Resumen Técnico: DSA (Ataque Específico de Muestra Consciente de la Densidad)

Enunciado del Problema

Las redes neuronales profundas (DNN) siguen siendo vulnerables a ataques de puerta trasera, donde datos de entrenamiento envenenados implantan comportamientos condicionados a la entrada, provocando que el modelo clasifique incorrectamente las entradas activadas hacia una clase objetivo mientras se comporta con normalidad en datos benignos. Aunque avances recientes han mejorado el sigilo y las tasas de éxito iniciales de estos ataques, exhiben una fragilidad crítica: son altamente susceptibles a defensas posteriores al entrenamiento. Los métodos existentes, que a menudo dependen de optimizar activadores en el espacio de entrada (por ejemplo, mediante normas $\ell_p$ o máscaras de frecuencia) sin un criterio principista para su colocación en el espacio de características del modelo, fallan cuando se someten a defensas como el ajuste fino en datos limpios o la poda de neuronas. Estas defensas borran eficazmente las puertas traseras porque las muestras activadas a menudo residen en regiones de alta densidad de la distribución de datos limpios, proporcionando información de gradiente abundante para que el defensor corrija el comportamiento del modelo.

Metodología

El artículo introduce DSA (Ataque Específico de Muestra Consciente de la Densidad), un marco principista que optimiza activadores específicos de muestra dirigiendo las muestras envenenadas hacia regiones de baja densidad de la distribución de datos limpios. La metodología se fundamenta en un análisis teórico de la distribución de mezcla inducida por el envenenamiento de datos bajo un modelo óptimo de Bayes del entrenamiento de la víctima.

Fundamento Teórico

Los autores derivan que, para que una puerta trasera persista frente a defensas posteriores al entrenamiento, las muestras activadas deben colocarse donde la distribución de datos limpios tenga bajo soporte. Los objetivos del ataque se formulan para minimizar la desviación del clasificador envenenado respecto al clasificador limpio en entradas benignas ($L_1$) mientras se maximiza la probabilidad de clasificación incorrecta para las entradas activadas ($L_2$). La derivación teórica revela que minimizar estos objetivos simultáneamente requiere empujar la distribución activada $p_{\tilde{X}}$ lejos del soporte de alta densidad de la distribución limpia $p_X$. Esto se logra optimizando la razón de densidad $r(x) = p_X(x) / p_{\tilde{X}}(x)$.

Marco de Optimización Bilevel

Para operacionalizar esto, DSA emplea un marco de optimización bilevel:

1. Bucle Interno (Estimación de la Razón de Densidad): La razón de densidad $r(x)$ se estima utilizando Emparejamiento de Puntuación de Tiempo Condicional (CTSM). Este método construye una trayectoria de probabilidad que interpola entre las distribuciones limpia y activada y entrena una red neuronal $s_\theta$ para predecir la puntuación de tiempo (el gradiente de la densidad logarítmica a lo largo de la trayectoria). La razón de densidad logarítmica se recupera integrando esta puntuación de tiempo.
2. Bucle Externo (Optimización del Activador): El generador de activadores $\eta_\phi$ se optimiza para minimizar una función objetivo compuesta $F_{n,\gamma}$. Esta función combina las aproximaciones empíricas de $L_1$ y $L_2$ (ponderadas por $\beta$) y un término de regularización $L_3$ (ponderado por $\gamma$) que fomenta la alineación con la clase objetivo bajo una estimación del clasificador limpio.
3. Dinámicas de Optimización: El marco utiliza diferenciación implícita para manejar la dependencia entre los parámetros del activador $\phi$ y los parámetros del estimador de densidad $\theta$. El proceso se inicializa mediante una puesta en marcha basada en puntuación para guiar las muestras hacia las periferias de baja densidad.

Contribuciones Clave

• Colocación Principista de Activadores: El artículo identifica la falta de un criterio principista para la colocación de activadores en los ataques optimizables existentes como la causa raíz de su fragilidad. DSA introduce un objetivo de razón de densidad que guía explícitamente las muestras activadas hacia regiones de baja densidad donde las defensas posteriores al entrenamiento carecen de señales correctivas.
• Optimización Bilevel con CTSM: Los autores proponen un novedoso marco de optimización bilevel que acopla la generación de activadores con el emparejamiento de puntuación de tiempo condicional para estimar razones de densidad, permitiendo que el ataque se adapte a la distribución evolutiva de los datos envenenados.
• Activadores Específicos de Muestra: A diferencia de los activadores universales, DSA genera activadores condicionados a cada muestra de entrada, permitiendo un control más fino sobre la colocación de instancias envenenadas en el espacio de características.

Resultados Experimentales

Los autores evaluaron DSA en cuatro conjuntos de datos (MNIST, CIFAR-10, GTSRB, TinyImageNet) frente a seis líneas base de última generación (BadNets, Blended, SSBA, BppAttack, Adapt-Blend, WaveAttack) y el ataque controlable en el entrenamiento LIRA.

• Efectividad del Ataque: DSA logra tasas de éxito de ataque (ASR) casi perfectas (ASR > 97%) en todos los conjuntos de datos y tasas de envenenamiento (de 0.5% a 5%) mientras mantiene la precisión limpia dentro de 1–2% de los modelos benignos.
• Robustez frente a Defensas de Ajuste Fino: Bajo defensas de ajuste fino (específicamente FST, FE-tuning y FT-init), DSA demuestra una resiliencia significativamente mayor. Mientras que los ataques de línea base a menudo colapsan a ASR de un solo dígito (por ejemplo, < 5%), DSA retiene un ASR entre 31% y 100% dependiendo del conjunto de datos y la tasa de envenenamiento. Por ejemplo, en CIFAR-10 con 1% de envenenamiento, DSA mantiene un ASR del 79.37% bajo FST, whereas la línea base más fuerte (WaveAttack) cae al 8.58%.
• Inmunidad a la Poda de Neuronas: Frente a defensas de poda de neuronas (Fine-Pruning y Reconstructive Neuron Pruning), DSA exhibe inmunidad completa. Los algoritmos de poda identifican cero o neuronas cercanas a cero para eliminar, dejando la puerta trasera intacta con un 100% de ASR y alta precisión limpia.
• Evasión de Defensas Pre-entrenamiento: DSA evade exitosamente la detección por Neural Cleanse (Índice de Anomalía < 2.0), análisis GradCAM (mapas de calor indistinguibles de modelos limpios), STRIP (entropía indistinguible de entradas limpias) y SampDetox (reteniendo un 16.97% de ASR después de la desintoxicación, aproximadamente 2.2$\times$ la siguiente mejor línea base).

Significado y Afirmaciones

El artículo afirma que DSA expone una brecha fundamental en los paradigmas de defensa actuales. Los autores argumentan que las defensas existentes operan bajo la suposición implícita de que las asociaciones de puertas traseras residen dentro del soporte de la distribución de datos limpios. Al demostrar que las puertas traseras pueden anclarse exitosamente en regiones de baja densidad donde los datos limpios no proporcionan señal de gradiente, DSA desafía la eficacia de las defensas basadas en ajuste fino y poda.

Los autores declaran que su trabajo se desarrolló para someter a prueba las defensas existentes en lugar de apuntar a sistemas desplegados. Enfatizan que los resultados sugieren que los métodos actuales comparten una suposición no examinada que DSA viola, motivando la necesidad de nuevas estrategias de defensa que operen más allá del soporte de la distribución limpia. El artículo reconoce limitaciones, señalando que la optimización bilevel es computacionalmente más costosa que los métodos heurísticos (aunque comparable a otros ataques de activadores optimizables) y que la derivación teórica asume un clasificador víctima óptimo de Bayes, aunque la ablación empírica sugiere que el ataque sigue siendo efectivo incluso con esqueletos limpios degenerados.