Resumo Técnico: GUNGNIR

Declaração do Problema

Os Modelos de Difusão (DMs) alcançaram sucesso significativo na geração de imagens, mas são vulneráveis a ataques de backdoor. Ataques existentes geralmente dependem de gatilhos de baixa dimensão e visualmente conspicuous (por exemplo, patches de ruído específicos, prompts textuais ou condições ControlNet) que são facilmente detectados pelos mecanismos de defesa atuais. Essas defesas, como inversão de gatilho e detecção neural, são eficazes porque os ataques anteriores operam dentro de espaços de entrada limitados. O artigo identifica uma lacuna no panorama de ameaças: o potencial de ataques de backdoor que exploram características de alto nível e perceptualmente indistinguíveis, especificamente as características estilísticas de imagens de entrada em tarefas de imagem-para-imagem. Os métodos atuais lutam para detectar esses gatilhos sutis, e os algoritmos de treinamento padrão frequentemente falham ao tentar usar características de imagem brutas como gatilhos devido ao colapso de gradiente e ao sobreajuste.

Metodologia: GUNGNIR

Os autores propõem o GUNGNIR, um novo framework de ataque de backdoor que ativa comportamentos maliciosos em Modelos de Difusão ao embutir gatilhos baseados em estilo nas imagens de entrada. O método opera no espaço de tarefas de imagem-para-imagem, onde a própria imagem de entrada serve como mecanismo de gatilho.

Componentes Principais

1. Gatilhos Estilísticos: Diferentemente de métodos anteriores que injetam patches explícitos ou texto, o GUNGNIR utiliza o estilo inerente de uma imagem de entrada (por exemplo, o estilo "Noite Estrelada" de Van Gogh) como o gatilho. Quando um modelo recebe uma imagem com esse estilo específico, ele ativa um mapeamento oculto para gerar uma imagem-alvo, independentemente do conteúdo semântico da entrada.
2. Ruído Adversarial de Reconstrução (RAN):
   • Problema: Usar diretamente características de imagem de entrada como gatilhos no treinamento padrão de backdoor causa colapso severo de gradiente e sobreajuste. O modelo falha em aprender o mapeamento porque o objetivo de previsão de ruído entra em conflito com a preservação do estilo.
   • Solução: O RAN reconstrói um vetor residual $r$ a partir da entrada ruidosa e da imagem-alvo, em vez de usar a imagem-alvo diretamente como objetivo de treinamento. A função de perda é deslocada para minimizar a diferença entre a previsão do modelo e esse ruído adversarial reconstruído.
   • Mecanismo: O residual $r$ é definido como $r = \sqrt{\alpha_t}x_0 + \sqrt{1-\alpha_t}\epsilon - \text{trans}(i_t)$, onde $i_t$ é o latente alvo. Isso cria uma mudança de média que guia o modelo a reconstruir a imagem-alvo enquanto apaga a distribuição original do passo de tempo anterior.
3. Retenção de Passos de Tempo de Curto Prazo (STTR):
   • Problema: Aplicar a injeção de backdoor em todos os passos de tempo ($T$) leva ao sobreajuste. À medida que os passos de tempo se aproximam de zero, as variáveis latentes aproximam-se da distribuição final da imagem, mas os passos de tempo intermediários contêm conteúdo semântico ambíguo. A supervisão de passos de tempo completos força o modelo a associar gatilhos a representações instáveis, fazendo com que o modelo gere a imagem-alvo independentemente da entrada (perda de utilidade).
   • Solução: O STTR restringe a injeção de backdoor apenas aos primeiros $T_b$ passos do processo de difusão reverso.
   • Mecanismo: Ao limitar a supervisão de treinamento a uma janela curta e estável de passos de tempo, o método preserva a utilidade original do modelo para entradas limpas, garantindo que o gatilho seja eficaz quando ativado. Isso previne o emaranhamento da representação do gatilho com o ruído de difusão.

Formulação do Ataque

O espaço de ataque é redefinido para incluir o espaço de condições adicional $A_{cond}$ (prompts, imagens, ControlNet). O GUNGNIR visa especificamente o espaço de entrada de imagem $A_b = \{images_b\}$. O processo de treinamento envolve envenenar uma pequena porcentagem (5%) do conjunto de dados com pares de imagens de estilo-gatilho e imagens-alvo, utilizando RAN e STTR para otimizar os parâmetros do modelo.

Contribuições Principais

1. Expansão do Espaço de Entrada de Ataque: O artigo demonstra, pela primeira vez, que características estilísticas brutas de imagens de entrada podem servir como gatilhos de backdoor eficazes em tarefas de imagem-para-imagem. Isso desloca o vetor de ataque de perturbações explícitas e de baixo nível para características perceptuais de alto nível.
2. Técnicas de Treinamento Novas: Os autores introduzem RAN e STTR para resolver os desafios específicos de treinar backdoors em características de imagem. O RAN previne o colapso de gradiente ao reconstruir ruído adversarial, enquanto o STTR mitiga o sobreajuste ao restringir a injeção a passos de tempo curtos.
3. Sigilo e Robustez: As amostras resultantes com gatilho embutido são perceptualmente indistinguíveis de imagens limpas. O ataque contorna as defesas mais avançadas (Elijah, TERD) que dependem da detecção de padrões anômalos ou inversão de gatilhos, pois gatilhos baseados em estilo não introduzem artefatos suspeitos.
4. Capacidade de Migração: O estudo revela que o backdoor não se limita a tarefas de imagem-para-imagem; ele também pode ser ativado em tarefas de texto-para-imagem se o modelo for solicitado a gerar imagens no estilo específico do gatilho.

Resultados Experimentais

• Taxa de Sucesso do Ataque (ASR): O GUNGNIR alcançou uma ASR de 61,50% em três modelos de referência (Stable Diffusion v1.5, v2.1 e Realistic Vision v4.0). Embora menor do que alguns ataques baseados em patches, os autores observam que isso é suficiente para um ataque robusto, dada a alta sigilo.
• Evasão de Defesa: O ataque alcançou uma Taxa de Detecção de Backdoor (BDR) de 0% contra os frameworks de defesa Elijah e TERD. Os gatilhos baseados em estilo não foram detectados como anomalias.
• Robustez: O ataque permaneceu eficaz mesmo após purificação baseada em ajuste fino, demonstrando resistência a estratégias comuns de defesa de modelos.
• Estudos de Ablação: Experimentos confirmaram que, sem RAN, os gradientes colapsam (a ASR cai para perto de zero). Sem STTR, o modelo sofre sobreajuste, gerando imagens-alvo indiscriminadamente. O desempenho ótimo foi encontrado com intensidade específica de RAN ($\gamma$) e janelas de passos de tempo curtos.

Significado e Alegações

O artigo afirma que o GUNGNIR revela uma vulnerabilidade previamente pouco explorada em Modelos de Difusão: a suscetibilidade a backdoors baseados em estilo. O significado reside em:

• Sigilo: O ataque utiliza características que são naturais ao processo de geração de imagens, tornando-as invisíveis tanto para inspeção humana quanto para detectores automatizados projetados para gatilhos explícitos.
• Mudança de Paradigma: Desafia a suposição de que gatilhos de backdoor devem ser explícitos ou de baixa dimensão, mostrando que características semânticas de alto nível (estilo) podem ser instrumentalizadas.
• Implicações de Segurança: As descobertas sugerem que os mecanismos de defesa atuais são insuficientes contra ataques que exploram a capacidade inerente do modelo de perceber e replicar características estilísticas. Os autores argumentam que pesquisas futuras devem abordar esses espaços de ataque expandidos para garantir a segurança dos sistemas de IA generativa.

Os autores mantêm uma postura modesta, reconhecendo que a ASR é ligeiramente inferior à de ataques baseados em patches devido à dificuldade inerente do processo de difusão em aderir estritamente a restrições de estilo sem módulos adicionais de transferência de estilo. No entanto, eles enfatizam que o compromisso em sigilo e a capacidade de contornar defesas existentes tornam o GUNGNIR um vetor de ameaça crítico.