Adversarial Evasion Attacks on Computer Vision using SHAP Values

Título: Ataques de Evasión Adversarial en Visión por Computadora utilizando Valores SHAP

1. El Problema

Los modelos de aprendizaje profundo, especialmente en visión por computadora, son vulnerables a ataques adversarios de evasión. Estos ataques consisten en introducir perturbaciones imperceptibles al ojo humano en los datos de entrada (inferencia) para engañar al modelo, reduciendo su confianza o induciendo clasificaciones erróneas.

• Limitaciones de los métodos actuales: El método más conocido, el Método de Signo del Gradiente Rápido (FGSM), se basa en el gradiente de la función de pérdida. Sin embargo, FGSM tiene deficiencias:
  • Prioriza la velocidad sobre la eficiencia, lo que a menudo resulta en fallos de ataque.
  • Utiliza un escalar $\epsilon$ uniforme para todos los pesos, ignorando la magnitud real de la influencia de cada píxel.
  • Es susceptible al fenómeno de "enmascaramiento de gradientes" (gradient masking), donde los gradientes se vuelven no informativos, estocásticos o desaparecen, haciendo que el ataque sea ineficaz o incluso contraproducente (aumentando la confianza del modelo).

2. Metodología

Los autores proponen un nuevo ataque de caja blanca (white-box) que sustituye el uso de gradientes por Valores SHAP (SHapley Additive exPlanations).

• Fundamento Teórico: Los valores SHAP cuantifican la contribución de cada variable de entrada (en este caso, píxeles) a la salida del modelo durante la fase de inferencia. A diferencia de los gradientes, que solo indican la dirección de la pendiente, SHAP proporciona una medida de la magnitud de la influencia de cada píxel.
• Análisis de Patrones: Mediante el análisis de múltiples conjuntos de datos (Rostros de Animales, Gatos y Perros, MNIST, Rostros Humanos) y arquitecturas (desde CNNs simples hasta EfficientNetB7), los autores descubrieron un patrón consistente:
  • Existe una relación no lineal entre el valor del píxel y su valor SHAP.
  • Se forma un patrón de "mariposa" donde los píxeles con valores intermedios (cerca de 0.4 o 0.3 dependiendo del dataset) tienen una influencia neutra (SHAP $\approx$ 0), mientras que los valores extremos tienen una influencia fuerte (positiva o negativa).
• Algoritmo de Ataque SHAP:
  • El objetivo es neutralizar las influencias fuertes (tanto positivas como negativas) moviendo los píxeles hacia la zona neutra.
  • Fórmula de perturbación:
    $$x' = x + \epsilon \cdot \begin{cases} -|\phi| & \text{si } x \ge 1-h \land V \\ |\phi| & \text{si } x \le h \land V \end{cases}$$
    Donde:
    • $\phi$: Valor SHAP del píxel.
    • $V$: Umbral para seleccionar solo píxeles con influencia significativa ($\phi \ge v$ o $\phi \le -v$).
    • $h$: Umbral para manipular solo píxeles con valores absolutos aumentados.
    • $\epsilon$: Intensidad del ataque, definida en relación con la desviación estándar de los valores SHAP ($\frac{1}{20\sigma_\phi}$).

3. Contribuciones Clave

1. Nueva Estrategia de Ataque: Introducción de un ataque adversarial basado en valores SHAP en lugar de gradientes, aprovechando la explicabilidad del modelo para atacar.
2. Superioridad en Escenarios de Enmascaramiento: Demostración de que los ataques SHAP son más robustos que los basados en gradientes (FGSM) en situaciones donde los gradientes son poco fiables o están enmascarados.
3. Análisis de Patrones de Influencia: Identificación de la relación "mariposa" entre el valor del píxel y su contribución al modelo, lo que permite diseñar perturbaciones más sutiles y efectivas al mover los píxeles hacia la zona de neutralidad.
4. Evaluación Comparativa: Una comparación exhaustiva entre FGSM y el ataque SHAP en cuatro datasets diversos con diferentes arquitecturas de red.

4. Resultados

Los experimentos compararon la tasa de clasificación errónea (misclassification rate) manteniendo las perturbaciones imperceptibles para el ojo humano:

• Rostros de Animales:
  • FGSM: 52% de éxito.
  • SHAP: 73% de éxito.
• Gatos y Perros (Filtrado):
  • FGSM: 98% (con $\epsilon$ muy bajo).
  • SHAP: 89% (aunque ligeramente menor, es notablemente estable y requiere menos ajustes de parámetros).
• MNIST (Dígitos):
  • FGSM: 34%.
  • SHAP: 60%.
• Rostros de Hombres y Mujeres:
  • FGSM: 69%.
  • SHAP: 98%.

Hallazgos principales:

• Los ataques SHAP mostraron una mayor consistencia y estabilidad en las tasas de error a través de diferentes datasets y arquitecturas.
• Mientras que FGSM a veces aumentó la confianza del modelo (fallando en el ataque) debido a gradientes no informativos, los ataques SHAP redujeron consistentemente la probabilidad de la clase atacada.
• Visualmente, ambos ataques son imperceptibles, pero el ataque SHAP logra una mayor efectividad al concentrarse en las áreas de alta influencia y dejar intactas las áreas irrelevantes.

5. Significado e Implicaciones

• Vulnerabilidad de los Modelos: El estudio revela que los modelos de visión por computadora son altamente susceptibles a ataques que explotan la explicabilidad (SHAP) para manipular la entrada de manera sutil.
• Doble Uso de SHAP: Destaca la naturaleza dual de los valores SHAP: son herramientas poderosas para explicar modelos, pero también pueden ser utilizadas para identificar y explotar sus debilidades.
• Necesidad de Defensa: Subraya la urgencia de desarrollar modelos más resilientes que no dependan excesivamente de píxeles individuales, sino que distribuyan la influencia de manera más equilibrada.
• Limitaciones Prácticas: Se señala que los ataques SHAP requieren acceso de caja blanca y recursos computacionales significativos (debido a la complejidad de calcular SHAP en imágenes de alta resolución), lo que podría limitar su aplicación masiva en tiempo real frente a modelos complejos, aunque su potencial teórico es alto.

En conclusión, el paper demuestra que utilizar la lógica de los valores de Shapley para generar ejemplos adversarios es una estrategia superior a los métodos basados en gradientes tradicionales, ofreciendo una nueva perspectiva sobre la seguridad de los sistemas de inteligencia artificial.