RMF: A Risk Measurement Framework for Machine Learning Models

Resumen Técnico: RMF: Un Marco de Medición de Riesgos para Modelos de Aprendizaje Automático

Declaración del Problema
Los modelos de aprendizaje automático (ML), particularmente los sistemas de aprendizaje profundo, se despliegan cada vez más en aplicaciones críticas de seguridad y protección, como la conducción autónoma y el diagnóstico médico. Esta proliferación introduce riesgos significativos provenientes del aprendizaje automático adversarial, donde las redes neuronales (NN) son influenciadas maliciosamente. Específicamente, el artículo aborda el desafío de cuantificar el riesgo asociado con los ataques de envenenamiento (un subconjunto de los ataques de puerta trasera o backdoor) que causan que las NN clasifiquen erróneamente las etiquetas de las imágenes durante la inferencia. Si bien la existencia de estas amenazas está bien documentada, existe una falta de métodos estandarizados para medir la magnitud del daño causado por un ataque y el esfuerzo requerido por un atacante para ejecutarlo. Los autores argumentan que, sin tales mediciones, es difícil evaluar objetivamente el desempeño de seguridad de los sistemas de ML o derivar valores de riesgo significativos.

Metodología
El artículo propone un Marco de Medición de Riesgos (RMF) basado en el estándar ISO/IEC 27004:2016 para la medición del riesgo de seguridad de la información. La metodología sigue un proceso estructurado:

1. Definición de Atributos: El marco define atributos específicos para medir el riesgo, categorizados en dos grupos principales:

   • Esfuerzo del Atacante: Incluye el Conocimiento del Atacante (caja blanca vs. caja negra), el Objetivo del Atacante (pasos para lograr el objetivo), la Especificidad del Ataque (pasos para atacar etiquetas específicas o aleatorias), el Tiempo de Ataque (duración de entrenamiento e inferencia) y los Recursos Computacionales (uso de CPU/GPU).
   • Magnitud del Daño: Se mide utilizando métricas estándar de ML que incluyen Exactitud (Accuracy), Puntuación F1 (F1-Score), Precisión Promedio (Average Precision) y Recuperación Promedio (Average Recall).

2. Proceso de Medición:

   • Recolección de Datos: El marco utiliza la Adversarial Robustness Toolbox (ART) para ejecutar ataques de puerta trasera en una NN objetivo.
   • Medidas Base: El sistema registra datos brutos durante el ataque, tales como el tiempo de entrenamiento, el consumo de recursos de hardware y el número de pasos procedimentales realizados por el atacante.
   • Medidas Derivadas: Las funciones de medición agregan estas medidas base.
     • Cálculo del Daño: Para cuantificar el daño, el marco invierte las métricas de ML (por ejemplo, si la exactitud cae a 0.06, se convierte en 0.94). Esta inversión asegura que una métrica original más baja (mayor daño) resulte en una puntuación de daño más alta. Estos valores invertidos se integran luego para formar una "Magnitud del Daño" compuesta.
     • Cálculo del Esfuerzo: El marco agrega el tiempo de ataque, los recursos computacionales y el número total de pasos (derivado del conocimiento, el objetivo y la especificidad) para formar un "Esfuerzo del Atacante" compuesto.

3. Interpretación del Riesgo: El marco no combina el daño y el esfuerzo en un único valor escalar de riesgo. En su lugar, los trata como cuatro valores distintos (Daño, Tiempo, Recursos, Pasos) que deben interpretarse individualmente. Los autores señalan que estandarizar el esfuerzo es actualmente imposible debido a la variabilidad en las unidades (segundos, MB, números naturales) y la falta de datos de referencia comparables para diferentes tipos de ataque.

Caso de Estudio y Resultados
El marco fue evaluado mediante un caso de estudio que involucra una Red Neuronal Convolucional (CNN) entrenada con un conjunto de datos de 133,000 señales de tráfico alemanas (70 etiquetas).

• Configuración: Se ejecutó un ataque de puerta trasera de etiqueta limpia (clean-label) envenenando el 50% de los datos de entrenamiento para clasificar erróneamente imágenes aleatorias hacia una etiqueta específica (Etiqueta 10).
• Hardware: El experimento se ejecutó en una CPU AMD Ryzen 7 5800X y una GPU NVIDIA GeForce RTX 3060 Ti.
• Hallazgos:
  • Daño: El ataque causó una reducción drástica en el desempeño. La exactitud original cayó de 0.94 a 0.06. La "Magnitud del Daño" compuesta calculada fue de 4.62.
  • Esfuerzo: El ataque requirió 21 pasos totales (combinando conocimiento, objetivo y especificidad), tomó 1037.23 segundos para ejecutarse y consumió 9% de CPU y 8137.81 MB de memoria GPU.
  • Clasificación de Riesgo: Basado en la clasificación de riesgo del Instituto Europeo de Normas de Telecomunicaciones (ETSI), los resultados se categorizaron como un Riesgo Crítico. La falta de contramedidas permitió el máximo daño con un esfuerzo del atacante relativamente bajo.

Contribuciones Clave
El artículo realiza tres contribuciones primarias:

1. Propuesta de Atributos: Propone un conjunto de atributos cuantitativos y cualitativos (incluyendo recursos computacionales y pasos de ataque específicos) para ser instanciados durante los métodos de medición para la seguridad de ML.
2. Funciones de Medición: Desarrolla funciones específicas para calcular valores que representan la magnitud del daño y el esfuerzo del atacante, adhiriéndose a las directrices de ISO/IEC 27004:2016.
3. Evaluación e Interpretación: Evalúa estos valores calculados a través de un caso de estudio, demostrando cómo interpretar el riesgo final de un ataque sin proponer contramedidas específicas.

Significancia y Reivindicaciones
Los autores posicionan este trabajo como una herramienta para mejorar el desempeño de la seguridad al permitir la medición de riesgos durante la fase de desarrollo de las NN, antes de su despliegue. El artículo establece explícitamente que no propone contramedidas; su único enfoque es la medición y evaluación del riesgo.

La significancia del RMF radica en su capacidad para:

• Cuantificar el daño potencial de los ataques adversariales de una manera estandarizada.
• Medir objetivamente los recursos y los pasos que un atacante debe invertir.
• Resaltar que, sin contramedidas, los ataques de puerta trasera pueden resultar en riesgos críticos (por ejemplo, clasificar erróneamente una señal de alto como una señal de límite de velocidad en vehículos autónomos) con un bajo esfuerzo del atacante.

Los autores concluyen con modestia, señalando que, si bien el marco mide con éxito el riesgo en un entorno controlado, la capacidad de comparar riesgos entre diferentes ataques o crear una matriz de riesgo integral está actualmente limitada por la falta de datos comparables. El trabajo futuro requiere medir más ataques para construir un conjunto de datos que permita un desarrollo de contramedidas más específico y una mejor estandarización del riesgo.