Pesquisadores demonstram ataque de backdoor oculto contra clustering por contraste profundo
Um novo ataque chamado HBDCC mostra que algoritmos de clustering não-supervisionado por contraste também são vulneráveis a backdoors inseridos durante o treinamento. Envenenando apenas uma pequena fração dos dados não rotulados, os autores conseguem manter o comportamento normal do modelo em dados limpos enquanto distorcem completamente os agrupamentos sempre que um gatilho específico está presente.
O trabalho ataca uma categoria de modelo de IA que recebe pouca atenção em pesquisas de segurança: o clustering por contraste profundo, usado para agrupar imagens ou outros dados sem a necessidade de rótulos humanos. Diferente dos ataques de backdoor clássicos em classificação supervisionada, aqui não há rótulos para manipular — o atacante precisa influenciar apenas a estrutura de similaridade que o modelo aprende entre diferentes visões aumentadas da mesma amostra.
Tecnicamente, o HBDCC explora o fato de que o treinamento contrastivo força o modelo a aproximar representações de versões aumentadas (recortadas, rotacionadas, etc.) do mesmo dado. Os autores inserem um gatilho que permanece consistente através dessas transformações de aumento de dados e que é reforçado pelos próprios objetivos de consistência em nível de cluster que o algoritmo usa para formar grupos coesos. Isso significa que, com a inserção de poucas amostras envenenadas no conjunto de treinamento não rotulado, o modelo aprende uma associação oculta entre o gatilho e um agrupamento incorreto, sem que isso afete visivelmente o desempenho em dados limpos — daí o termo 'oculto': não é o gatilho que é imperceptível, mas a própria existência do comportamento malicioso, que fica dormente até ser ativado.
Os experimentos em ImageNet-10, ImageNet-Dogs e STL-10 mostram que o ataque degrada fortemente os agrupamentos apenas para as entradas com gatilho, preservando desempenho suficiente em dados limpos para passar despercebido em avaliações padrão. Os autores também testam uma mitigação leve baseada em destilação de conhecimento, com resultados parciais.
O caso importa porque clustering não supervisionado é usado em pipelines de curadoria de dados, deduplicação, moderação de conteúdo e agrupamento de comportamento em sistemas de segurança — áreas onde se costuma assumir que a ausência de rótulos reduz a superfície de ataque. Este trabalho mostra que o pressuposto é falso: a cadeia de suprimentos de dados não rotulados, cada vez mais comum em pré-treinamento e em pipelines de dados abertos, pode ser um vetor plausível para backdoors silenciosos que só se manifestam em produção.