Beyond the False Trade-off: Adaptive EWC for Stealthy and Generalizable T2I Backdoors

Resumo Técnico: Além do Falso Trade-off: EWC Adaptativo para Backdoors T2I Furtivos e Generalizáveis

Declaração do Problema
O artigo aborda uma vulnerabilidade crítica em modelos de difusão Texto-para-Imagem (T2I): a dificuldade de implementar ataques de backdoor furtivos no lado do texto que preservem o comportamento limpo do modelo (fidelidade) enquanto mantêm uma Alta Taxa de Sucesso do Ataque (ASR). Este desafio é particularmente agudo em cenários de implantação prática envolvendo especialistas adaptados via LoRA (modelos ajustados para estilos específicos, como anime ou fotorealismo).

Os autores identificam um "falso trade-off" nas abordagens existentes. Trabalhos anteriores frequentemente dependem de alinhamento professor-aluno no espaço de saída (Aprendizado sem Esquecimento, LwF) ou de Consolidação de Pesos Elásticos (EWC) estática para preservar o comportamento limpo. O artigo demonstra que a EWC estática, que aplica uma penalidade fixa às mudanças de parâmetros, falha nesses cenários. Especificamente, um peso de consolidação estática forte ($\lambda$), destinado a preservar o comportamento limpo, frequentemente suprime o gatilho do backdoor por completo (colapsando a ASR para 0), especialmente para gatilhos fracos e furtivos (ex.: substituições Unicode) ou em especialistas LoRA. Isso ocorre porque o regularizador estático não consegue distinguir entre o modelo "esquecendo" o comportamento limpo (o que requer penalização) e o modelo "subajustando" o backdoor (o que requer relaxamento).

Metodologia: EWC Adaptativo Consciente de Cosseno (AEWC)
Para resolver a tensão entre reter capacidades limpas e aprender o backdoor, os autores propõem o EWC Adaptativo Consciente de Cosseno (AEWC). Este método transforma a EWC de uma restrição estática em um sistema sensor-regulador sensível ao contexto, que opera exclusivamente durante o treinamento, com zero sobrecarga de inferência.

O framework consiste em três componentes principais:

1. Pipeline Professor-Aluno: Um codificador limpo congelado ($T$) atua como professor, enquanto um codificador treinável ($S$) é o aluno. O aluno é treinado para mapear prompts envenenados para um embedding alvo, mantendo o alinhamento com $T$ em prompts limpos.
2. Sensor Semântico (Utilidade Limpa): Em vez de usar o Erro Quadrático Médio (MSE), o AEWC emprega uma função de perda de utilidade baseada em similaridade de cosseno ($L_{utl-cos}$) em prompts limpos. Isso mede o desvio semântico entre o aluno e o professor.
3. Regulador Adaptativo: A força de consolidação $\lambda$ é modulada dinamicamente com base na razão entre a perda de utilidade limpa e a perda do backdoor ($L_{bd}$).
   • Uma Média Móvel Exponencial (EMA) estabiliza essa razão ($\hat{r}_t$).
   • Se a razão for alta (indicando que o modelo está esquecendo o comportamento limpo), $\lambda$ aumenta para fortalecer a consolidação.
   • Se a razão for baixa (indicando que o backdoor está subajustado), $\lambda$ diminui para relaxar a restrição, permitindo que o gatilho seja aprendido.
   • O peso adaptativo final é limitado dentro de uma faixa definida $[\lambda_{min}, \lambda_{max}]$.

Principais Contribuições

1. Diagnóstico da Falha da EWC Estática: O artigo fornece um estudo sistemático mostrando que a EWC estática induz um modo de falha catastrófica em especialistas adaptados via LoRA e com gatilhos fracos. Ela cria uma aparência falsa de alta fidelidade ao suprimir o ataque por completo (ASR $\approx$ 0), em vez de equilibrar com sucesso a retenção e o aprendizado.
2. Framework AEWC: Os autores introduzem um design sensor-regulador que acopla um sensor semântico de cosseno com um regulador adaptativo impulsionado pela razão entre perda limpa e perda de backdoor. Estudos de ablação confirmam que tanto o sensor de cosseno quanto o regulador adaptativo são necessários para alcançar o trade-off ótimo entre ASR e fidelidade.
3. Evidência Empírica: O estudo demonstra que o AEWC alcança uma fronteira de Pareto superior para ASR e fidelidade em comparação com EWC estática, LwF e treinamento simples. Crucialmente, é a única linha de base que mantém alta ASR enquanto preserva a estilização em especialistas LoRA e generaliza para texto fora da distribuição (OOD).

Resultados Experimentais
Os autores avaliaram seu método em três famílias de gatilhos (Sintáticos, Unicode/Homóglifos e Frases) no Stable Diffusion v1.5, incluindo especialistas LoRA adaptados "Anime" e "Fotoreal" e texto OOD da AG News.

• Desempenho In-Domain: Sob orçamentos de treinamento correspondentes, o AEWC consistentemente alcançou maior similaridade Cosseno Limpa (fidelidade) em ASR comparável ou superior às linhas de base estáticas. Para gatilhos Unicode, o AEWC alcançou uma ASR de 98,7% com um Cosseno Limpo de 0,972, superando significativamente a EWC estática, que lutou para aprender o gatilho sem degradar a fidelidade.
• Especialistas LoRA: Em ambos os especialistas LoRA Anime e Fotoreal, o AEWC manteve uma ASR perfeita de 1,00 enquanto preservava a estilização (baixo FID e LPIPS). Em contraste, a EWC estática colapsou o ataque (ASR = 0) ao tentar preservar a estilização, e o LwF ocasionalmente vazou artefatos do backdoor para saídas limpas.
• Generalização Fora da Distribuição (OOD): O AEWC demonstrou forte transferência zero-shot para texto OOD (AG News), mantendo alta fidelidade e ASR onde a EWC estática falhou em generalizar efetivamente.
• Estudos de Ablação: Remover o regulador adaptativo (usando Estático+Cosseno) ou o sensor de cosseno degradou o desempenho, confirmando a necessidade da sinergia completa sensor-regulador.

Significado e Alegações
O artigo alega que o AEWC resolve a tensão "reter-aprender" em backdoors T2I tornando o mecanismo de regularização consciente de semântica. Ao distinguir entre esquecimento semântico e subajuste do backdoor, o AEWC evita o modo de falha de "supressão de gatilho" inerente à consolidação estática.

Os autores posicionam este trabalho como um princípio de design prático para backdoors furtivos no lado do texto, particularmente no contexto de adaptadores LoRA e gatilhos fracos. Eles argumentam que a consolidação no espaço de parâmetros, quando tornada adaptativa e sensível ao contexto, oferece uma alternativa robusta à destilação no espaço de saída, permitindo ataques de alta fidelidade que generalizam além da distribuição de treinamento sem incorrer em custos computacionais no tempo de inferência. O trabalho é enquadrado como uma contribuição para a compreensão da viabilidade e mecânica de tais ataques, com os autores notando a natureza de uso duplo da pesquisa e liberando instantâneos de configuração para verificação, enquanto restringem artefatos sensíveis.