Opportunistic Target Selection: Early Directional Commitment for Query-Efficient Black-Box Adversarial Attacks

Resumen Técnico: Selección Oportunista de Objetivos para Ataques Adversariales de Caja Negra Eficientes en Consultas

1. Definición del Problema: Deriva de Clase en Ataques No Dirigidos

Los ataques adversariales de caja negra no dirigidos estándar buscan minimizar la confianza del modelo en la clase de verdad fundamental ($y$) sin especificar una clase objetivo. Las implementaciones comunes incluyen minimizar la probabilidad $P(y|x')$ (por ejemplo, SimBA) o minimizar la pérdida de entropía cruzada. Los autores identifican una ineficiencia crítica en este enfoque denominada deriva de clase.

En los ataques no dirigidos, la masa de probabilidad "liberada" no se dirige hacia una clase adversarial específica. En su lugar, la perturbación ejecuta un paseo aleatorio a través del espacio de características latentes, transitando oportunamente por múltiples cuencas de clase. Esta falta de compromiso direccional resulta en consultas desperdiciadas, particularmente en modelos difíciles donde la perturbación debe atravesar muchas cuencas antes de asentarse en un límite de decisión. Si bien los ataques dirigidos eliminan la deriva por definición, requieren conocimiento a priori de la clase objetivo, lo cual generalmente no está disponible en entornos de caja negra. Las pérdidas basadas en márgenes ofrecen una solución parcial al rastrear implícitamente el límite de decisión más cercano, pero muchos ataques basados en puntuaciones populares (como SimBA o Square Attack con entropía cruzada) no las soportan o operan sobre probabilidades crudas donde la lógica del margen no es directamente aplicable.

2. Metodología: Selección Oportunista de Objetivos (OTS)

El artículo introduce la Selección Oportunista de Objetivos (OTS), un algoritmo de envoltura ligero que convierte un ataque no dirigido en uno dirigido temprano en su trayectoria sin requerir acceso a gradientes ni conocimiento previo del objetivo.

Mecanismo Central:
OTS opera en dos fases:

1. Fase de Exploración: El ataque se ejecuta en modo no dirigido estándar durante un prefijo corto de $T$ iteraciones (o hasta que se cumpla una condición de estabilidad). Durante este tiempo, el algoritmo observa las clasificaciones de clases de la entrada perturbada.
2. Fase de Explotación: Una vez que se identifica y estabiliza una clase no verdadera "líder" (la clase con la mayor probabilidad entre $k \neq y$), el ataque se bloquea en esta clase como un objetivo fijo. El objetivo cambia a maximizar la probabilidad de esta clase objetivo específica ($P(t|x')$) para el resto del presupuesto de consultas.

Variantes Algorítmicas:

• Cambio de Iteración Fija: El ataque cambia de objetivo después de un número fijo de iteraciones $T$. Estudios de ablación muestran que cualquier $T \in \{5, \dots, 500\}$ produce resultados estadísticamente indistinguibles, ya que las clasificaciones de clase se estabilizan rápidamente en ataques propensos a la deriva.
• Variante de Estabilidad de Rango: Un contador rastrea la clase no verdadera líder, cambiando solo después de que la misma clase lidera durante $S$ pasos aceptados consecutivos. Aunque se incluye por completitud, los experimentos muestran que esto no ofrece ninguna ventaja medible sobre el cambio fijo.

Integración:
OTS se aplica a tres familias de ataques distintas:

• SimBA: Cambia de minimizar $P(y|x')$ a maximizar $P(t|x')$.
• Square Attack (Entropía Cruzada): Utiliza deliberadamente la pérdida de entropía cruzada (que induce deriva) en lugar de la pérdida de margen predeterminada para aislar el efecto de OTS.
• Bandidos: Un ataque de estimación de gradientes que posee inherentemente direccionalidad.

3. Contribuciones Clave

El artículo presenta tres contribuciones principales:

1. OTS como Sustituto de la Pérdida de Margen: Los autores demuestran que OTS aproxima el "término competidor" de la pérdida de margen ($\max_{k \neq y} f_k(x')$) para ataques que carecen de rastreo de objetivo implícito. Al bloquearse en la clase no verdadera líder tempranamente, OTS proporciona el compromiso direccional que ofrece la pérdida de margen, pero sin requerir acceso a valores de logit ni recálculo dinámico del margen en cada paso.
2. Validación Empírica: Extensos experimentos en cinco clasificadores de ImageNet (AlexNet, ResNet-18, VGG-16, ResNet-50, ViT-B/16) y tres métodos de ataque (4.500 ejecuciones) muestran que OTS alcanza una eficiencia cercana a la de un oráculo. Los autores destacan que la selección aleatoria de objetivos es catastrófica, demostrando que la selección oportunistica de la clase actualmente líder es el factor crítico.
3. Caracterización de la Neutralidad de Apuntado: El estudio identifica que OTS no proporciona beneficios en modelos entrenados adversarialmente. Los autores atribuyen esto a una distribución bimodal de dificultad en modelos robustos, donde las imágenes son o bien fácilmente atacables o completamente inviables, eliminando el régimen de "dificultad media" donde el compromiso direccional aporta valor.

4. Resultados Experimentales

Rendimiento en Modelos Estándar:

• Tasa de Éxito: En ResNet-50, OTS aumentó la tasa de éxito de SimBA del 43% al 70% (+27 puntos porcentuales) y de Square Attack (CE) del 81% al 94% (+13 puntos porcentuales). El rendimiento de OTS sigue de cerca el rendimiento "oráculo" (donde el objetivo se elige a posteriori basándose en la trayectoria no dirigida).
• Eficiencia de Consultas: OTS redujo las iteraciones de media censurada (penalizando fallos) en un 43% para SimBA y en un 29,5% para Square Attack en ResNet-50.
• Especificidad del Ataque:
  • Beneficioso: Los ataques que dependen de la minimización de probabilidad o la pérdida de entropía cruzada (SimBA, Square Attack CE) muestran ganancias significativas.
  • Redundante/Perjudicial: Los ataques de estimación de gradientes (Bandidos) y los ataques que utilizan pérdida de margen no muestran beneficio o una ligera degradación. Esto confirma que OTS solo es necesario cuando el ataque carece de direccionalidad incorporada.

Alineación de Perturbaciones:
El análisis de la similitud del coseno entre las perturbaciones y la dirección del oráculo revela que las perturbaciones no dirigidas se desvían significativamente (similitud terminal $\approx 0,17$), whereas las perturbaciones de OTS se alinean rápidamente con la dirección del oráculo después del cambio (similitud $\approx 0,86$).

Modelos Robustos:
En modelos entrenados adversarialmente (Salman2020Do R18/R50), OTS no mostró una mejora estadísticamente significativa sobre las líneas base no dirigidas. Los autores interpretan esto como una consecuencia de la distribución de dificultad: los modelos robustos comprimen el espectro de dificultad en dos extremos (muy fácil o imposible), eliminando la zona de "dificultad media" donde bloquearse en un objetivo específico es ventajoso.

5. Significado y Afirmaciones

El artículo posiciona a OTS no como un nuevo algoritmo de ataque, sino como un envoltorio universal que mejora la eficiencia de consultas para clases específicas de ataques de caja negra. Su significado radica en:

• Cerrando la Brecha: Proporciona los beneficios de eficiencia de los ataques dirigidos (compromiso direccional) sin requerir conocimiento a priori del objetivo.
• Perspectiva Teórica: Aclara que la información necesaria para seleccionar un objetivo efectivo está latente en la trayectoria del ataque dentro de las primeras iteraciones.
• Utilidad Práctica: Ofrece una modificación simple y de bajo sobrecosto (cambiar la función objetivo) que produce un rendimiento cercano al oráculo en modelos estándar, particularmente para ataques que sufren de deriva de clase.

Los autores mantienen modestia respecto a la generalizabilidad, señalando que los beneficios pueden reducirse en configuraciones con bajo número de clases (por ejemplo, CIFAR-10) donde la masa de probabilidad tiene menos espacio para dispersarse, y que el comportamiento en modelos robustos sugiere que el apuntado es ineficaz cuando la distribución de dificultad es bimodal.