Resumo Técnico: Ataques a Caches Aproximadas em Modelos de Difusão Texto-para-Imagem

Declaração do Problema

Modelos de difusão texto-para-imagem são computacionalmente intensivos, exigindo etapas iterativas de remoção de ruído para gerar imagens de alta qualidade. Para mitigar essa sobrecarga, trabalhos recentes da indústria e da academia (por exemplo, NIRVANA da Adobe) adotaram cache aproximado. Esta técnica reutiliza estados intermediários de gerações anteriores quando um novo prompt é semanticamente similar a um já armazenado em cache, permitindo que o sistema pule etapas de remoção de ruído.

Embora eficiente, essa otimização introduz uma vulnerabilidade de segurança crítica: ela rompe o isolamento entre usuários. Ao armazenar e reutilizar estados intermediários com base na similaridade de prompts, o sistema cria um estado compartilhado que pode ser explorado. Este artigo postula que a pesquisa de segurança existente sobre modelos de difusão focou amplamente nos pesos do modelo ou nos dados de treinamento, deixando as vulnerabilidades do sistema de serviço—especificamente o cache aproximado—subexploradas.

Metodologia

Os autores replicam o sistema de cache aproximado NIRVANA, estado da arte, e o implantam com dois modelos líderes de texto-para-imagem: FLUX e Stable Diffusion 3 (SD3). Eles utilizam conjuntos de dados de prompts do mundo real (DiffusionDB e Lexica) e um ambiente de GPU baseado em nuvem (H100 e A100) para simular um sistema de serviço realista.

A pesquisa identifica dois Primitivos de Ataque fundamentais inerentes ao cache aproximado:

1. Canal de Temporização (Primitivo de Ataque 1): Acertos de cache resultam em latência significativamente menor do que erros de cache, pois as etapas de remoção de ruído são puladas. A magnitude da redução de latência correlaciona-se com a similaridade semântica entre o novo prompt e o prompt armazenado em cache.
2. Similaridade Estrutural (Primitivo de Ataque 2): Imagens geradas a partir do mesmo estado intermediário armazenado em cache retêm maior similaridade estrutural (medida por SSIM) em comparação com imagens geradas a partir de estados diferentes, mesmo que os prompts finais difiram ligeiramente.

Com base nesses primitivos, os autores demonstram três ataques distintos sob um modelo de ameaça onde o atacante não possui conhecimento prévio dos prompts armazenados em cache e possui apenas acesso de usuário padrão ao sistema de serviço.

1. Canal Encoberto Remoto

• Mecanismo: Um remetente e um receptor trocam mensagens de forma assíncrona. O remetente injeta prompts contendo palavras-chave específicas e raras (por exemplo, "Apricity") no cache. O receptor sondar o cache usando as mesmas palavras-chave.
• Detecção: O receptor utiliza um processo de detecção de dois níveis:
  • Classificador de Latência: Determina se uma sonda atingiu qualquer prompt armazenado em cache.
  • Detector de Conteúdo: Utiliza detecção de objetos (DINOv2) para verificar se a imagem de saída contém um "marcador" específico (por exemplo, um cachorro ou o logotipo do McDonald's) embutido pelo remetente.
• Codificação: Um acerto de cache com o marcador codifica um '1'; um erro ou um acerto sem o marcador codifica um '0'.

2. Ataque de Roubo de Prompt (CacheExposer)

• Objetivo: Recuperar o prompt original de uma vítima sem acesso às suas imagens geradas.
• Mecanismo: O atacante envia um grande volume de prompts de "sondagem" para o sistema.
• Agrupamento: Usando o canal de temporização, o atacante identifica quais sondas atingiram o cache. Um classificador estrutural agrupa então essas sondas com base na similaridade de suas imagens geradas, assumindo que sondas no mesmo grupo atingiram o mesmo prompt subjacente armazenado em cache.
• Recuperação: Um Preditor de Embedding (usando SGD) gera um embedding alvo que maximiza a similaridade com as sondas agrupadas. Um Recuperador de Prompt (um modelo baseado em GPT-2) converte então esse embedding de volta em texto, reconstituindo o prompt da vítima.

3. Ataque de Envenenamento de Imagem (CachePoison)

• Objetivo: Injetar o conteúdo do atacante (por exemplo, logotipos) em imagens geradas por outros usuários.
• Mecanismo: O atacante primeiro rouba prompts usando o CacheExposer. Em seguida, utiliza um Injetor de Logotipo (um modelo baseado em atenção) para embutir uma descrição de logotipo no espaço de embedding do prompt roubado.
• Execução: O atacante converte esse embedding envenenado de volta para texto e o injeta no cache. Quando o prompt de uma vítima atinge essa entrada de cache envenenada, o sistema reutiliza o estado intermediário, fazendo com que a imagem gerada pela vítima inclua inadvertidamente o logotipo do atacante, mesmo que a vítima nunca tenha solicitado isso.

Resultados Principais

Desempenho do Canal Encoberto

• Precisão: O canal alcançou 97,8% de precisão no FLUX e 95,8% no SD3 ao combinar detecção de latência e conteúdo.
• Sigilo: Prompts injetados permaneceram no cache por até 44 horas (dependendo do tamanho do cache e políticas de substituição como LCBFU), permitindo comunicação assíncrona de longo prazo.
• Largura de Banda: Embora a largura de banda seja menor do que em canais síncronos, a natureza assíncrona e o alto sigilo tornam-no uma ameaça viável.

Desempenho do Roubo de Prompt (CacheExposer)

• Similaridade Semântica: Prompts recuperados alcançaram uma similaridade cosseno média de 0,78 com os prompts originais, superando significativamente uma linha de base ingênua (0,67).
• Fidelidade da Imagem: Imagens geradas a partir de prompts roubados foram quase idênticas às originais, com pontuações PSNR superiores a 25 e altas pontuações SSIM.
• Eficiência: O ataque exigiu uma mediana de 4.385 prompts de sondagem por recuperação, mas esse custo é amortizado, pois múltiplos prompts podem ser recuperados de uma única sessão de sondagem.

Desempenho do Envenenamento (CachePoison)

• Taxa de Acerto: O CachePoison alcançou taxas de acerto significativamente maiores do que uma linha de base de injeção direta ingênua (por exemplo, 3.646 acertos vs. 2.624 para FLUX no DiffusionDB).
• Sucesso de Renderização: O ataque renderizou logotipos com sucesso em ~57% dos acertos para FLUX (vs. ~40% para injeção ingênua). O SD3 mostrou taxas de sucesso menores devido ao alinhamento texto-imagem mais fraco nas etapas iniciais de remoção de ruído.
• Persistência: O ataque permaneceu eficaz em diferentes tamanhos de cache e políticas de substituição, embora caches menores e políticas FIFO/LRU tenham aumentado a contagem de acertos ao expulsar entradas concorrentes mais rapidamente.

Significado e Alegações

O artigo afirma ser o primeiro trabalho a explorar vulnerabilidades de segurança especificamente dentro dos mecanismos de cache aproximado de modelos de difusão texto-para-imagem. Seu significado reside em:

1. Mudança da Superfície de Ataque: Demonstra que otimizações de eficiência em sistemas de serviço podem criar riscos de segurança graves (canais encobertos, roubo de dados e envenenamento de conteúdo) que são independentes da arquitetura do modelo ou do envenenamento de dados de treinamento.
2. Praticidade: Os ataques são realizados remotamente contra um sistema de serviço em nuvem realista, não exigindo acesso ao modelo ou manipulação de dados de treinamento.
3. Sigilo e Persistência: A natureza assíncrona do canal encoberto e a longa vida útil das entradas em cache tornam esses ataques difíceis de detectar e mitigar.
4. Urgência para Defesa: Os autores argumentam que, à medida que o cache aproximado se torna padrão em implantações comerciais (por exemplo, pela Adobe, Google, OpenAI), essas vulnerabilidades devem ser abordadas antes da adoção generalizada.

O artigo conclui que, embora o cache aproximado melhore o desempenho, ele compromete fundamentalmente o isolamento dos usuários, necessitando de novos mecanismos de defesa, como seleção aleatória de cache, filtragem de conteúdo e detecção de comportamento malicioso.