Resumen Técnico: Un Detector Mimético para Perturbaciones Adversariales en Imágenes

Enunciado del Problema

Los ataques adversariales comprometen los clasificadores de imágenes profundas al introducir patrones de ruido mínimos, casi imperceptibles ($\delta$), en una imagen limpia ($x$), causando una clasificación errónea mientras permanecen visualmente idénticos para los observadores humanos. Los ataques estándar acotados por $\ell_\infty$, como el Método de Gradiente Rápido de la Señal (FGSM), el Descenso de Gradiente Proyectado (PGD) y la variante $\ell_\infty$ de Carlini–Wagner, generan perturbaciones caracterizadas por patrones de signo de alta frecuencia, casi aleatorios, a nivel de píxel. Aunque estas perturbaciones son pequeñas en norma $\ell_2$, transportan una energía de gradiente desproporcionada.

El desafío principal abordado es la detección y no la robustez. Si bien hacer que un clasificador sea robusto ante tales perturbaciones es difícil, el objetivo aquí es determinar, dado un input $x'$, si ha sido perturbado. Los enfoques existentes, como SpectralDefense, a menudo dependen de entrenar clasificadores sobre características en el dominio de Fourier. Este trabajo propone una alternativa sin entrenamiento que no requiere un clasificador sustituto ni acceso a la red bajo ataque.

Metodología

El detector propuesto explota la diferencia fundamental en la distribución de la energía del gradiente entre las imágenes naturales y las perturbaciones adversariales. Las imágenes naturales concentran la energía del gradiente en los bordes con contenido suave en el resto, mientras que las perturbaciones adversariales distribuyen la energía del gradiente uniformemente en toda la imagen en las frecuencias espaciales más altas.

La Relación de Energía de Gradiente Mimética

El núcleo del método es una única métrica escalar, $T(x)$, definida como la relación entre la energía del gradiente mimético y la norma de píxeles simple:

$$T(x) = \frac{(G u)^\top P (G u)}{\sum_{i,j} x_{ij}^2}$$

Donde:

• $u$: La imagen de entrada $x$ rellenada con una celda fantasma en cada lado (frontera de replicación) y vectorizada.
• $G$: El operador de gradiente mimético Corbino–Castillo de orden-$k$.
• $P$: Una matriz de pesos diagonal, definida positiva, asociada a $G$.
• Numerador: Representa la energía del gradiente discreto (suma ponderada de los valores al cuadrado del gradiente).
• Denominador: Representa la suma euclidiana de los valores de píxel al cuadrado.

Detalles de Implementación

• Operadores: El método utiliza operadores miméticos Corbino–Castillo de alto orden de la biblioteca de código abierto MOLE. Estos operadores se eligen por su precisión de alto orden, la ausencia de parámetros libres y la precisión consistente en los bordes (evitando disparadores artificiales por el encuadre rectangular).
• Cálculo: El cálculo se realiza en tiempo $O(HW)$ por imagen, dominado por un único producto matriz-vector disperso.
• Regla de Decisión: Un umbral $\tau$ se calibra en un conjunto limpio de retención (basado en la tasa de falsos positivos deseada). Si $T(x) > \tau$, la imagen se marca como adversarial; de lo contrario, se considera limpia.
• Propiedades: La métrica $T$ es adimensional e invariante a la escala ($T(\alpha x) = T(x)$ para $\alpha \neq 0$).

Resultados Experimentales

El detector se validó en la imagen estándar en escala de grises de 128 $\times$ 128 "pimientos" (de las cajas de herramientas de MATLAB/Octave) con un presupuesto $\ell_\infty$ de $\epsilon = 16/255$.

Casos de Prueba

Se construyeron tres inputs:

1. Limpio: Sin perturbación.
2. Estilo adversarial: $\delta_{adv} = \epsilon \text{sign}(\eta)$, donde $\eta_{ij} \sim \mathcal{N}(0, 1)$, imitando la firma espacial de FGSM/PGD.
3. Control suave: $\delta_{low}$ con igual amplitud $\ell_\infty$ pero contenido de baja frecuencia (sinusoidal).

Hallazgos Clave

• Separación: La perturbación adversarial aumentó la métrica $T$ en más de un factor de 3 en relación con la imagen limpia en todos los órdenes probados ($k=2, 4, 6$).
• Especificidad: La perturbación de control suave dejó $T$ sin cambios (dentro del 1%), demostrando que el detector responde al ruido de alta frecuencia y no solo a cambios de amplitud.
• Dependencia del Orden: El margen de detección (relación $T_{adv}/T_{clean}$) creció monótonamente con el orden mimético $k$:
  • $k=2$: Separación de 3.55$\times$.
  • $k=4$: Separación de 3.94$\times$.
  • $k=6$: Separación de 4.19$\times$.
• Evidencia Visual: La visualización de la magnitud del gradiente mimético $|Gx|$ reveló una impresión de alta frecuencia casi uniforme en el caso adversarial que estaba ausente en la imagen limpia.

Significado y Afirmaciones

El artículo posiciona este trabajo como un detector de disparo único práctico y desplegable con tres ventajas distintas:

1. Sobrecarga de Entrenamiento Cero: No requiere un conjunto de entrenamiento de ejemplos adversariales, ni un clasificador sustituto, ni acceso a los pesos internos de la red objetivo.
2. Eficiencia Computacional: Opera en tiempo lineal en relación con el tamaño de la imagen ($O(HW)$), lo que lo hace adecuado para aplicaciones en tiempo real.
3. Discriminación Escalable: La capacidad de detección mejora monótonamente con el orden del operador mimético, una propiedad inherente a la construcción de MOLE.

Limitaciones y Alcance

Los autores declaran explícitamente que esto es un detector, no una defensa certificada. Un atacante adaptativo que minimice explícitamente $T$ mientras mantiene la clasificación errónea podría potencialmente llevar la estadística más cerca del valor limpio, probablemente a costa de una tasa de éxito del ataque reducida o un presupuesto $\ell_\infty$ mayor.

El artículo sugiere dos extensiones naturales para trabajos futuros:

• Aplicación a imágenes en color y multiespectrales (mediante $T$ por canal combinada por una combinación lineal aprendida).
• Adaptación a geometrías de sensores no uniformes o curvilíneas, donde las estructuras miméticas son particularmente poderosas.