Out-of-the-box: Black-box Causal Attacks on Object Detectors

Resumen Técnico: BlackCAtt

1. El Problema

Los detectores de objetos (OD), fundamentales en sistemas de seguridad crítica como los vehículos autónomos, son vulnerables a perturbaciones adversarias. Sin embargo, la mayoría de los métodos de ataque existentes presentan limitaciones significativas:

• Caja Blanca (White-box): Muchos requieren acceso a las capas internas del modelo o a la función de pérdida, lo cual es un modelo de amenaza poco realista.
• Falta de Explicabilidad: Aunque los ataques suelen tener éxito, a menudo es desconocido por qué funcionan. Las perturbaciones globales (como ruido gaussiano) demuestran vulnerabilidad pero no revelan la relación causal entre los píxeles alterados y el fallo del modelo.
• Ineficiencia y Perceptibilidad: Los ataques de caja negra actuales a menudo requieren grandes perturbaciones (altas distorsiones) para ser efectivos, lo que los hace perceptibles para el ojo humano.

El objetivo de este trabajo es desarrollar un ataque de caja negra que sea explicable, imperceptible y agóstico al modelo, basándose en principios de causalidad en lugar de optimización de gradientes ciegos.

2. Metodología: BlackCAtt

El artículo introduce BlackCAtt (Black-box Causal Attacks), un algoritmo y herramienta que ataca a los detectores de objetos manipulando solo las causas suficientes de una detección.

• Conjunto de Píxeles Mínimos Suficientes (MSPS):

  • El núcleo de la metodología es identificar el MSPS: el subconjunto mínimo de píxeles de una imagen que es suficiente para que el modelo clasifique o detecte un objeto.
  • Hallazgo Clave: Contrario a la intuición humana, el MSPS a menudo no está contenido completamente dentro del cuadro delimitador (bounding box) del objeto. El estudio revela que una fracción significativa de los píxeles causales se encuentran en el contexto externo al objeto.
  • El sistema utiliza herramientas de IA Explicable (XAI) de caja negra, específicamente rex (basado en causalidad actual) y drise, para generar mapas de responsabilidad y extraer los MSPS.

• Algoritmos Propuestos:
  El paper presenta dos variantes del algoritmo que operan solo con la etiqueta y la ubicación del cuadro delimitador (caja negra estricta):

  1. BlackCAttBl (Blended): Combina dos mapas: uno de responsabilidad positiva (para la detección actual) y uno de responsabilidad negativa (para "ninguna detección"). Mezcla estas regiones para encontrar perturbaciones mínimas que eliminen, cambien o añadan detecciones.
  2. BlackCAttMoG (Mixture of Gaussians): Trata el mapa de responsabilidad como una mezcla de gaussianas. Identifica picos de alta responsabilidad dentro del MSPS y genera una máscara de perturbación suave y coherente espacialmente, aplicando ruido o desenfoque solo en esas áreas críticas.

• Modos de Ataque:
  Los algoritmos pueden operar en tres objetivos:

  • Eliminar detección (No-prediction): Hacer que el objeto desaparezca.
  • Cambiar clasificación: Modificar la etiqueta del objeto.
  • Añadir detección espuria: Crear falsos positivos.

• Meta-algoritmo:
  Cuando se tiene acceso adicional a la puntuación de confianza (score) o la función de pérdida, BlackCAtt actúa como un meta-algoritmo. Restringe los ataques de estado del arte (como Square Attack o PRFA) para que solo operen sobre los píxeles del MSPS, mejorando drásticamente su eficiencia y reduciendo la distorsión.

3. Contribuciones Clave

1. Primera aproximación causal explicable de caja negra: BlackCAtt es el primer método que genera ataques adversarios explicables para detectores de objetos sin acceso al modelo interno, basándose en la teoría de la causalidad.
2. Descubrimiento de Dependencia Contextual: Demostraron empíricamente que los detectores de objetos (YOLO, Faster R-CNN, RT-DETR) dependen frecuentemente de píxeles fuera del cuadro delimitador para tomar decisiones. Atacar estos píxeles externos es una estrategia viable y potente.
3. Algoritmos Eficientes y de Baja Distorsión: Proponen BlackCAttBl y BlackCAttMoG, que logran ataques exitosos con perturbaciones mínimas, superando a las líneas base de caja negra tradicionales.
4. Mejora de Ataques Existentes: Demuestran que usar MSPS como "priors espaciales" mejora significativamente los ataques basados en puntuación (SOTA), reduciendo la distorsión perceptual en un orden de magnitud.

4. Resultados Experimentales

Las evaluaciones se realizaron en el conjunto de datos COCO utilizando tres arquitecturas distintas: YOLOv11, Faster R-CNN y RT-DETR.

• Rendimiento vs. Líneas Base:

  • BlackCAtt supera a los ataques de ruido global y ataques dirigidos a bordes en más de 2.3 veces en tasa de éxito bajo restricciones de distorsión estrictas (LPIPS y L2).
  • Por ejemplo, al usar BlackCAtt con Square Attack, la distancia promedio (norma L0) del ataque respecto a la entrada original se redujo de 0.987 a 0.072, manteniendo una tasa de éxito similar.

• Eficacia de los MSPS Externos:

  • Se observó que perturbar píxeles causales fuera del cuadro delimitador requiere un área de cambio significativamente menor (ej. ~948 px vs ~3001 px para YOLO) para lograr el mismo efecto que perturbar el interior, aunque con una tasa de éxito ligeramente menor. Sin embargo, la relación costo-beneficio en términos de imperceptibilidad es superior.

• Robustez y Arquitecturas:

  • Los ataques funcionaron consistentemente en modelos de un solo paso (YOLO), dos pasos (Faster R-CNN) y basados en transformadores (RT-DETR).
  • RT-DETR mostró ser el más robusto, pero BlackCAttMoG logró altas tasas de éxito incluso en esta arquitectura, sugiriendo una buena alineación con la composicionalidad de los transformadores.

• Métricas de Calidad:

  • Los ataques generados tienen valores de LPIPS (similitud perceptual) y L0/L2 (distancia de píxeles) muy bajos, lo que confirma que las perturbaciones son casi imperceptibles para el ojo humano.

5. Significado e Impacto

• Explicabilidad y Seguridad: Al atacar solo las "causas" del fallo, el método hace que el ataque sea totalmente explicable: si la causa cambia, el efecto (la detección) cambia. Esto permite a los desarrolladores entender exactamente qué información está utilizando el modelo y qué partes son vulnerables.
• Defensa y Robustez: El hallazgo de que los modelos dependen de contextos externos sugiere que las estrategias de entrenamiento adversario deben enfocarse no solo en el objeto, sino también en su entorno circundante para mejorar la robustez.
• Generalidad: Al ser agnóstico al modelo y no requerir gradientes, BlackCAtt es aplicable a cualquier detector de objetos en producción, cerrando la brecha entre la investigación teórica de causalidad y la seguridad práctica en sistemas de visión por computadora.

En conclusión, el paper demuestra que la comprensión causal de cómo un modelo "ve" un objeto (incluyendo su contexto fuera de la caja) permite generar ataques adversarios más eficientes, pequeños y explicables que los métodos tradicionales de caja negra.