Accelerating Targeted Hard-Label Adversarial Attacks in Low-Query Black-Box Settings

Resumen Técnico: TEA (Targeted Edge-informed Attack)

1. El Problema

Los modelos de redes neuronales profundas para clasificación de imágenes son vulnerables a ejemplos adversariales (perturbaciones imperceptibles que causan errores de clasificación). El artículo se centra en un escenario específico y desafiante:

• Ataques de Etiqueta Dura (Hard-Label): El atacante solo tiene acceso a la etiqueta predicha (la clase de mayor probabilidad) y no a las probabilidades o logits del modelo.
• Entorno de Caja Negra (Black-Box): El atacante no conoce los parámetros internos del modelo.
• Presupuesto de Consultas Limitado (Low-Query): En aplicaciones del mundo real (como APIs comerciales), el número de consultas permitidas es bajo (cientos o menos de mil).
• Ataques Dirigidos (Targeted): El objetivo es hacer que el modelo clasifique una imagen de origen ($x_s$) como una clase objetivo específica ($y_t$), partiendo de una imagen objetivo ($x_t$). Esto es más difícil que los ataques no dirigidos porque las regiones de decisión para clases específicas suelen ser estrechas y aisladas.

Limitación de los métodos actuales: Las técnicas de vanguardia (como HSJA, CGBA-H) se basan en la geometría del límite de decisión (estimación de gradientes o trazado de bordes). Estos métodos suelen ser ineficientes en las etapas iniciales cuando la imagen adversarial está lejos de la imagen objetivo en el espacio de alta dimensión, "quemando" muchas consultas antes de llegar a una región donde la geometría local sea útil.

2. Metodología: TEA (Targeted Edge-informed Attack)

Los autores proponen TEA, un ataque novedoso que no depende de la geometría local del límite de decisión, sino que utiliza la información de bordes intrínseca de la imagen objetivo para guiar las perturbaciones. La premisa central es preservar las características estructurales (bordes) que mantienen la clasificación correcta, mientras se modifican las regiones suaves para acercarse a la imagen de origen.

El método consta de dos fases principales:

A. Búsqueda Global Informada por Bordes (Global Edge-Informed Search):

• Máscara de Bordes Suaves: Se detectan bordes en la imagen objetivo ($x_t$) utilizando el operador Sobel. Se aplica un desenfoque (blur) para crear una máscara suave ($M_{edge}$) que asigna valores altos a los bordes y bajos a las regiones suaves.
• Interpolación: Se realiza una interpolación iterativa entre la imagen objetivo y la imagen de origen ($x_s$). Sin embargo, la actualización se enmascara para afectar solo las regiones no bordes (suaves):
  $$x_{k+1} \leftarrow x_k + \alpha (x_s - x_k) \odot (I - M_{edge})$$
  Esto permite un acercamiento rápido a la imagen de origen sin destruir la estructura semántica necesaria para mantener la etiqueta objetivo.

B. Búsqueda Local por Parches Informada por Bordes (Patch-Based Edge-Informed Search):

• Cuando la mejora global se estanca, el método divide la imagen en parches aleatorios.
• Se aplica una interpolación local dentro de cada parche, utilizando una función de ponderación gaussiana para suavizar los bordes del parche y evitar artefactos.
• Se busca el mayor paso ($\beta$) que mantenga la clasificación objetivo.
• Este proceso se repite hasta que se cumple un criterio de terminación (ej. 25 iteraciones sin mejora).

Estrategia Híbrida: Una vez que TEA reduce la distancia $\ell_2$ lo suficiente y la imagen entra en un espacio de decisión estrecho, se utiliza como inicialización para métodos de vanguardia basados en geometría (como CGBA-H) para el refinamiento final.

3. Contribuciones Clave

1. Nueva Estrategia de Perturbación: Introducción de TEA, que prioriza la preservación de bordes (estructura) y la modificación de regiones suaves, logrando un progreso rápido en etapas tempranas sin estimar gradientes locales.
2. Eficiencia en Bajo Presupuesto de Consultas: TEA reduce drásticamente el número de consultas necesarias en comparación con los métodos actuales.
3. Validación Empírica Extensiva: Evaluación en el conjunto de datos ImageNet (1000 pares de imágenes) contra cuatro arquitecturas (ResNet-50, ResNet-101, VGG16, ViT) y un modelo entrenado adversarialmente.
4. Análisis de Robustez: Estudios de ablación, análisis de densidad de bordes, estabilidad estocástica y evaluación en modelos modernos (CLIP zero-shot) y otros datasets (CIFAR-100, Intel).

4. Resultados Principales

• Reducción de Consultas: Para lograr una reducción del 60% en la distancia $\ell_2$ entre la imagen adversarial y la de origen, TEA requirió un promedio de 251 consultas, mientras que el segundo método más rápido (AHA) requirió 845 consultas. Esto representa una reducción del 70% en el uso de consultas.
• Rendimiento en Distancias: En el régimen de bajas consultas (<1000), TEA consistently logra distancias $\ell_2$ medianas significativamente menores que HSJA, AHA, CGBA y CGBA-H en todas las arquitecturas probadas.
• Tasa de Éxito (ASR): TEA alcanza tasas de éxito más altas (lograr reducciones del 50% y 75% en la distancia) más rápidamente que los métodos comparados.
• Área Bajo la Curva (AUC): TEA presenta los valores de AUC más bajos en la curva de distancia vs. consultas, indicando una reducción de distancia más rápida y eficiente.
• Robustez:
  • Funciona bien en modelos entrenados adversarialmente (aunque con menor rendimiento general, como es esperado).
  • Es efectivo en modelos de visión-lenguaje zero-shot (CLIP).
  • Mantiene su ventaja en diferentes resoluciones (128x128, 64x64) y datasets (CIFAR-100, Intel).
• Estudios de Ablación: Se demostró que perturbar regiones no-borde (TEA) es crucial; perturbar bordes (INV-TEA) o ambos por igual (HALF-TEA) resulta en un rendimiento significativamente inferior.

5. Significado e Impacto

• Relevancia Práctica: Dado que las APIs comerciales a menudo limitan el número de consultas, TEA representa una amenaza más realista y eficiente para sistemas de visión por computadora en producción.
• Cambio de Paradigma: El trabajo sugiere que, en lugar de depender exclusivamente de la geometría del límite de decisión (que es costosa de estimar), explotar características intrínsecas de la imagen (como bordes) es una estrategia superior para la exploración global inicial.
• Defensa: Los autores advierten que los métodos de defensa actuales que se centran en perturbaciones basadas en frecuencia pueden ser insuficientes. Se recomienda desarrollar defensas que verifiquen distorsiones informadas por bordes y características estructurales.
• Limitaciones: TEA es óptimo para la fase inicial de bajo presupuesto. Si se dispone de muchas consultas, su rendimiento final es comparable (no superior) a los métodos de refinamiento geométrico puro. Además, las actualizaciones por parches pueden introducir artefactos locales visibles para humanos.

En conclusión, TEA establece un nuevo estado del arte para ataques adversariales dirigidos de etiqueta dura en entornos de caja negra con recursos limitados, demostrando que la preservación de la estructura de bordes es una guía más eficiente que la estimación de gradientes locales en las etapas iniciales del ataque.