンプトから生成された画像は、元の画像とほぼ同一であり、PSNR スコアは 25 を超え、高い SSIM スコアを示しました。
• 効率性: この攻撃は回復ごとに中央値4,385 個のプロービングプロンプトを必要としましたが、複数のプロンプトを単一のプロービングセッションから回復できるため、このコストは償却されます。

汚染（CachePoison）のパフォーマンス

• ヒット率: CachePoison は、単純な直接注入ベースラインよりも著しく高いヒット率を達成しました（例：DiffusionDB における FLUX で 3,646 ヒット対 2,624 ヒット）。
• レンダリング成功: この攻撃は、FLUX のヒットの約**57%**でロゴのレンダリングに成功しました（単純な注入の約 40% 対）。SD3 は、初期のノイズ除去ステップにおける弱いテキスト - 画像の整合性により、成功率が低くなりました。
• 永続性: この攻撃は異なるキャッシュサイズや置換ポリシー全体で有効であり続けましたが、より小さなキャッシュや FIFO/LRU ポリシーは、競合するエントリをより速く排除することでヒット数を増加させました。

意義と主張

本論文は、テキストから画像への拡散モデルの近似キャッシングメカニズム内におけるセキュリティ脆弱性を悪用した最初の研究であると主張しています。その意義は以下の点にあります。

1. 攻撃対象領域の転換: サービングシステムにおける効率化の最適化が、モデルアーキテクチャや訓練データ汚染とは独立して、コバートチャネル、データ窃取、コンテンツ汚染などの深刻なセキュリティリスクを生み出すことを実証しました。
2. 実用性: これらの攻撃は、モデルへのアクセスや訓練データの操作を必要とせず、現実的なクラウドサービングシステムに対してリモートから実行されます。
3. 隠密性と永続性: コバートチャネルの非同期性とキャッシュエントリの長い寿命により、これらの攻撃は検出や緩和が困難です。
4. 防衛の緊急性: 著者は、近似キャッシングが Adobe、Google、OpenAI などの商業展開で標準化されるにつれ、これらの脆弱性は広範な採用に先立って対処されなければならないと主張しています。

本論文は、近似キャッシングがパフォーマンスを向上させる一方で、ユーザーの隔離を根本的に損なうため、ランダムなキャッシュ選択、コンテンツフィルタリング、悪意のある行動の検出などの新しい防御メカニズムが必要であると結論付けています。