Resumo Técnico: Cuidado com o Passo: Injeção de Informação em Modelos de Difusão via Incorporação de Passo de Tempo Sombra

1. Declaração do Problema

Os modelos de difusão (DMs) tornaram-se o padrão para IA generativa de alta fidelidade, mas seus mecanismos de segurança e proveniência permanecem pouco explorados. Embora a pesquisa existente tenha se focado na esteganografia dentro dos parâmetros do modelo, espaços latentes ou imagens de saída, e em ataques de backdoor acionados por prompts ou padrões de pixels, o componente de incorporação de passo de tempo foi amplamente negligenciado como um vetor de segurança potencial.

As incorporações de passo de tempo fornecem o sinal de condicionamento temporal que permite à rede de remoção de ruído adaptar as previsões através de diferentes níveis de ruído. Os autores identificam uma lacuna crítica: a capacidade representacional dessas incorporações é subutilizada. Especificamente, os codificadores posicionais padrão (frequentemente sinusoidais) possuem um período máximo (por exemplo, 10.000) que excede amplamente a faixa típica de treinamento (por exemplo, 1.000 passos). Isso deixa um vasto espaço temporal "sombra" não utilizado, que poderia ser explorado para injetar informações maliciosas ou servir como um canal covert para proveniência legítima, sem alterar o procedimento de amostragem observável ou os pesos do modelo.

2. Metodologia: Incorporação de Passo de Tempo Sombra (STE)

O artigo propõe a Incorporação de Passo de Tempo Sombra (STE), um mecanismo que aproveita o subespaço temporal não utilizado dos modelos de difusão para codificar distribuições de dados independentes.

Mecanismo Central

• Extensão Temporal: Os DMs padrão operam em uma faixa de passo de tempo fixa $t \in [0, T_0]$ (por exemplo, $T_0=1000$). A STE introduz um deslocamento "sombra" $f_n$ para criar um novo intervalo temporal disjunto $T_n = T_0 + f_n$.
• Deslocamentos Sombra: Em vez de alimentar o passo de tempo padrão $t$ na função de incorporação $\Phi(t)$, o modelo recebe um índice deslocado $t_{sn} = t + f_n$. Isso mapeia a trajetória padrão em um novo espaço de incorporação $e_{t_{sn}} = \Phi(t_{sn})$.
• Ortogonalidade: Devido às propriedades da codificação posicional sinusoidal, os deslocamentos $f_n$ (por exemplo, múltiplos de 1000) induzem vetores de incorporação que são quase ortogonais à faixa padrão. Isso cria uma "variedade temporal sombra paralela" que é linearmente separável da variedade explícita.
• Treinamento em Duplo Modo: O modelo é treinado com uma função de perda combinada:
  $$L_{STE}(\theta) = L_{DM}(\theta) + E_{t_{sn}}[\|\epsilon - \epsilon_\theta(x_{t_{sn}}, t_{sn}, c_{sn})\|^2]$$
  Isso permite que o modelo aprenda uma distribuição primária $D_0$ para passos de tempo explícitos e distribuições distintas e independentes $D_{sn}$ para passos de tempo sombra, todos dentro dos mesmos pesos da rede.
• Compatibilidade com Agendadores: Crucialmente, o agendador (o cronograma de ruído) permanece inalterado. Da perspectiva do usuário, a geração segue a sequência padrão $t = [T_0, \dots, 0]$. No entanto, o modelo interpreta internamente esses passos como passos de tempo sombra, ativando a distribuição aprendida específica associada a esse deslocamento.

Base Teórica

Os autores fornecem uma análise teórica da Coerência Mútua entre intervalos temporais. Eles provam que, para intervalos disjuntos $I_0$ e $I_1$, a similaridade de cosseno entre as incorporações é limitada superiormente por um pequeno valor $\mu$ (observado empiricamente como $\approx 0,1$ quando a diferença de tempo $\Delta t \ge 1000$). Essa baixa coerência confirma que as incorporações sombra formam um subespaço distinguível capaz de conter informações separadas sem colapsar na variedade de características primária.

3. Contribuições Principais

1. Proposta de STE: Um novo método de injeção de informação que revela a dimensão temporal como um canal subutilizado para codificar informações controláveis em modelos de difusão.
2. Superfície de Segurança de Duplo Uso: Demonstração de que a STE pode funcionar tanto como um mecanismo de ataque covert (injetando gatilhos maliciosos) quanto como um mecanismo de defesa (marcação d'água invisível/verificação de propriedade).
3. Prova Teórica: Derivação de limites de coerência mútua provando que intervalos de passos de tempo disjuntos produzem incorporações quase ortogonais, validando a viabilidade do aprendizado de distribuições independentes.
4. Validação Empírica: Experimentos abrangentes mostrando que a STE pode injetar distribuições de dados auxiliares de forma confiável, mantendo a independência das variedades explícitas e sombra.

4. Resultados Experimentais

Os autores avaliaram a STE em três dimensões: desempenho geral, eficácia do ataque e robustez da defesa.

Desempenho Geral

• Preservação de Qualidade: A STE preserva a qualidade generativa do conjunto de dados primário. No CIFAR-10, os escores FID melhoraram ligeiramente (de 24,38 para 21,82) ao treinar com conjuntos de dados sombra, indicando que a adição de intervalos sombra não degrada a distribuição primária.
• Independência: A Taxa de Exposição (ER) — medindo o vazamento não intencional entre conjuntos de dados — permaneceu baixa (cerca de 8–9%), confirmando que as gerações a partir de passos de tempo explícitos não vazam características dos conjuntos de dados sombra.
• Impacto do Agendador: A STE performa melhor com agendadores DDPM. O DDIM mostrou FID ligeiramente maior, mas permaneceu competitivo, enquanto o DPM-Solver exibiu degradação significativa de desempenho, sugerindo que a STE depende de agendadores que preservam o mapeamento padrão de ruído para dados.

Desempenho de Ataque (Injeção Covert)

• Capacidade de Backdoor: Quando os passos de tempo sombra são associados a um conjunto de dados envenenado (taxa de envenenamento de 5%), o modelo atua como um backdoor furtivo.
• Taxa de Sucesso: A STE-sombra alcançou uma Taxa de Sucesso do Ataque (ASR) de 99,2% no CIFAR-10 e 98,8% no CelebA-HQ.
• Furtividade: O ataque é indetectável por métricas padrão; o ramo explícito mantém alta fidelidade (FID ~22,07) e baixa ASR (0,2%) quando não acionado, e nenhuma anomalia é encontrada nas estatísticas de pixels ou pesos do modelo.

Desempenho de Defesa (Marcação d'Água)

• Verificação: A STE foi usada para gerar imagens com marca d'água, vinculando passos de tempo sombra a um conjunto de dados com marcas d'água de escudo visíveis.
• Robustez: A marca d'água permaneceu detectável sob desfoque, ruído e compressão JPEG (Precisão > 0,95), performando competitivamente com Tree-Ring e ROBIN.
• Limitações: A marca d'água foi vulnerável a ataques de clareamento e recorte (caindo para 0,85 e 0,71, respectivamente), atribuído à natureza visível em pixels da marca d'água específica utilizada no estudo.

5. Significado e Alegações

O artigo alega que o caminho de incorporação de passo de tempo é uma superfície de segurança crítica, anteriormente negligenciada, em modelos de difusão. Ao tratar o tempo como uma "chave", a STE permite:

• Controle Covert: A capacidade de alternar entre comportamentos benignos e maliciosos (ou com marca d'água) sem modificar o agendador ou a arquitetura do modelo visível ao usuário.
• Novo Cenário de Ameaças: Destaca uma vulnerabilidade onde adversários podem injetar gatilhos via envenenamento de código (pipelines disfarçados) que exploram o espaço temporal, evadindo o monitoramento tradicional de entrada/saída.
• Oportunidades de Proveniência: Oferece um novo primitivo para proveniência segura, permitindo que proprietários de modelos incorporem sinais de propriedade que são ativados apenas por chaves temporais específicas.

Os autores concluem que compreender a dimensão temporal é essencial para o futuro da modelagem generativa segura, pois revela um canal "sombra" que é fundamentalmente ortogonal às defesas no espaço de pixels ou no espaço de pesos. Eles observam que, embora a STE exponha uma vulnerabilidade, ela também motiva o desenvolvimento de novas estratégias de defesa, como verificar a consistência entre os passos de tempo emitidos pelo agendador e os valores recebidos pelo removedor de ruído.