Hypnopaedia-Aware Machine Unlearning via Psychometrics of Artificial Mental Imagery

1. Declaração do Problema

O artigo aborda a ameaça crítica de cibersegurança de backdoors neurais (cavalos de Troia) em modelos de aprendizado de máquina.

• A Ameaça: Ataques injetam "gatilhos" ocultos em um modelo durante a fase de treinamento. Quando uma entrada específica contendo esse gatilho é apresentada, o modelo ignora sua lógica normal e produz uma classe-alvo predeterminada, frequentemente maliciosa.
• O Desafio:
  • Indisponibilidade de Dados: Em muitos cenários do mundo real (devido a regulamentações de privacidade, restrições proprietárias ou políticas de arquivamento), o conjunto de dados de treinamento original é inacessível. Portanto, métodos de defesa tradicionais que dependem de retreinamento com dados limpos ou inspeção do conjunto de dados bruto são impossíveis.
  • Ambientes Dinâmicos: Em aprendizado federado ou contínuo, as fontes de dados são dinâmicas e potencialmente não confiáveis, tornando a vigilância contínua necessária.
  • O Objetivo: O objetivo é desaprender o gatilho de backdoor de um modelo pré-treinado, potencialmente infectado, mantendo a fidelidade do conhecimento (preservando a precisão do modelo em dados benignos) sem acesso ao conjunto de treinamento original. Os autores assumem que apenas um pequeno conjunto "normativo" de amostras limpas e um intervalo candidato para o tamanho do gatilho estão disponíveis.

2. Metodologia

Os autores propõem um Framework Cibernético denominado Psycho-Pass, que extrai metáforas da psicologia (hipnopédia, metacognição, esquecimento motivado) e da teoria de controle. O framework consiste em três etapas principais:

A. Inversão de Modelo (Recuperando "Imagens Mentais Artificiais")

Como o conjunto de dados original não está disponível, o sistema tenta "recuperar" a memória interna do modelo.

• Conceito: Usando Inversão de Modelo, o sistema gera entradas sintéticas ("imagens mentais artificiais") que maximizam a ativação de classes-alvo específicas. Essas imagens representam o protótipo interno do modelo para uma classe.
• Técnica:
  • Descida de Gradiente Multiescala: Para evitar convergir em padrões subótimos (atratores), a otimização começa em baixa resolução e progride refinando para alta resolução.
  • Estocasticidade e Aprendizado Adversarial: Ruído aleatório e técnicas de treinamento adversarial são introduzidos para interromper a convergência para mínimos locais, garantindo que as imagens geradas capturem características diversas, incluindo gatilhos ocultos potenciais.
  • Saída: Um conjunto de imagens sintéticas ($Z$) para cada classe. Se um modelo estiver infectado, a imagem mental para a classe de backdoor provavelmente conterá uma mistura das características da classe e do gatilho oculto.

B. Análise de Hipóteses (Avaliação Psicométrica)

O sistema analisa as imagens mentais geradas para identificar o gatilho mais provável.

• Geração de Hipóteses: Cria "amostras maliciosas hipotéticas" sobrepondo máscaras candidatas ($M$) a amostras limpas usando as imagens sintéticas ($Z$).
• Estimação de Máxima Verossimilhança (MLE): Avalia qual gatilho hipotético faz com que o modelo classifique incorretamente amostras limpas com maior eficácia (menor perda).
• Exclusão de Outliers: Para distinguir entre backdoors reais e "gatilhos naturais" (padrões intrínsecos que parecem gatilhos, mas são benignos), o sistema emprega um processo de filtragem em três etapas:
  1. Seleção Top-k: Mantém as $k$ hipóteses com a menor perda.
  2. Exclusão Intra: Agrupa hipóteses com base na proximidade espacial para remover traduções geométricas do mesmo padrão.
  3. Exclusão Inter: Filtra com base na similaridade perceptiva (usando LPIPS) para garantir que o padrão seja consistente em múltiplas tentativas de inversão.
• Inferência Bayesiana: O sistema calcula a Probabilidade de Infecção. Compara a distância perceptiva do gatilho detectado contra distribuições de referência de modelos substitutos conhecidos como não infectados e infectados. Se a probabilidade exceder um limiar, o sistema decide desaprender.

C. Desaprendizado de Máquina (Esquecimento Motivado)

Uma vez que um gatilho é identificado e a infecção é confirmada:

• Processo: O modelo é ajustado finamente usando um pequeno "conjunto de desaprendizado" de dados limpos.
• Mecanismo: O sistema gera amostras "pseudo-tóxicas" aplicando o gatilho estimado a imagens limpas. Em seguida, treina o modelo para classificar corretamente essas amostras pseudo-tóxicas como seus verdadeiros rótulos de verdade fundamental (em vez do alvo do backdoor).
• Objetivo: Isso força o modelo a dissociar o padrão específico do gatilho da resposta alvo maliciosa, efetivamente "esquecendo" o backdoor enquanto retém o conhecimento geral.

3. Contribuições Principais

1. Framework Cibernético: Introduz um novo framework "Psycho-Pass" que trata a detecção de backdoor como uma avaliação psicométrica da "imagem mental" de uma máquina, utilizando conceitos como metacognição e esquecimento motivado.
2. Desaprendizado Sem Dados: Desenvolve um método robusto para detectar e remover backdoors sem acesso ao conjunto de dados de treinamento original, confiando apenas em um pequeno conjunto normativo e inversão de modelo.
3. Otimização Estocástica Multiescala: Propõe um algoritmo específico para inversão de modelo que usa otimização multiescala e processos estocásticos para escapar de "atratores" (padrões convergentes, mas falhos), levando a uma reconstrução de gatilho mais precisa.
4. Mecanismo de Exclusão de Outliers: Um processo estatístico rigoroso para diferenciar entre gatilhos artificiais injetados e padrões naturais intrínsecos que podem aparecer falsamente como gatilhos.
5. Tomada de Decisão Probabilística: Usa inferência bayesiana para quantificar a probabilidade de infecção, fornecendo uma pontuação de confiança para a decisão de desaprendizado.

4. Resultados Experimentais

O método foi avaliado em MNIST, CIFAR-10 e ImageNet (subconjunto) em três arquiteturas (VGG, ResNet, Inception) e dois modos de treinamento (Padrão e Adversarial). Foi comparado contra benchmarks como Neural Cleanse, Tabor, Pixel Backdoor e Unicorn.

• Vulnerabilidade (Taxa de Sucesso do Ataque - ASR):
  • O método proposto (Psycho-Pass) consistentemente alcançou o menor ASR (frequentemente < 3% em todos os conjuntos de dados), neutralizando efetivamente os backdoors.
  • Benchmarks como Neural Cleanse e Tabor mostraram vulnerabilidade residual significativamente maior (ASR frequentemente > 20-50% em cenários complexos).
• Fidelidade (Precisão de Classificação - ACC):
  • O Psycho-Pass manteve alta precisão em dados benignos, com quedas geralmente dentro de 10% da precisão original do modelo infectado (o que é aceitável dado o processo de desaprendizado).
  • Superou ou igualou benchmarks na preservação da utilidade do modelo.
• Detectabilidade:
  • A inferência bayesiana distinguiu com sucesso entre modelos infectados e não infectados com alta probabilidade (próximo de 1,0 para infectados, próximo de 0,0 para não infectados).
  • Visualizações confirmaram que o método pôde reconstruir gatilhos que estavam visualmente mais próximos da verdade fundamental do que outros métodos.

5. Significado e Conclusão

• Mudança de Paradigma: O artigo avança além da simples "limpeza" de dados para uma abordagem autoconsciente e cibernética, onde a máquina monitora seu próprio estado cognitivo (via imagens mentais) para detectar e corrigir corrupção "subconsciente".
• Aplicabilidade Prática: Ao resolver o problema da remoção de backdoors sem o conjunto de dados original, o método aborda um grande gargalo na implantação de IA segura em ambientes sensíveis à privacidade ou proprietários.
• Direções Futuras: Os autores reconhecem limitações relacionadas a dimensões de gatilho desconhecidas e à diversidade de ataques "in-the-wild". Trabalhos futuros visam ampliar o escopo para lidar com tamanhos de gatilho variáveis e distinguir melhor entre gatilhos extrínsecos (maliciosos) e intrínsecos (naturais).

Em resumo, este artigo apresenta uma abordagem sofisticada, teoricamente fundamentada e empiricamente validada para a segurança de redes neurais, tratando a remoção de backdoors como um processo de análise psicométrica e esquecimento motivado, alcançando desempenho superior tanto na detecção quanto na neutralização de ameaças de backdoor em comparação com os métodos existentes mais avançados.