Resumen Técnico: RPP – Un Marco de Detección de Muestras Envenenadas Certificado para Ataques de Puerta Trasera bajo Desequilibrio de Conjuntos de Datos

1. Planteamiento del Problema

Las redes neuronales profundas (DNN) se despliegan cada vez más en aplicaciones críticas para la seguridad, pero siguen siendo altamente vulnerables a los ataques de puerta trasera (backdoor attacks). En estos ataques, los adversarios incrustan un patrón de activación (trigger) único en los datos de entrenamiento, lo que provoca que el modelo clasifique erróneamente las entradas que contienen el activador en una clase objetivo, mientras se comporta normalmente con las entradas limpias.

Aunque existen numerosos mecanismos de defensa, el artículo identifica una brecha crítica: la mayoría de las defensas existentes asumen conjuntos de entrenamiento equilibrados, una condición que rara vez se cumple en escenarios del mundo real. En la práctica, los conjuntos de datos suelen exhibir un desequilibrio de clases severo (por ejemplo, en el diagnóstico médico donde las muestras sanas superan ampliamente a los casos de cáncer, o en la conducción autónoma donde las anomalías de tráfico poco comunes están subrepresentadas). Los autores argumentan que este desequilibrio no es simplemente un inconvenio estadístico, sino una vulnerabilidad de seguridad. Postulan que:

1. Los conjuntos de datos desequilibrados son intrínsecamente más susceptibles a los ataques de puerta trasera debido al sesgo de la clase mayoritaria.
2. Los métodos de defensa convencionales se degradan significativamente a medida que el desequilibrio de datos se intensifica porque dependen de señales a nivel de distribución (por ejemplo, agrupamiento, estadísticas de clase) que se vuelven sesgadas o inestables cuando las clases minoritarias están subrepresentadas.
3. Las defensas existentes carecen de garantías teóricas formales, dejando a los sistemas críticos para la seguridad vulnerables ante adversarios adaptativos.

2. Metodología: Perturbación de Probabilidad Aleatorizada (RPP)

Para abordar estos desafíos, los autores proponen la Perturbación de Probabilidad Aleatorizada (RPP), un marco de detección de muestras envenenadas certificado diseñado para operar en un entorno de caja negra utilizando únicamente las probabilidades de salida del modelo.

Intuición Central

RPP opera desde una perspectiva a nivel de muestra en lugar de depender de señales distributivas globales. El método se fundamenta en la observación de que:

• Las entradas envenenadas (que contienen un activador) están diseñadas para ser robustas; sus vectores de probabilidad predictiva permanecen relativamente estables incluso cuando se someten a perturbaciones de entrada aleatorias (ruido).
• Las entradas benignas dependen de correlaciones naturales; sus vectores de probabilidad exhiben fluctuaciones significativamente mayores cuando son perturbadas.

La Métrica RPP

El marco define la Perturbación de Probabilidad Aleatorizada (RPP) como el cambio esperado en el vector de probabilidad predictiva de una muestra bajo la inyección de ruido gaussiano isotrópico.

• Sea $f(\cdot|w)$ un clasificador preentrenado.
• Para una entrada $x$, el Vector de Probabilidad por Muestra (SPV) es $p(x|w)$.
• La RPP, denotada como $\Delta P(x|w, \sigma)$, se define como la norma $L_\infty$ esperada de la diferencia entre el vector de probabilidad original y el vector tras añadir ruido $\epsilon \sim \mathcal{N}(0, \sigma^2 I)$:
  $$\Delta P(x|w, \sigma) = \mathbb{E}_{\epsilon} [\| p(x|w) - p(x + \epsilon|w) \|_\infty]$$
• En la práctica, esto se estima empíricamente ($\tilde{\Delta}P$) promediando la perturbación sobre $J$ muestras de ruido.

Pipeline de Detección

El proceso de detección involucra tres pasos:

1. Entrenamiento Preliminar del Modelo: Se entrena un modelo con el conjunto de datos potencialmente envenenado. Si existen puertas traseras, se asume que el modelo ha aprendido el activador.
2. Cálculo del Umbral (Calibración Conforme): Se utiliza un pequeño conjunto de calibración limpio y equilibrado $V$. Se calcula la RPP empírica ($\tilde{\Delta}P$) para estas muestras limpias. Se determina un umbral de detección $\hat{q}$ utilizando técnicas de predicción conforme. Específicamente, $\hat{q}$ se establece como un cuantil de las puntuaciones de calibración correspondiente a un nivel de significancia $\alpha$ especificado por el usuario. Esto asegura una calibración libre de distribución que sigue siendo válida incluso bajo desequilibrio de clases.
3. Detección de Muestras Envenenadas: Para cada muestra en el conjunto de datos que debe ser inspeccionada, se calcula su RPP empírica. Si $\tilde{\Delta}P \leq \hat{q}$, la muestra se marca como envenenada; de lo contrario, se clasifica como limpia.

Garantías Teóricas

El artículo proporciona una certificación teórica para la detectabilidad de las puertas traseras:

• Condición de Detectabilidad: Los autores derivan una cota inferior para el tamaño del activador ($\|\delta\|_2$) requerida para garantizar la detección. Si el tamaño del activador excede un umbral específico derivado del nivel de ruido $\sigma$, la probabilidad de la clase objetivo $p(x)$ y la cota superior de la distribución de probabilidad limpia, se garantiza que la muestra envenenada sea detectada.
• Control de la Tasa de Falsos Positivos (FPR): Utilizando la teoría de la predicción conforme, el marco proporciona un límite probabilístico superior para la FPR. El Teorema 5.4 establece que la probabilidad de que una muestra limpia sea marcada incorrectamente como envenenada está acotada por $\alpha + \frac{1}{n+1}$, donde $n$ es el tamaño del conjunto de calibración.

3. Contribuciones Clave

Los autores resumen sus contribuciones de la siguiente manera:

1. Investigación de Amenazas: Demuestran empíricamente una fuerte correlación entre el desequilibrio del conjunto de datos y las tasas de éxito de los ataques de puerta trasera, mostrando que los conjuntos de datos desequilibrados son intrínsecamente más vulnerables. También muestran que las defensas existentes se degradan significamente bajo desequilibrio.
2. Marco RPP: Introducen RPP, una técnica de detección de muestras envenenadas mediante entrenamiento previo que se adapta eficazmente al desequilibrio severo de clases al utilizar señales de estabilidad a nivel de muestra en lugar de estadísticas a nivel de distribución.
3. Garantías Certificadas: A diferencia de muchas defensas empíricas, RPP ofrece garantías de rendimiento demostrables, incluyendo una condición de detectabilidad certificada y un límite riguroso de la tasa de falsos positivos, proporcionando una base teórica para el despliegue en entornos críticos para la seguridad.

4. Resultados Experimentales

Los autores evaluaron RPP en cinco referentes (MNIST, SVHN, CIFAR-10, TinyImageNet y ImageNet10) cubriendo 10 tipos diferentes de ataques de puerta trasera (incluyendo BadNets, Blend, Trojan, SIG, ISSBA, etc.) y lo compararon con 12 defensas de base.

• Rendimiento bajo Desequilibrio: Los experimentos se realizaron con ratios de desequilibrio ($\rho$) que van desde 1 (equilibrado) hasta 200.
  • Precisión de Detección: RPP logró consistentemente tasas de verdaderos positivos (TPR) significativamente más altas que las defensas de vanguardia (por ejemplo, AC, ASSET, SCALE-UP, STRIP) en todos los niveles de desequilibrio. Por ejemplo, en CIFAR-10 con $\rho=100$, RPP alcanzó una TPR del 100% contra BadNets con una FPR del 9.2%, mientras que otros métodos a menudo vieron caer sus TPRs por debajo del 50% o disparar sus FPRs.
  • Robustez: RPP mantuvo una alta precisión de detección incluso cuando el ratio de desequilibrio aumentó a 200, un régimen donde la mayoría de las defensas existentes fallaron por completo o produjeron falsos positivos inaceptables.
• Rendimiento de Certificación: El marco certificó con éxito la detección de muestras envenenadas con una alta cobertura (a menudo >98% para SVHN y CIFAR-10) mientras mantenía la FPR dentro de los límites teóricos definidos por el parámetro $\alpha$ (probado en 0.05 y 0.1).
• Ataques Adaptativos: El método demostró resiliencia contra ataques adaptativos, incluyendo activadores de norma pequeña y ataques de etiqueta híbrida, siempre que el tamaño del activador permaneciera dentro del régimen de detectabilidad teórica.

5. Significación y Reivindicaciones

El artículo afirma establecer una base teórica y práctica para defenderse de los ataques de puerta trasera en entornos del mundo real caracterizados por datos desequilibrados.

• Primero en su Clase: Los autores aseveran que RPP es el primer marco de detección de muestras envenenadas certificado diseñado específicamente para manejar los desafíos del desequilibrio de conjuntos de datos.
• Cambio de Paradigma: Al pasar de señales a nivel de distribución a métricas de robustez a nivel de muestra, RPP evita la dependencia de representaciones de clase uniformes, lo que lo hace naturalmente adecuado para distribuciones sesgadas.
• Aplicabilidad en Seguridad Crítica: La provisión de garantías formales (condiciones de detectabilidad y límites de FPR) aborda la dinámica de "gato y ratón" de las defensas empíricas, ofreciendo un nivel de seguridad necesario para aplicaciones críticas como la conducción autónoma y el diagnóstico médico, donde los falsos negativos o los falsos positivos incontrolados son inaceptables.

Los autores concluyen que, si bien su método requiere un modelo preliminar y un conjunto de calibración limpio, ofrece una solución robusta y certificada que sigue siendo efectiva donde las soluciones de vanguardia actuales fallan.