One RNG to Rule Them All: How Randomness Becomes an Attack Vector in Machine Learning

Resumen Técnico: "One RNG to Rule Them All: How Randomness Becomes an Attack Vector in Machine Learning"

1. El Problema: La Vulnerabilidad de la Aleatoriedad en ML

El aprendizaje automático (ML) depende intrínsecamente de la aleatoriedad para procesos críticos como el muestreo de datos, la aumentación de datos, la inicialización de pesos, la optimización (SGD) y, fundamentalmente, para mecanismos de seguridad como la Privacidad Diferencial (DP) y la robustez certificada.

Los autores identifican que la mayoría de los marcos de trabajo (frameworks) de ML utilizan Generadores de Números Pseudoaleatorios (PRNG) cuyas implementaciones varían significativamente entre bibliotecas, dependencias de software y arquitecturas de hardware. Esta falta de estandarización y de validación estadística crea vectores de ataque covertos. Un atacante que logre predecir o manipular la fuente de aleatoriedad puede:

• Degradar el rendimiento del modelo.
• Comprometer la privacidad (reconstruyendo datos de entrenamiento en DP).
• Introducir backdoors mediante la manipulación de la aumentación de datos.
• Generar falsas certificaciones de robustez.

2. Metodología

El estudio se divide en tres fases principales:

• Estudio del Ecosistema: Los autores realizaron un análisis exhaustivo de los principales frameworks (PyTorch, TensorFlow, JAX), bibliotecas de DP (Opacus, TFPrivacy) y plataformas de Aprendizaje Federado (FedML-AI, TFFederated). Identificaron prácticas inseguras, como el uso de la hora del sistema para la siembra (seeding) de semillas o el uso de PRNGs no criptográficamente seguros para tareas de privacidad.
• Taxonomía de Ataques: Clasificaron las amenazas en tres objetivos: la fuente de la semilla (predicción de semillas), las dependencias de bibliotecas (ataques de cadena de suministro) y el framework de ML (manipulación de funciones de alto nivel).
• Desarrollo de RNGGUARD: Propusieron un sistema de defensa que opera en dos fases:
  1. Análisis Estático: Utiliza el motor de consultas semánticas CodeQL para escanear el código fuente de una biblioteca, identificar funciones de aleatoriedad y mapear su flujo de dependencia.
  2. Ejecución en Tiempo de Ejecución (Runtime): Implementa dos modos:
     • Modo Estático: Reemplaza llamadas a funciones inseguras por implementaciones seguras (ej. inyectando semillas de /dev/urandom o usando CSPRNGs).
     • Modo Dinámico: Ejecuta pruebas estadísticas de calidad (Test de Kolmogorov-Smirnov para distribuciones continuas y Test de $\chi^2$ de Pearson para discretas) para detectar desviaciones en la distribución de los datos generados.

3. Contribuciones Clave

• Nueva Taxonomía de Ataques: Un marco para entender cómo la manipulación de la aleatoriedad afecta la integridad, privacidad, equidad (fairness) y robustez del ML.
• RNGGUARD: Un sistema práctico que permite a los ingenieros de ML asegurar sus sistemas con bajo esfuerzo, sin necesidad de modificar el código fuente de las bibliotecas originales.
• Políticas de Aleatoriedad: Derivación de estándares de seguridad para el uso de semillas y algoritmos en contextos de ML.

4. Resultados y Evaluación

• Efectividad de Auditoría: Demostraron que las herramientas de auditoría de Privacidad Diferencial actuales (como DeltaSiege) no pueden detectar vulnerabilidades causadas por un PRNG inseguro; solo detectan errores de aritmética de punto flotante.
• Rendimiento de RNGGUARD:
  • El modo estático introduce un overhead moderado (aprox. 47% en escenarios no-DP).
  • El modo dinámico tiene un costo significativamente mayor debido a las pruebas estadísticas.
• Optimización (ASN y RASN): Para mitigar el costo del modo dinámico, introdujeron:
  • ASN (Asynchronous): Ejecuta las pruebas estadísticas en un hilo separado de la CPU para que el entrenamiento en la GPU no se detenga.
  • RASN (Randomized Asynchronous): Audita solo una fracción de las secuencias generadas (ej. 1 de cada 10), reduciendo drásticamente el tiempo de entrenamiento en entornos de DP.
• Prueba de Concepto: Lograron detectar y corregir con éxito un ataque de manipulación en la inicialización de pesos de PyTorch, restaurando la funcionalidad del modelo sin pérdida de precisión significativa.

5. Significancia

Este trabajo es fundamental porque aborda una "zona ciega" en la seguridad de la Inteligencia Artificial. Mientras que la comunidad se ha centrado en ataques de envenenamiento de datos o evasión, este artículo demuestra que la infraestructura matemática subyacente (la aleatoriedad) es un eslabón débil que puede ser explotado de forma casi invisible. RNGGUARD ofrece una solución viable para cerrar la brecha de seguridad entre la teoría de la aleatoriedad y la implementación práctica en el desarrollo de modelos de ML.