Resumen Técnico: Ataques de Extracción de Modelos de IA: Elusión de las Suposiciones de Cliente Único en las Defensas

Declaración del Problema

La seguridad de los modelos de Inteligencia Artificial (IA) desplegados en sistemas de Mando y Control (C2) militares e infraestructuras críticas está cada vez más amenazada por los Ataques de Extracción de Modelos (MEA, por sus siglas en inglés). En estos ataques, los adversarios interrogan sistemáticamente a un modelo objetivo para replicar su frontera de decisión, lo que permite el robo de propiedad intelectual y el desarrollo offline de ataques adversarios (por ejemplo, para evadir Sistemas de Detección de Intrusiones).

Los mecanismos de defensa actuales, tales como PRADA (Protecting Against Deep Neural Network Model Stealing Attacks), QUEEN (Query Unlearning) y Model-Guardian, dependen en gran medida de la Suposición de Cliente Único (SCA). Esta suposición postula que la actividad maliciosa se origina en una identidad única y aislada (por ejemplo, una dirección IP o una clave de API). Las defensas operan mediante el monitoreo de los patrones de solicitud por cliente (por ejemplo, tiempos de llegada entre consultas) y activan alarmas cuando ocurren desviaciones estadísticas.

El artículo argumenta que la SCA es fundamentalmente inválida en entornos operativos modernos y en red, particularmente contra Amenazas Persistentes Avanzadas (APT). En estos escenarios, los adversarios poseen los recursos para distribuir las actividades de sondeo entre muchos clientes coordinados (por ejemplo, botnets), lo que vuelve ineficaces las defensas estadísticas por cliente. Además, incluso los enfoques de agregación global son vulnerables a la mezcla de tráfico adaptativa, donde los atacantes mezclan sondas maliciosas con tráfico legítimo de fondo para ocultar las firmas estadísticas.

Metodología

Para demostrar sistemáticamente el fallo de la SCA y evaluar los escenarios de ataque distribuidos, los autores desarrollaron CerberusAI, un marco de trabajo modular y de código abierto para la investigación reproducible de la extracción de modelos.

El Marco CerberusAI

CerberusAI está diseñado para simular escenarios de ataque complejos y distribuidos alineados con las arquitecturas de Defensa Definida por Software (SDD). Sus componentes principales incluyen:

• Configuración Declarativa: Los experimentos se definen mediante archivos YAML, lo que garantiza la reproducibilidad al fijar los parámetros para los modelos objetivo, las estrategias de ataque y los hiperparámetros de defensa.
• Orquestador de Experimentos: Utiliza un patrón de fábrica para instanciar componentes, envolviendo el modelo objetivo en un proxy DefendedModel que enruta las solicitudes a través de la lógica de defensa (por ejemplo, PRADA) antes de llegar al modelo.
• Gestor de Ataque Distribuido: Simula estructuras tipo botnet generando $N$ identidades de clientes virtuales. Implementa estrategias de programación específicas para eludir las defensas:
  1. Programación Round-Robin: Distribuye el presupuesto total de consultas de forma cíclica entre $N$ clientes. Esto asegura que ningún cliente individual exceda el tamaño de muestra mínimo ($N_{min}$) requerido para la significancia estadística en la lógica de detección.
  2. Mezcla de Tráfico Adaptativa: Inyecta una alta proporción de tráfico benigno en el flujo de ataque. Esto ofusca la distribución estadística del tráfico total, haciéndolo indistinguible del comportamiento de un usuario legítimo.

Formalización del Ataque

Los autores formalizan al atacante distribuido como un conjunto de clientes $C = \{c_1, \dots, c_N\}$ que particionan el conjunto de consultas necesario $Q$ en subconjuntos disjuntos $Q_{c_i}$. Si cada subconjunto $|Q_{c_i}|$ permanece por debajo del umbral crítico $\epsilon$ (el tamaño de muestra mínimo para pruebas estadísticas), el mecanismo de defensa $D$, que evalúa a los clientes de forma aislada, falla al no activar una alarma.

Contribuciones Clave

1. Demostración Sistemática de la Vulnerabilidad de la SCA: El artículo proporciona evidencia empírica de que las estrategias de consulta coordinadas y distribuidas pueden reducir el rendimiento de detección de las defensas establecidas (específicamente PRADA) a cero.
2. Análisis de los Límites de la Defensa Global: Los autores demuestran que incluso la agregación de solicitudes global es vulnerable cuando los atacantes emplean la mezcla de tráfico adaptativa. Esto resulta en un aumento masivo de los Falsos Positivos (FP), volviendo la defensa operativamente inútil (efectivamente un ataque de denegación de servicio para usuarios legítimos).
3. Introducción de CerberusAI: El lanzamiento de un marco de trabajo modular y de código abierto que permite la simulación de escenarios de MEA distribuidos y adaptativos, abordando la falta de herramientas de evaluación estandarizadas en este campo.

Resultados Experimentales

Los autores evaluaron el mecanismo de defensa PRADA utilizando el conjunto de datos MNIST y un modelo de Red Neuronal Convolucional (CNN) objetivo. Los experimentos utilizaron el Método de Signo de Gradiente Iterativo de Momento (MI-FGSM) para la generación de ataques.

• Escenario 1 (Línea Base - Cliente Único): Un único atacante contra la defensa estándar PRADA. El sistema logró un F1-score de 63.2% (Precisión: 100%, Recall: 46.2%), confirmando que la defensa funciona según lo previsto bajo la SCA.
• Escenario 2 (Ataque Distribuido): El presupuesto de ataque (2,500 consultas) se distribuyó entre 400 clientes usando programación round-robin. Cada cliente envió solo ~6-7 consultas, muy por debajo del umbral $N_{min}=50$.
  • Resultado: El F1-score cayó a 0.0%. La defensa falló en detectar el ataque por completo porque ningún cliente individual activó el análisis estadístico.
• Escenario 3 (Defensa Global): Una defensa modificada agregó las solicitudes de todos los 400 clientes.
  • Resultado: El F1-score se recuperó a 90.8% (Precisión: 100%, Recall: 83.1%), mostrando que la agregación global puede detectar ataques distribuidos simples.
• Escenario 4 (Mezcla de Tráfico Adaptativa): El atacante mezcló consultas maliciosas con un 99% de tráfico benigno mientras utilizaba la distribución round-robin.
  • Resultado: El F1-score colapsó al 2.0%. Aunque el Recall se mantuvo alto (99.3%), la Precisión cayó estrepitosamente al 1.0%. El sistema generó una inundación de falsas alarmas, haciéndolo operativamente inutilizable.

Significancia y Reivindicaciones

El artículo sostiene que la SCA representa una brecha de seguridad estructural en las doctrinas de defensa de IA actuales. Los hallazgos indican que:

• La SCA es Inválida: Ante la presencia de adversarios coordinados y con abundantes recursos (como las APT), las defensas que dependen del análisis de clientes aislados son ciegas ante los ataques distribuidos.
• Las Defensas Estadísticas son Frágiles: Los enfoques puramente estadísticos (basados en tiempos de llegada entre consultas o coincidencia de distribuciones) pueden ser manipulados arbitrariamente mediante la distribución e inyección de ruido.
• Se Requiere un Cambio de Paradigma: La investigación futura debe ir más allá de la detección de anomalías centrada en el cliente. Los autores abogan por un cambio hacia arquitecturas de defensa con estado, independientes de la identidad, que monitoreen el estado global del modelo y analicen el contenido semántico de las consultas (es decir, "¿Qué contenido de información extraen estas consultas?") en lugar de centrarse únicamente en su distribución estadística.

El trabajo respalda los objetivos estratégicos de la OTAN al proporcionar una metodología para la "evaluación informada por amenazas" y resaltar la necesidad de una seguridad de IA resiliente en operaciones federadas y multidominio. Los autores concluyen que proteger los componentes de IA en infraestructuras críticas requiere alejarse de las suposiciones de atacantes aislados hacia arquitecturas de seguridad robustas y capaces de aprendizaje, capaces de reconocer el comportamiento adversario coordinado.