CP-uniGuard: A Unified, Probability-Agnostic, and Adaptive Framework for Malicious Agent Detection and Defense in Multi-Agent Embodied Perception Systems

Resumen Técnico: CP-uniGuard

1. Planteamiento del Problema

La Percepción Colaborativa (CP) es una técnica fundamental para sistemas autónomos multi-agente (como vehículos conectados y robots), donde los agentes comparten información de percepción (datos crudos, características intermedias o resultados) para superar limitaciones individuales como oclusiones y rangos de detección reducidos.

Sin embargo, la CP introduce una superficie de ataque significativa:

• Vulnerabilidad: Un agente egoísta (el agente principal) debe recibir mensajes de sus colaboradores. Si un agente malicioso inyecta perturbaciones adversarias en sus mapas de características intermedias, puede engañar al sistema de fusión.
• Riesgo: Esto puede llevar a resultados de percepción erróneos (ej. no detectar un obstáculo o clasificar mal un semáforo), causando accidentes catastróficos.
• Limitaciones de soluciones existentes:
  • Métodos como ROBOSAC requieren conocer de antemano la probabilidad de agentes maliciosos (a menudo desconocida en la realidad).
  • Otros métodos requieren verificar a cada colaborador individualmente (ineficiente y costoso computacionalmente).
  • Los detectores de anomalías basados en entrenamiento requieren datos de ataque etiquetados y carecen de generalización ante ataques no vistos.

2. Metodología Propuesta: CP-uniGuard

El autores proponen CP-uniGuard, un marco de defensa unificado, agnóstico a las probabilidades y adaptativo. Su idea central es lograr un consenso entre el agente egoísta y sus colaboradores, en lugar de un conflicto. El marco consta de tres componentes principales:

A. Consenso de Muestreo Agnóstico a la Probabilidad (PASAC)

• Objetivo: Seleccionar un subconjunto de colaboradores para verificar el consenso sin necesidad de conocer la probabilidad previa de que un agente sea malicioso.
• Funcionamiento: Utiliza un procedimiento de división binaria adaptativa. El agente egoísta divide recursivamente a los colaboradores en dos grupos.
  • Se fusionan las características de cada grupo por separado y se compara el resultado con la percepción del agente egoísta.
  • Si el grupo muestra un alto consenso (baja discrepancia), se marca como benigno.
  • Si hay discrepancia, el grupo se divide nuevamente hasta aislar a los agentes maliciosos.
• Ventaja: Reduce drásticamente el número de verificaciones necesarias en comparación con revisar a todos los agentes uno por uno.

B. Verificación de Pérdida de Consistencia Colaborativa (CCLoss)

• Objetivo: Cuantificar la discrepancia entre la percepción del agente egoísta y la de sus colaboradores para determinar si hay consenso.
• Implementación: Se diseñan funciones de pérdida específicas para dos tareas:
  1. Detección de Objetos: Compara las cajas delimitadoras (bounding boxes) propuestas. Utiliza el algoritmo de emparejamiento húngaro para alinear las cajas y calcular una pérdida basada en la superposición (IoU) y la probabilidad de clase.
  2. Segmentación en Vista Aérea (BEV): Compara los mapas de segmentación pixel a pixel utilizando una medida de similitud ponderada por la frecuencia de las clases.
• Criterio: Si la pérdida (CCLoss) es alta (baja similitud), el grupo se considera contaminado por agentes maliciosos.

C. Umbral Adaptativo en Línea (Online Adaptive Threshold)

• Objetivo: Ajustar dinámicamente el umbral de decisión para la verificación de consenso en entornos cambiantes, evitando falsos positivos y negativos.
• Mecanismo: Utiliza dos ventanas deslizantes:
  • Una almacena las puntuaciones de consistencia de grupos etiquetados como benignos.
  • La otra almacena las de grupos etiquetados como contaminados.
• Cálculo: En cada cuadro (frame), se calcula el cuantil superior de la ventana benigna y el inferior de la ventana contaminada. El umbral actual se ajusta mediante un promedio móvil ponderado exponencialmente (EWMA) de estos valores. Esto permite que el sistema se adapte rápidamente a nuevas estrategias de ataque.

3. Contribuciones Clave

1. Marco Unificado (CP-uniGuard): Un mecanismo de defensa desplegable en cada agente que detecta y elimina agentes maliciosos sin requerir datos de entrenamiento adversarios ni probabilidades previas.
2. Método PASAC: Un algoritmo de muestreo eficiente que garantiza la identificación de agentes benignos con una complejidad de consultas logarítmica, independientemente de la tasa de ataque desconocida.
3. CCLoss: Una nueva función de pérdida diseñada específicamente para medir la consistencia en tareas de percepción colaborativa (detección y segmentación), sirviendo como criterio robusto de verificación.
4. Adaptabilidad Dinámica: Un esquema de umbral en línea que mantiene la fiabilidad del sistema en entornos dinámicos y frente a ataques variables.
5. Validación Exhaustiva: Demostración experimental en conjuntos de datos simulados (V2X-Sim) y del mundo real (DAIR-V2X).

4. Resultados Experimentales

Los autores evaluaron CP-uniGuard frente a ataques adversarios de caja blanca (FGSM, C&W, PGD) en tareas de detección de objetos y segmentación BEV.

• Rendimiento en Tareas de Percepción:
  • En la tarea de segmentación BEV, sin defensa, el mIoU cae drásticamente (ej. ~14-21% bajo ataques fuertes). CP-uniGuard recupera el rendimiento a niveles cercanos al límite superior (sin ataques), logrando un mIoU de ~39.3% (vs. 14.34% sin defensa bajo PGD).
  • En detección de objetos, CP-uniGuard supera consistentemente a métodos anteriores como ROBOSAC y el entrenamiento adversario. Por ejemplo, bajo ataque PGD, logra 80.4 AP@0.5, superando a ROBOSAC en 2.5 puntos porcentuales.
• Eficiencia de Muestreo (PASAC):
  • PASAC requiere significativamente menos verificaciones que ROBOSAC y el muestreo lineal. En escenarios con múltiples agentes, PASAC reduce el conteo de verificaciones en un orden de magnitud, manteniendo una alta estabilidad.
• Generalización:
  • A diferencia de los métodos basados en entrenamiento (como CP-Guard+), CP-uniGuard muestra una superior capacidad de generalización ante ataques no vistos durante el entrenamiento, ya que su mecanismo se basa en la verificación de consenso y no en patrones de ataque aprendidos.
• Latencia:
  • La latencia por verificación de grupo es comparable a otros métodos, pero la reducción en el número total de verificaciones necesarias hace que el enfoque sea más escalable en redes grandes.

5. Significado e Impacto

El trabajo CP-uniGuard representa un avance significativo en la seguridad de los sistemas multi-agente:

• Resiliencia Realista: Elimina la dependencia de suposiciones poco realistas (como conocer la tasa de ataque) que limitan a las soluciones anteriores.
• Eficiencia Computacional: Al evitar la verificación exhaustiva de todos los agentes y utilizar una búsqueda binaria inteligente, hace viable la defensa en tiempo real para sistemas con muchos nodos.
• Generalización Robusta: Al no depender de un entrenamiento específico contra tipos de ataques conocidos, ofrece una defensa más robusta contra amenazas futuras y adaptativas.
• Aplicabilidad: Proporciona una solución práctica para la seguridad en vehículos autónomos y robótica colaborativa, donde la integridad de la percepción es crítica para la seguridad física.

En conclusión, CP-uniGuard establece un nuevo estándar para la defensa en percepción colaborativa, equilibrando efectividad, eficiencia y adaptabilidad en entornos hostiles.