Cryptographic Backdoor for Neural Networks: Boon and Bane

Resumo Técnico: Backdoor Criptográfico para Redes Neurais: Benção e Maldição

Definição do Problema
As Redes Neurais Profundas (DNNs) estão sendo cada vez mais implantadas como Machine Learning as a Service (MLaaS), criando riscos significativos em relação ao roubo de Propriedade Intelectual (PI), extração de modelos e acesso não autorizado. Embora as defesas existentes, como marcas d'água (watermarking) e impressão digital (fingerprinting), frequentemente dependam de técnicas de backdoor, estas são frequentemente vistas como vulnerabilidades. Inversamente, os backdoors criptográficos introduzidos por Goldwasser et al. [10] oferecem indetectabilidade teórica, mas carecem de exploração em cenários de aplicação prática. Este artigo aborda a natureza dual dos backdoors criptográficos: seu potencial como um poderoso vetor de ataque adversário invisível e sua utilidade como um mecanismo robusto para assegurar a privacidade e a propriedade de redes neurais.

Metodologia
Os autores propõem um framework onde um backdoor criptográfico é implementado como um circuito paralelo ao classificador da rede neural primária, em vez de modificar os pesos do modelo através de envenenamento (poisoning). O mecanismo central baseia-se em esquemas de assinatura digital:

1. Arquitetura: O sistema consiste em um classificador padrão $f(x)$ e um circuito de verificação de assinatura $V$.
2. Transformação de Entrada: As amostras de entrada são aumentadas com um par mensagem-assinatura $(m, \sigma)$. A mensagem $m$ é incorporada à entrada (por exemplo, via esteganografia de Bit Menos Significante em imagens), e $\sigma$ é uma assinatura válida gerada usando uma chave secreta $sk$.
3. Lógica de Ativação: Durante a inferência, o sistema extrai $(m, \sigma)$. Se a assinatura verificar com sucesso contra a chave pública $vk$($VERIFY(\sigma, m, vk) = \text{válido}$), a saída é determinada pelo circuito de verificação (que pode ser manipulado para produzir "lixo" ou rótulos maliciosos específicos). Se a assinatura for inválida ou estiver ausente, o sistema retorna a predição do classificador padrão.
4. Base Teórica: A segurança baseia-se na não-falsificabilidade forte das assinaturas digitais. Sem a chave secreta $sk$, um adversário não consegue gerar uma assinatura válida para acionar o backdoor, garantindo que o backdoor seja não-replicável e computacionalmente indistinguível de um modelo limpo sob acesso de caixa-preta (black-box).

Principais Contribuições
O artigo estabelece que os backdoors criptográficos servem a duas funções opostas:

• A "Maldição" (Ataque Adversário): Os autores estendem o trabalho teórico de Goldwasser et al. [10] para tarefas de classificação de imagens. Eles demonstram um ataque de caixa-preta indetectável onde um adversário, possuindo a chave secreta, pode forçar o modelo a produzir predições arbitrárias para entradas de gatilho específicas. O ataque é invisível para avaliações padrão porque o modelo se comporta normalmente em amostras benignas, e o gatilho é imperceptível para observadores humanos.
• A "Benção" (Mecanismos de Defesa): O artigo propõe três aplicações práticas para assegurar sistemas de ML:
  1. Marca d'Água Provavelmente Robusta: Um esquema onde apenas um auditor com o conjunto de assinaturas válido pode verificar a propriedade. A marca d'água é persistente porque depende do circuito de verificação externo, não dos parâmetros do modelo, tornando-a resistente a ataques de ajuste fino (fine-tuning).
  2. Autenticação de Usuário: Um protocolo onde os usuários devem fornecer uma chave secreta válida para receber predições significativas. Sem a chave correta, o modelo retorna saídas manipuladas de "lixo", prevenindo a extração ou destilação não autorizada do modelo.
  3. Rastreamento de PI: Um mecanismo para rastrear o compartilhamento não autorizado de modelos. Ao atribuir conjuntos de rótulos de gatilho únicos para cópias de usuários específicos (derivados via hashing criptográfico da chave secreta de um usuário), o proprietário pode identificar a origem de um vazamento com base em qual conjunto de gatilhos específico de um usuário resulta em alta precisão.

Resultados Experimentais
Os autores implementaram estes protocolos em arquiteturas de última geração (ResNet-18, ResNet-50, ResNet-152) utilizando os datasets CIFAR-10 e ImageNet.

• Eficácia do Ataque: O ataque de backdoor reduziu com sucesso a precisão do modelo para níveis próximos ao aleatório (0,80% no CIFAR-10, 1,03% no ImageNet) quando gatilhos válidos estavam presentes, enquanto mantinha a precisão de base (92,26% e 80,11%, respectivamente) em amostras benignas.
• Desempenho da Defesa:
  • Marca d'Água: Alcançou 100% de precisão nos conjuntos de gatilho para auditores autorizados com assinaturas válidas, enquanto partes não autorizadas alcançaram precisão próxima de zero.
  • Autenticação: Usuários com chaves secretas válidas alcançaram precisão total, enquanto usuários com chaves inválidas receberam saídas inutilizáveis (ex: 0,09% de precisão no ImageNet).
  • Rastreamento de PI: Modelos distribuídos para usuários específicos alcançaram 100% de precisão em seus rótulos de gatilho designados, mas caíram significativamente (máximo de 23% no CIFAR-10, 2% no ImageNet) quando testados contra os conjuntos de rótulos de outros usuários, confirmando a rastreabilidade.
• Sobrecarga Computacional: O estudo destaca um trade-off significativo. A decodificação de pares mensagem-assinatura (particularmente com esquemas pós-quânticos como Dilithium2) introduz latência substancial, até 25,8 vezes o tempo de inferência para a ResNet-18 no ImageNet. Os autores sugerem paralelização ou esteganografia mais eficiente como mitigação.

Significância e Alegações
O artigo afirma ser o primeiro a construir empiricamente um backdoor criptográfico paralelo a uma rede neural hospedeira, demonstrando sua utilidade dual tanto para ataques maliciosos quanto para segurança defensiva. Os autores afirmam que seus protocolos são comprovadamente robustos contra adversários com acesso de caixa-preta, baseando-se na suposição criptográfica de que assinaturas digitais são não-falsificáveis.

No entanto, o artigo mantém um tom modesto em relação às suas limitações. Reconhece que as provas para os mecanismos de defesa requerem maior estudo teórico e que as implementações atuais são primariamente de caixa-preta. Os autores observam que a sobrecarga computacional da verificação de assinatura é um inconveniente significativo para implantação em tempo real. Além disso, esclarecem que, embora utilizem ideias de Goldwasser et al. [10], a indetectabilidade de caixa-branca proposta naquele trabalho é atualmente limitada a paradigmas de aprendizado específicos (Random Fourier Features) e ainda não é totalmente aplicável aos contextos modernos de ML geral. O artigo conclui sugerindo que primitivas pós-quânticas podem ser utilizadas para estes backdoors, lançando uma base para a segurança de machine learning na era quântica.