Resumen Técnico: Un Marco Robusto de Detección Fuera de Distribución Mediante Suavizado Sinérgico

Enunciado del Problema

Las Redes Neuronales Profundas (DNN) se despliegan cada vez más en aplicaciones críticas para la seguridad, sin embargo, siguen siendo vulnerables a perturbaciones adversarias y cambios de distribución. Si bien los métodos de detección Fuera de Distribución (OOD) sirven como una salvaguardia crucial para identificar entradas novedosas o maliciosas, estudios recientes indican que los detectores OOD más avanzados son, en sí mismos, susceptibles a ataques adversarios. Específicamente, un adversario puede crear entradas que son OOD pero que son mal clasificadas como dentro de la distribución (ID), desactivando efectivamente la primera línea de defensa del sistema.

Los detectores basados en perturbaciones existentes, como ODIN y PRO, intentan mejorar la detección aplicando optimizaciones direccionales (por ejemplo, aumentar o disminuir las puntuaciones de confianza). Sin embargo, los autores identifican un defecto crítico en estos enfoques: exhiben una vulnerabilidad asimétrica. Un detector optimizado para resistir ataques que minimizan la puntuación a menudo se vuelve vulnerable a ataques que maximizan la puntuación, y viceversa. Este sesgo direccional socava la fiabilidad de la detección OOD en entornos dinámicos y adversarios.

Metodología: El Marco ROSS

Los autores proponen ROSS (Detector OOD Robusto mediante Suavizado Sinérgico), un marco agnóstico al modelo y posterior al entrenamiento diseñado para lograr robustez simétrica contra ataques tanto de minimización como de maximización de puntuaciones. ROSS no requiere reentrenar la DNN subyacente y puede aplicarse a cualquier técnica de puntuación OOD existente (por ejemplo, MSP, Energy, GEN, fDBD).

El núcleo de ROSS implica generar $N$ variantes ruidosas de una entrada $x$ añadiendo perturbaciones aleatorias. A partir de la "pila de puntuaciones" resultante, ROSS calcula dos estadísticas robustas fundamentadas en la teoría de estadística robusta:

1. Puntuación Mediana ($S_{med}$): La mediana de la pila de puntuaciones, que representa una tendencia central suavizada de la puntuación OOD.
2. Estabilidad de la Puntuación ($\sigma_{med}$): La Desviación Absoluta Mediana (MAD) de la pila de puntuaciones, que cuantifica la inestabilidad local del paisaje de puntuaciones.

Idea Clave: La Inestabilidad como Señal

Los autores observan que las muestras ID típicamente residen en regiones suaves del paisaje de puntuaciones, lo que produce puntuaciones de baja varianza bajo perturbación (alta estabilidad). Por el contrario, las muestras OOD habitan regiones irregulares donde pequeñas perturbaciones inducen grandes fluctuaciones en las puntuaciones (alta inestabilidad).

La Función de Puntuación

ROSS combina estas métricas en una puntuación final ($S_{ROSS}$) utilizando un mecanismo de puerta consciente de la confianza. La puntuación final se define como:
$$S_{ROSS} = \min(S_{95}, S_{med}) + \Delta_{score} \cdot \left(1 + \frac{\lambda}{\sigma_{med}}\right)$$
Donde:

• $S_{95}$ es un umbral de confianza (el percentil 5 de la distribución de validación ID).
• $\Delta_{score} = \max(0, S_{med} - S_{95})$ asegura que la bonificación de estabilidad se aplique solo cuando la puntuación mediana supera el umbral de confianza.
• $\lambda$ es un hiperparámetro que controla la magnitud de la bonificación de estabilidad.

Esta formulación asegura que la estabilidad sea recompensada solo para muestras de alta confianza, similares a ID. Evita que las muestras "lejanas OOD", que podrían ser estables pero tener baja confianza, reciban un impulso artificial de puntuación. Al utilizar la mediana y la MAD, el método es inherentemente resistente a la manipulación basada en gradientes y a los valores atípicos.

Contribuciones Clave

1. Identificación de Vulnerabilidad Asimétrica: El artículo es el primero en analizar y demostrar sistemáticamente que los detectores OOD basados en perturbaciones existentes (como PRO y ODIN) sufren de robustez asimétrica, defendiendo contra una dirección de ataque mientras permanecen vulnerables a la opuesta.
2. Propuesta de ROSS: Un marco novedoso y posterior al entrenamiento que aprovecha la inestabilidad local de las puntuaciones como un multiplicador de confianza. A diferencia de trabajos anteriores, ROSS es no direccional y libre de gradientes, logrando robustez simétrica contra ataques tanto PGD-min como PGD-max.
3. Descomposición de Estabilidad y Confianza: A través de estudios de ablación extensos, los autores aíslan las contribuciones de la estabilidad de la puntuación y el umbral de confianza, demostrando que ambas son críticas para una separación efectiva ID/OOD.
4. Validación Empírica: Evaluación exhaustiva en CIFAR-10, CIFAR-100 e ImageNet, mostrando que ROSS supera consistentemente a los detectores de referencia y a los métodos anteriores basados en perturbaciones.

Resultados Experimentales

Los autores evaluaron ROSS en benchmarks estándar utilizando modelos ResNet-18 y ResNet-50 preentrenados.

• Rendimiento de Referencia: En datos limpios, ROSS alcanza un rendimiento de vanguardia. Por ejemplo, en CIFAR-10 con la puntuación base GEN, ROSS logró un AUROC promedio de 84.72% y un FPR95 de 45.77%, superando a la línea base solo mediana ($S_{med}$) y a la relación ingenua ($S_{med}/\sigma_{med}$).
• Robustez Adversaria: Bajo ataques PGD ($\epsilon = 8/255$), ROSS demuestra una resiliencia significativa.
  • En CIFAR-10, mientras que el AUROC de la línea base MSP colapsó a 3.76% bajo ataques PGD-max, ROSS-MSP mantuvo un AUROC de 52.65%.
  • En CIFAR-100, ROSS-fDBD mejoró el AUROC de 11.02% (línea base) a 44.72% bajo ataques PGD-max.
• Defensa Simétrica: A diferencia de PRO y ODIN, que se degradan significativamente cuando son atacados desde la "dirección incorrecta", ROSS mantiene un rendimiento consistente contra ataques tanto PGD-min como PGD-max. Los autores reportan mejoras de hasta 40 puntos de AUROC sobre métodos anteriores basados en perturbaciones bajo ataques fuertes.
• Eficiencia: A pesar de requerir $N=25$ pasos hacia adelante, la naturaleza paralelizable de la inferencia en GPUs modernas resulta en un aumento de latencia de solo 1.2x en comparación con un solo paso hacia adelante, haciéndolo práctico para el despliegue.

Significado y Afirmaciones

El artículo afirma que ROSS proporciona una primera línea de defensa práctica, ligera y fácil de desplegar para la detección OOD. Su principal significado radica en cambiar el paradigma de la optimización direccional (que crea debilidades asimétricas) al suavizado sinérgico (que aprovecha la estabilidad estadística).

Los autores afirman que ROSS equilibra con éxito la precisión en datos limpios y la robustez adversaria sin el costo computacional del reentrenamiento adversario. Al integrarse perfectamente con los enfoques existentes de puntuación OOD, mejora la confiabilidad de los sistemas automatizados en entornos de mundo abierto donde las entradas desconocidas o maliciosas son inevitables. El trabajo sugiere que cuantificar la inestabilidad local es un proxy más robusto para la detección OOD que simplemente intentar empujar las puntuaciones en una dirección específica.

El trabajo futuro, según lo señalado por los autores, tiene como objetivo extender este marco más allá de los ataques basados en gradientes para abarcar cambios de distribución inducidos por modelos generativos y corrupciones del mundo real.