Low Rank Adaptation for Adversarial Perturbation

1. Planteamiento del Problema

El artículo aborda la ineficiencia de los ataques adversariales de caja negra, particularmente el excesivo número de consultas requeridas para generar ejemplos adversariales exitosos.

• Contexto: Los ataques de caja negra (donde el atacante no tiene acceso a los gradientes o pesos del modelo) son el modelo de amenaza más práctico, pero sufren altos costos de consulta. Esto genera cargas financieras al dirigirse a APIs comerciales y activa sistemas de detección de intrusos.
• Brecha: Si bien la Adaptación de Bajo Rango (LoRA) ha revolucionado la eficiencia del ajuste fino de Modelos de Lenguaje Grandes (LLM) al asumir que las actualizaciones del modelo residen en un subespacio de baja dimensión, sigue siendo una pregunta abierta si las perturbaciones adversariales (las actualizaciones de entrada) comparten esta propiedad de bajo rango. Trabajos existentes han explorado propiedades de bajo rango en datos naturales, pero no han proporcionado un análisis teórico o empírico sistemático de las propias perturbaciones.
• Desafío: En un entorno de caja negra, el atacante no puede acceder directamente a los gradientes del modelo víctima para descomponerlos en matrices de bajo rango (como se hace en LoRA para los pesos), lo que dificulta la construcción de un espacio de búsqueda de bajo rango.

2. Metodología

Los autores proponen un marco novedoso que aprovecha la estructura intrínseca de bajo rango de las perturbaciones adversariales para mejorar la eficiencia del ataque. La metodología consta de tres componentes principales:

A. Validación Teórica y Empírica

• Teoría: Los autores demuestran que para un clasificador de red neuronal $f$, la perturbación mínima $\delta$ requerida para invertir una decisión de clasificación reside dentro del espacio fila de la matriz Jacobiana $J(x)$. Dado que la dimensión de salida (número de clases $C$) es mucho menor que la dimensión de entrada $d$ ($C \ll d$), la perturbación $\delta$ es intrínsecamente de bajo rango (rango $\le C$).
• Análisis Empírico: Utilizando la Descomposición en Valores Singulares (SVD) sobre perturbaciones generadas por diversos ataques (PGD, C&W) en diferentes arquitecturas (ResNet, ViT, EfficientNet) y conjuntos de datos (ImageNet, CUB-200), demuestran que ~70-80% del cambio de magnitud relativa en los valores singulares se concentra cerca de cero. Esto confirma que las perturbaciones ocupan un pequeño subconjunto de direcciones dominantes.

B. Construcción de Subespacio de Bajo Rango (Entorno de Caja Negra)

Para superar la falta de acceso directo a los gradientes en escenarios de caja negra, los autores proponen un método de construcción de subespacio transferible:

1. Datos Auxiliares y Modelo de Referencia: El atacante utiliza un conjunto de datos auxiliar (que puede tener etiquetas/distribuciones diferentes a las de la víctima) y un modelo de referencia preentrenado (arquitectura diferente) para generar vectores de gradiente.
2. Filtrado por Explicabilidad: Para mitigar el ruido en los gradientes de referencia, aplican técnicas de Aprendizaje Automático Explicable (XAI) (por ejemplo, GradCAM, SHAP, LIME) para crear "máscaras salientes". Estas máscaras resaltan características críticas, permitiendo al sistema centrarse en los componentes de gradiente más relevantes.
3. Entrenamiento de Autoencoder (AE): Se entrena un Autoencoder basado en U-Net para mapear los vectores de gradiente de alta dimensión (filtrados por máscaras) a un espacio latente de baja dimensión y reconstruirlos. El espacio latente representa el Subespacio de Bajo Rango.

C. Ataque Adversarial de Bajo Rango

El subespacio construido se integra en ataques de caja negra existentes (basados en puntuación y basados en decisiones):

• Mecanismo: En lugar de muestrear vectores de perturbación aleatorios en el espacio de entrada completo de alta dimensión, el ataque muestrea vectores aleatorios dentro del espacio latente de baja dimensión aprendido.
• Proyección: Estos vectores latentes se decodifican de vuelta al espacio original de alta dimensión utilizando el decodificador entrenado.
• Optimización: El ataque procede estimando gradientes y actualizando la perturbación estrictamente dentro de este subespacio de bajo rango restringido, reduciendo significativamente el espacio de búsqueda y mejorando la velocidad de convergencia.

3. Contribuciones Clave

1. Prueba Teórica: Primera prueba teórica que demuestra que las perturbaciones adversariales poseen intrínsecamente una estructura de bajo rango debido a la brecha de dimensionalidad entre el espacio de entrada y las clases de salida.
2. Evidencia Empírica: Análisis exhaustivo de SVD en diversos modelos, conjuntos de datos y tipos de ataques que confirma la naturaleza de bajo rango de las perturbaciones.
3. Marco Novedoso: Un marco de ataque de caja negra que construye un subespacio de bajo rango transferible utilizando datos auxiliares, modelos de referencia y técnicas de XAI, sin necesidad de acceder a los gradientes internos del modelo víctima.
4. Mejoras de Rendimiento: Demostró mejoras significativas tanto en la eficacia del ataque (menor distorsión) como en la eficiencia (menos consultas) en comparación con las líneas base del estado del arte.

4. Resultados Experimentales

El marco se evaluó en los conjuntos de datos ImageNet, CUB-200 y Stanford Cars utilizando modelos como ResNet-50, EfficientNet y ViT.

• Eficiencia de Consultas: En ataques basados en decisiones (por ejemplo, HSJA) en el conjunto de datos CUB-200, el método de bajo rango redujo el número de consultas requeridas para disminuir la robustez del modelo de 1.0 a 0.66 en un 90% (de ~10,000 consultas a <1,000) en comparación con ataques ingenuos.
• Reducción de Distorsión: El método logró una distorsión $L_2$ significativamente menor. Por ejemplo, en CUB-200 con HSJA, la distorsión mediana bajó de 2.64 (ingenuo) a 0.82 (bajo rango con GradCAM).
• Robustez ante Discrepancias: El ataque permaneció altamente efectivo incluso cuando el conjunto de datos auxiliar (por ejemplo, imágenes faciales) y el modelo de referencia diferían significativamente del modelo víctima (por ejemplo, clasificación de aves), demostrando la transferibilidad del subespacio de bajo rango.
• Estudios de Ablación:
  • Autoencoder vs. PCA: El Autoencoder no lineal superó significativamente al PCA lineal, capturando patrones de gradiente complejos.
  • Integración de XAI: El uso de máscaras de gradiente (XAI) para entrenar el AE produjo mejores resultados que el uso de gradientes crudos por sí solos.
  • Modelos Robustos: El método atacó con éxito modelos entrenados adversarialmente (TRADES, Distilación, etc.), reduciendo significativamente su precisión robusta.

5. Significado

• Perspectiva de Ataque: Este trabajo proporciona una herramienta poderosa para evaluar la verdadera seguridad de los sistemas de caja negra. Al reducir drásticamente los costos de consulta, hace viable probar APIs comerciales que anteriormente eran demasiado costosas o riesgosas para sondearlas extensamente.
• Perspectiva de Defensa: Los hallazgos sugieren que el entrenamiento adversarial puede hacerse más eficiente. Al restringir la generación de ejemplos adversariales a un subespacio de bajo rango durante el entrenamiento, la sobrecarga computacional y de memoria (a menudo 3 veces el entrenamiento estándar) puede reducirse significativamente.
• Perspectiva Teórica: Cierra la brecha entre el ajuste fino eficiente en parámetros (LoRA) y el aprendizaje automático adversarial, estableciendo que el fenómeno de "bajo rango" es una propiedad fundamental de la optimización en espacios de redes neuronales de alta dimensión, aplicable tanto a actualizaciones de pesos como a perturbaciones de entrada.