DDSA: Dual-Domain Strategic Attack for Spatial-Temporal Efficiency in Adversarial Robustness Testing

Resumen Técnico: DDSA – Ataque Estratégico de Doble Dominio para la Eficiencia Espacio-Temporal en las Pruebas de Robustez Adversaria

Declaración del Problema
Las aplicaciones críticas de recursos que dependen de la transmisión y el procesamiento de imágenes en tiempo real —como las operaciones de búsqueda y rescate (SAR), el monitoreo agrícola y la clasificación en redes sociales— enfrentan desafíos significativos debido a las perturbaciones adversarias. Si bien los métodos actuales de pruebas de robustez (p. ej., FGSM, PGD) son efectivos, dependen de un procesamiento exhaustivo cuadro por cuadro y de perturbaciones de imagen completa. Este enfoque es computacionalmente prohibitivo para despliegues a gran escala donde flujos masivos de imágenes requieren un procesamiento inmediato. Además, los métodos tradicionales no tienen en cuenta la heterogeneidad del contenido; no todas las imágenes o regiones dentro de una imagen poseen la misma importancia para el éxito de la misión. Por ejemplo, clasificar erróneamente a un humano en una operación de SAR es vital para la vida, mientras que clasificar erróneamente la vegetación es insignificante. Los marcos existentes carecen de mecanismos para priorizar estos elementos críticos, lo que conduce a un desperdicio computacional sustancial en contenido no esencial.

Metodología
El artículo propone DDSA (Dual-Domain Strategic Attack), un marco de pruebas de robustez adversaria eficiente en recursos que optimiza las pruebas mediante selectividad temporal y precisión espacial. El marco opera a través de tres pasos interconectados:

1. Función de Activación Temporal:
   Este componente determina cuándo atacar evaluando la prioridad y la incertidumbre de la clase predicha para cada imagen de entrada. Se calcula una puntuación de prioridad de clasificación ($Q_i$) utilizando:

   • Conciencia de Escenario ($R^{scena}$): Asigna pesos más altos a clases críticas para la misión (p. ej., humanos) basadas en la experiencia del dominio.
   • Calidad Basada en Datos ($R^{data}$): Cuantifica la confianza de la clasificación y la fuerza de la predicción utilizando probabilidades softmax y entropía.
   • Consistencia ($R^{consist}$): Evalúa la fiabilidad del modelo mediante la estimación de incertidumbre bayesiana usando Monte Carlo dropout.
     Un ataque se inicia solo si la puntuación de prioridad supera un umbral predefinido ($\tau$), filtrando cuadros rutinarios o de bajo riesgo.

2. Localización de Características Espaciales:
   Una vez seleccionado un cuadro para la prueba, este componente determina dónde atacar. Emplea Gradientes Integrados (IG), una técnica de IA Explicable (XAI), para generar un mapa de saliencia que resalta las regiones de píxeles más influyentes para las decisiones de clasificación. Se crea una máscara binaria mediante el umbral de estas puntuaciones de importancia, restringiendo las perturbaciones a las regiones críticas en lugar de a toda la imagen.

3. Generación de Ataque Estratégico:
   Los ejemplos adversarios finales se generan aplicando perturbaciones solo a las clases prioritarias (eficiencia temporal) y solo a los píxeles críticos identificados por la XAI (eficiencia espacial). La perturbación se calcula como:
   $\tilde{x}_i = x_i + \epsilon \cdot B_i \odot \text{sign}(\nabla_{x_i} J(x_i, y_{true}))$
   donde $B_i$ es la máscara binaria derivada del mapa de saliencia.

Contribuciones Clave

• Optimización de Doble Dominio: El artículo introduce un nuevo marco que aborda simultáneamente la heterogeneidad del contenido temporal (decidir cuándo atacar) y la significancia de la región espacial (decidir dónde atacar).
• Activación Consciente del Escenario: Un mecanismo que integra la experiencia del dominio con la incertidumbre del modelo para filtrar cuadros no críticos, reduciendo la sobrecarga innecesaria en el procesamiento secuencial.
• Targeting Guiado por XAI: La aplicación de Gradientes Integrados para localizar regiones de píxeles influyentes, permitiendo perturbaciones dirigidas que minimizan el uso de recursos manteniendo la efectividad del ataque.
• Métrica Eficiente en Recursos: Una métrica de evaluación relacionada con la seguridad ($P_{total}$) que equilibra el éxito del ataque frente a la utilización de recursos, penalizando los ataques fallidos y el desperdicio de recursos en contenido no crítico.

Resultados Experimentales
Los autores realizaron simulaciones exhaustivas utilizando los conjuntos de datos CIFAR-10, Fashion-MNIST y VOC2012 con clasificadores ResNet-18.

• Eficiencia Espacial: Los experimentos demostraron que el targeting guiado por XAI preserva altas tasas de éxito de ataque incluso con una reducción espacial significativa. Por ejemplo, PGD-60 mantuvo tasas de éxito superiores al 98% perturbando solo el 40% de los píxeles de la imagen. Los ataques estratégicos requirieron atacar apenas el 30% del área de píxeles para lograr tasas de éxito del 95%, afectando solo el 0.0123% de los píxeles totales en la simulación.
• Eficiencia Temporal: Al filtrar cuadros no críticos, DDSA logró una reducción del 80–97% en el tiempo de cómputo en comparación con las pruebas exhaustivas convencionales.
• Simulación a Gran Escala: En escenarios de alto rendimiento que procesan 30,000 imágenes, los métodos convencionales arrojaron puntuaciones negativas severas debido al procesamiento indiscriminado de contenido no crítico. En contraste, todas las variantes de DDSA lograron puntuaciones operativas positivas, validando la capacidad del marco para manejar flujos de imágenes masivos de manera eficiente.

Significancia y Reivindicaciones
El artículo afirma que DDSA cierra la brecha entre las pruebas adversarias a escala de laboratorio y el despliegue en el mundo real en entornos con restricciones de recursos. Al permitir pruebas de robustez exhaustivas y prácticas que enfocan los recursos computacionales en el contenido crítico para la misión, el marco respalda la confiabilidad de los sistemas críticos para la seguridad donde la eficiencia computacional impacta directamente en el éxito de la misión. Los autores sostienen que su estrategia de doble dominio logra una sustancial conservación de recursos espacio-temporales sin comprometer la efectividad de los ataques adversarios sobre las clases prioritarias.