Resumo Técnico: GhostVAE – Evadindo Marcas d'Água Semânticas de Difusão via Backdoor Sigiloso

Declaração do Problema

A marca d'água semântica emergiu como uma solução técnica primária para estabelecer a proveniência de imagens geradas por Modelos de Difusão Latente (LDMs). Esses esquemas, como o Tree-Ring, Gaussian Shading e PRCMark, embutem informações no ruído latente inicial do processo de geração, baseando-se na preservação da distribuição Gaussiana latente para manter a fidelidade da imagem. Uma suposição crítica nesses sistemas é que o pipeline de detecção, que tipicamente envolve um Autoencoder Variacional (VAE) para mapear imagens de volta ao espaço latente, seja confiável.

Este artigo identifica uma vulnerabilidade fundamental nesta suposição: a dependência de redes neurais para detecção introduz uma superfície de ataque de backdoor. Os autores postulam um modelo de ameaça onde um fornecedor de modelos malicioso, enquanto cumpre externamente os requisitos regulatórios ao implantar um esquema de marca d'água "provadamente seguro", planta secretamente um backdoor no codificador do VAE. Isso permite que o fornecedor distribua um gatilho universal para usuários coludidos. Quando uma imagem contendo este gatilho é processada pelo codificador com backdoor, a detecção da marca d'água é seletivamente desativada, permitindo a geração de conteúdo nocivo e não rastreável que contorna a auditoria regulatória.

Metodologia: GhostVAE

Os autores propõem o GhostVAE, um framework de ataque de backdoor em dois estágios projetado para plantar um backdoor sigiloso no codificador do VAE de LDMs. O ataque é projetado para ser seletivo (evadindo a detecção apenas quando acionado), sigiloso (indetectável por auditores de caixa branca) e generalizável entre diferentes arquiteturas de LDM e esquemas de marca d'água.

Estágio 1: Geração de Gatilho Universal

O primeiro estágio foca na construção de um gatilho ($\delta$) robusto e imperceptível que pode ser aplicado a qualquer imagem.

• Objetivo: O gatilho deve induzir um efeito consistente de "inversão de sinal" (sign-flip) no espaço latente da imagem codificada, mantendo-se robusto contra corrupções comuns e técnicas de purificação.
• Otimização: O gatilmo é otimizado via Gradiente Descendente Projetado (PGD) para minimizar uma função de perda que combina dois termos:
  1. Perda de Inversão ($L_{flip}$): Incentiva a representação latente da imagem acionada ($E_{bd}(x+\delta)$) a ser o negativo da latente da imagem limpa ($E_{cl}(x)$). Isso interrompe esquemas de marca d'água que dependem do sinal do latente (ex: Gaussian Shading, PRCMark) ou da estrutura de Fourier (Tree-Ring).
  2. Perda de Robustez ($L_{robust}$): Utiliza regularização de espectro de potência (adaptada do BlurGuard) para alinhar o espectro de potência da imagem acionada com a original. Isso é alcançado aplicando um desfoque Gaussiano aprendível ao gatilho durante a otimização, garantindo que o gatilho evite assinaturas de alta frequência que as defesas de purificação (como DiffPure) poderiam suprimir.

Estágio 2: Treinamento do Codificador com Backdoor

O segundo estágio ajusta finamente o codificador do VAE ($E_{bd}$) para responder confiavelmente ao gatilho enquanto mantém a funcionalidade normal em entradas benignas.

• Aprendizado Multitarefa: O codificador é treinado para minimizar uma função de perda composta:
  1. Perda de Funcionalidade ($L_{func}$): Garante que a saída do codificador em imagens limpas corresponda ao codificador de referência benigno ($E_{cl}$), preservando a fidelidade de geração e as taxas de detecção benignas.
  2. Perda de Backdoor ($L_{bd}$): Impõe o comportamento de inversão de sinal especificamente para entradas acionadas.
  3. Perda de Sigilo ($L_{stealth}$): Para evitar a detecção no espaço de parâmetros, os autores empregam um regularizador de Discrepância de Média Máxima (MMD). Isso alinha as distribuições de pesos por canal do codificador com backdoor com a do codificador de referência benigno, evitando a concentração do comportamento de backdoor em neurônios específicos que poderiam ser marcados por defesas de poda ou agrupamento de ativação.

Principais Contribuições

1. Formalização do Modelo de Ameaça: O artigo identifica e formaliza um novo vetor de ameaça onde a integridade do codificador do VAE é comprometida, minando a confiabilidade dos sistemas de marca d'água semântica, mesmo que a própria inserção da marca d'água seja criptograficamente sólida.
2. Framework de Ataque GhostVAE: Os autores propõem um ataque prático e sigiloso que alcança altas taxas de evasão sem degradar a qualidade da imagem ou exigir otimização por imagem durante a inferência.
3. Avaliação Abrangente de Defesa: O trabalho fornece uma avaliação rigorosa de 17 defesas representativas nas dimensões de espaço de entrada, espaço de parâmetros e espaço latente, demonstrando as limitações das estratégias de mitigação atuais contra este ataque específico.

Resultados Experimentais

Os autores avaliaram o GhostVAE em três LDMs de última geração (SD-2.1, SD-XL, FLUX-1.0) e três esquemas de marca d'água semântica (Tree-Ring, Gaussian Shading, PRCMark).

• Taxa de Sucesso do Ataque (ASR): O GhostVAE alcançou um ASR médio de 94,6% em todas as configurações. Notavelmente, atingiu 100% de ASR no SD-2.1 sob o esquema PRCMark.
• Desempenho Benigno: O ataque preservou a detecção de imagens com marca d'água benignas, mantendo uma Taxa de Verdadeiro Positivo (TPR) média de 94,4% com uma Taxa de Falso Positivo (FPR) próxima de zero.
• Qualidade da Imagem: O gatilho foi imperceptível, com impacto mínimo na fidelidade visual (ex: o PSNR permaneceu alto e as pontuações LPIPS indicaram degradação perceptiva desprezível).
• Comparação com Ataques de Remoção: Ao contrário dos ataques de remoção de marca d'água existentes (ex: Embedding, Imprint, Regeneração), que exigem alto custo computacional, otimização iterativa ou amostragem de difusão, o GhostVAE opera com latência desprezível (aprox. $5 \times 10^{-5}$s por imagem) e sem amostragem de difusão no tempo de teste.

Evasão de Defesa

O GhostVAE demonstrou robustez contra uma ampla gama de defesas:

• Espaço de Entrada: O gatilho permaneceu eficaz contra corrupções de imagem (JPEG, ruído, rotação), técnicas de purificação (DiffPure) e pipelines de redes sociais (X/Twitter).
• Espaço de Parâmetros: Defesas baseadas em poda (CLP, ANP, poda estruturada) e defesas de ajuste fino (FT, FT-SAM, I-BAU) falharam em remover o backdoor sem degradar significativamente a funcionalidade benigna do modelo ou as capacidades de detecção da marca d'água.
• Espaço Latente: O ataque evadiu detectores de meta-classificador (Jumbo MNTD), agrupamento de ativação e testes de Kolmogorov-Smirnov, pois as distribuições latentes e os padrões de ativação do codificador com backdoor permaneceram estatisticamente indistinguíveis dos codificadores benignos.

Significância e Alegações

O artigo conclui que a segurança dos sistemas de marca d'água semântica não pode ser garantida apenas por algoritmos de inserção robustos; os componentes de rede neural subjacentes, especificamente o codificador do VAE, também devem ser protegidos. Os autores alegam que:

• Vulnerabilidade Fundamental: A dependência de redes neurais para detecção cria uma superfície de ataque crítica e pouco explorada que pode comprometer fundamentalmente a rastreabilidade do conteúdo gerado por IA.
• Segurança de Ponta a Ponta: A implantação segura requer considerações de segurança de ponta a ponta, incluindo a supervisão do pipeline de treinamento do modelo e a integridade dos componentes do VAE.
• Implicações Regulatórias: Os atuais frameworks regulatórios focados na presença de marcas d'água podem ser insuficientes se o próprio pipeline de detecção estiver comprometido. Os autores sugerem que mitigações como o treinamento de VAEs por terceiros confiáveis e verificações de integridade criptográfica para componentes de modelos são necessárias.

O trabalho destaca uma lacuna entre a robustez teórica dos esquemas de marca d'água e sua segurança prática na presença de componentes de modelo comprometidos, instando a comunidade a abordar a segurança de todo o pipeline de modelos generativos.