Resumen Técnico: Ataques Adversarios Acústicos a Aplicaciones de Visión Artificial

Planteamiento del Problema

Los sistemas de Inteligencia Artificial (IA), particularmente aquellos que dependen de la Visión Artificial (CV) para tareas críticas como el control autónomo y la seguridad, son cada vez más vulnerables a los ataques adversarios en el mundo físico. Si bien investigaciones previas han establecido que las frecuencias ultrasónicas (>20 kHz) pueden interrumpir los mecanismos de estabilización de las cámaras, estos ataques sufren una rápida atenuación de la señal en el aire, lo que limita su rango efectivo a distancias cortas. Además, la literatura existente ha pasado por alto en gran medida el potencial de las frecuencias audibles más bajas (<20 kHz). Estas frecuencias más bajas poseen longitudes de onda más largas, lo que les permite difractarse alrededor de obstrucciones y propagarse más lejos, lo que las hace potencialmente más viables para ataques de largo alcance en el mundo real. El problema central abordado es la falta de comprensión sobre cómo las vibraciones acústicas audibles interactúan con el hardware de cámaras comerciales para inducir distorsiones físicas que engañan a los modelos de detección de objetos.

Metodología

Los autores proponen un pipeline de ataque físico donde las señales acústicas inducen vibraciones mecánicas en una cámara, distorsionando la imagen capturada antes de que sea procesada por un modelo de IA. La configuración experimental y el procedimiento fueron los siguientes:

• Configuración de Hardware: El estudio utilizó una webcam comercial Logitech C930e Business, un dispositivo que carece de hardware dedicado para la estabilización de imagen. La cámara se montó rígidamente a un altavoz de alta fidelidad para asegurar un acoplamiento mecánico directo. Esta configuración probó la hipótesis de que, incluso sin sensores de estabilización activa, el ensamblaje de enfoque automático de la lente flotante y los componentes internos son susceptibles a la resonancia acústica.
• Generación de Señales: Las formas de onda acústicas se generaron utilizando un generador de funciones arbitrarias Tektronix AFG3100. Los investigadores se centraron en ondas sinusoidales dentro del rango audible (5 Hz a 30 kHz), apuntando específicamente a frecuencias bajas (0–200 Hz) conocidas por inducir resonancia mecánica. Las señales se transmitieron a una amplitud fija de 8 Vpp.
• Protocolo Experimental: La cámara grabó un monitor que mostraba 100 imágenes del conjunto de datos COCO. Durante una ventana de grabación de 3 segundos, se emitieron continuamente frecuencias de resonancia específicas. Se realizaron barridos de frecuencia preliminares para identificar "bandas de resonancia" que causaran distorsiones de video visibles.
• Detección y Análisis: El metraje capturado fue procesado mediante YOLOv11, una arquitectura de detección de objetos de una sola etapa. El análisis consistió en:
  • Preprocesamiento: Recorte de los fotogramas de video para aislar la imagen objetivo.
  • Inferencia: Ejecución de YOLOv11 para generar cajas delimitadoras (bounding boxes) y puntuaciones de confianza.
  • Extracción de Métricas: Cálculo de valores RGB promedio, áreas de píxeles, confianza de detección y precisión a lo largo de la duración del video.
  • Clasificación de Errores: Categorización de fallos en tres tipos: Falsa Clasificación (etiquetas incorrectas), Supresión (fallo en la detección de objetos existentes) y Detección Espuria (falsos positivos/alucinaciones).

Contribuciones Clave

Este trabajo extiende el dominio del aprendizaje automático adversario al desplazar el enfoque de los ataques ultrasónicos hacia los ataques acústicos de baja frecuencia audibles. Las principales contribuciones incluyen:

1. Expansión del Rango de Frecuencia: Demostrar la viabilidad de los ataques acústicos utilizando frecuencias <20 kHz, que ofrecen características de propagación superiores en comparación con las señales ultrasónicas utilizadas en estudios previos.
2. Vulnerabilidad Agnóstica al Hardware: Mostrar que los modelos de detección de objetos son vulnerables incluso cuando la cámara objetivo carece de hardware de estabilización de imagen activa, siempre que los componentes físicos (ensamblaje de la lente, monturas del sensor) puedan resonar.
3. Análisis Sistemático de Tipos de Error: Proporcionar un desglose detallado de cómo las perturbaciones acústicas degradan el rendimiento del modelo, cuantificando específicamente el cambio de la detección correcta hacia la falsa clasificación, la supresión y la alucinación.
4. Simulación del Mundo Real: Utilizar una configuración dinámica con transmisiones de video en vivo de conjuntos de datos estándar para aproximar condiciones del mundo real, yendo más allá de las simulaciones puramente digitales o estáticas.

Resultados

Los experimentos revelaron que las perturbaciones acústicas de baja frecuencia degradan significativamente el rendimiento del modelo de detección de objetos YOLOv11:

• Vulnerabilidad Dependiente de la Frecuencia: Dos bandas de frecuencia específicas —20–30 Hz y 155–180 Hz— causaron consistentemente la degradación más severa. En estas bandas, la tasa de detección cayó casi un 10% en comparación con la condición de línea base (sin sonido).
• Reducción de la Confianza: En las frecuencias de resonancia, la puntuación de confianza promedio de detección disminuyó en más de un 7%, indicando una mayor incertidumbre del modelo.
• Artefactos Visuales: Las vibraciones inducidas causaron micro-movimientos en la lente y el sensor, resultando en desenfoque de movimiento (motion blur), sesgo geométrico y temblor de fotogramas (jitter). Estas distorsiones físicas fueron suficientes para confundir las capas de extracción de características de la red neuronal.
• Modos de Fallo Específicos:
  • Falsa Clasificación: Los objetos recibieron etiquetas incorrectas (por ejemplo, un segmento de carretera clasificado erróneamente como una persona).
  • Supresión: Objetos legítimos no fueron detectados en absoluto (por ejemplo, cuencos y tazas que no activaron la detección).
  • Detección Espuria: El modelo alucinó objetos en áreas vacías, probablemente interpretando los artefactos de movimiento como características de objetos válidos.

Significación y Reivindicaciones

El artículo sostiene que esta investigación resalta un riesgo de seguridad física crítico y a menudo ignorado en los sistemas de percepción de IA. La importancia radica en la naturaleza del ataque:

• Sigilo y Accesibilidad: A diferencia de los ejemplos adversarios digitales que requieren conocimiento del modelo o acceso directo al flujo de entrada, este ataque puede ejecutarse con equipo de audio básico desde la distancia, sin acceder a los internos de software o hardware del sistema objetivo.
• Ineficacia de las Defensas Tradicionales: Debido a que el ataque distorsiona el proceso de captura física en lugar de manipular los valores de píxeles digitales, las defensas tradicionales como el entrenamiento adversario o el preprocesamiento de entrada son ineficaces.
• Aplicabilidad Más Amplia: Los hallazgos sugieren que la vulnerabilidad no se limita a cámaras con estabilización activa, sino que se extiende al diseño mecánico fundamental de las cámaras comerciales. Los autores argumentan que esto requiere una reevaluación de la seguridad del hardware en aplicaciones de CV y el desarrollo de nuevas estrategias de mitigación que tengan en cuenta las interacciones físico-sensor.

Los autores mantienen una postura modesta, reconociendo limitaciones tales como el uso de un único modelo de cámara (C930e) y una fuente acústica direccional fija. Postulan que el trabajo futuro debe explorar una mayor variedad de arquitecturas de cámara y escenarios de interferencia dinámicos y de múltiples fuentes para caracterizar completamente el panorama de amenazas.