Un Attacco di Avvelenamento Contro lo Splatting Gaussiano 3D

Una nuova collaborazione di ricerca tra Singapore e Cina ha proposto un metodo per attaccare il metodo di sintesi popolare 3D Gaussian Splatting (3DGS).

Il nuovo metodo di attacco utilizza dati di origine appositamente creati per sovraccaricare la memoria GPU disponibile del sistema bersaglio e per rendere l’addestramento così lungo da potenzialmente incapacitare il server bersaglio, equivalente a un attacco di negazione del servizio (DOS). Fonte: https://arxiv.org/pdf/2410.08190

L’attacco utilizza immagini di addestramento appositamente create di tale complessità che è probabile che sovraccarichino un servizio online che consente agli utenti di creare rappresentazioni 3DGS.

Questo approccio è facilitato dalla natura adattiva del 3DGS, che è progettato per aggiungere quanto più dettaglio rappresentativo possibile in base alle immagini di origine richieste per una rappresentazione realistica.

Il sistema di attacco ‘poison-splat’ è aiutato da un modello proxy che stima e itera il potenziale delle immagini di origine per aggiungere complessità e istanze di Gaussian Splat a un modello, fino a quando il sistema host non è sovraccaricato.

La carta afferma che le piattaforme online – come LumaAI, KIRI, Spline e Polycam – stanno offrendo sempre più 3DGS-as-a-service, e che il nuovo metodo di attacco – intitolato Poison-Splat – è potenzialmente in grado di spingere l’algoritmo 3DGS verso ‘la sua peggiore complessità di calcolo’ su tali domini, e anche di facilitare un attacco di negazione del servizio (DOS).

Secondo i ricercatori, il 3DGS potrebbe essere radicalmente più vulnerabile ad altri servizi di addestramento neurale online. Le procedure di addestramento di apprendimento automatico convenzionali impostano i parametri all’inizio e, in seguito, operano all’interno di livelli di utilizzo delle risorse e di consumo di energia costanti e relativamente coerenti. Senza l'”elasticità” che il Gaussian Splat richiede per l’assegnazione di istanze di splat, tali servizi sono difficili da attaccare nello stesso modo.

Inoltre, gli autori notano, i fornitori di servizi non possono difendersi da un tale attacco limitando la complessità o la densità del modello, poiché ciò comprometterebbe l’efficacia del servizio in condizioni di utilizzo normale.

Dal nuovo lavoro, vediamo che un sistema host che limita il numero di Gaussian Splat assegnati non può funzionare normalmente, poiché l’elasticità di questi parametri è una caratteristica fondamentale del 3DGS.