Resumen Técnico: Mejora de la Detección de Estados en Ataques Adversarios mediante la Temporalidad de las Etiquetas Blandas y Aproximaciones de Similitud Robustas

Declaración del Problema

Las Redes Neuronales Profundas (DNN) son altamente susceptibles a los ataques adversarios de caja negra, donde los adversarios diseñan perturbaciones imperceptibles para causar una clasificación errónea. Estos ataques suelen depender de consultas frecuentes y adaptativas para sondear los límites de decisión del modelo. La Detección de Estados (SD) es un mecanismo de defensa diseñado para identificar tales ataques mediante la detección de secuencias de consultas similares.

Sin embargo, los métodos de SD existentes (por ejemplo, Blacklight, PIHA) enfrentan dos limitaciones críticas:

1. Vulnerabilidad a Ataques de Aproximación: Los sistemas de SD suelen utilizar aproximaciones computacionalmente eficientes (por ejemplo, hashing, cuantización aleatorizada) de métricas de similitud complejas para detectar consultas similares. Los autores observan que estas aproximaciones pueden ser explotadas. Un adversario puede diseñar consultas que parezcan disímiles bajo la función de aproximación pero que permanezcan cercanas bajo la métrica pretendida, evadiendo así la detección. El artículo se refiere a esto como un "ataque adversario" sobre la función de similitud.
2. Altas Tasas de Falsos Positivos (FPR): Para minimizar los falsos positivos, los sistemas de SD suelen establecer umbrales de similitud elevados. Sin embargo, esto los hace vulnerables a ataques de sondeo adaptativos (por ejemplo, el Muestreo de Rechazo Adaptativo Guiado por Oráculo, o OARS) que añaden perturbaciones aleatorias para reducir la similitud de la consulta por debajo del umbral. Además, las secuencias benignas con alta similitud (por ejemplo, imágenes fijas de CCTV) son identificadas frecuentemente de forma errónea como maliciosas.

Metodología

Los autores proponen un marco de detección de dos fases que combina una aproximación robusta de la similitud de las consultas con el análisis temporal de las etiquetas blandas (soft-labels).

Fase 1: Detección de Similitud Robusta

La primera fase identifica subsecuencias de consultas que son probablemente similares, utilizando un método de cuantización aleatorizada con sal (salted randomized quantization) para aproximar la métrica de similitud pretendida.

• Métrica Pretendida: El artículo define una "función de similitud pretendida" ($D$) basada en la distancia mínima entre subimágenes (ventanas deslizantes) de dos imágenes.
• Vulnerabilidad de la Aproximación: Las aproximaciones estándar (como las de Blacklight) muestrean un subconjunto de ventanas. Los autores demuestran que un adversario puede introducir pequeñas distorsiones para reducir el solapamiento de estas ventanas muestreadas, creando efectivamente un ejemplo adversario $(\epsilon, \delta)$ donde la distancia real es pequeña ($\le \epsilon$) pero la distancia aproximada es grande ($\ge \delta$).
• Solución Propuesta: Para mitigar esto, el marco emplea la cuantificación aleatorizada con sal.
  • Se aplica una sal aleatoria a la entrada antes de la cuantización.
  • Los valores se redondean aleatoriamente hacia arriba o hacia abajo basándose en una distribución de Bernoulli.
  • Esto introduce una aleatoriedad que está oculta para el adversario, lo que dificulta la ingeniería inversa de los límites de cuantización o el diseño de perturbaciones específicas para evadir la coincidencia de hash.
  • La similitud se determina verificando si un número suficiente de ventanas seleccionadas aleatoriamente y no superpuestas de la consulta cuantizada coinciden con ventanas vistas previamente en una base de datos de filtros de Bloom.

Fase 2: Correlación Temporal de las Etiquetas Blandas

Las consultas marcadas como similares en la Fase 1 se pasan a la Fase 2 para distinguir entre secuencias similares benignas (por ejemplo, fotogramas de video) y secuencias adversarias.

• Observación: Los ataques adversarios generan de forma adaptativa consultas basadas en salidas de modelos previos (etiquetas blandas), creando una correlación temporal en la secuencia de dichas etiquetas blandas. En contraste, las secuencias similares benignas (como las imágenes fijas de CCTV) suelen exhibir etiquetas blandas independientes a lo largo del tiempo.
• Mecanismo: El marco extrae las probabilidades de la etiqueta blanda para la clase predicha de la primera consulta en la subsecuencia. Luego, aplica la prueba de Ljung–Box a esta secuencia para detectar la correlación serial.
• Decisión: Si el valor $p$ de la prueba de Ljung–Box cae por debajo de un umbral predeterminado, la secuencia se marca como adversaria. Esta fase filtra eficazmente los falsos positivos generados por la Fase 1.

Contribuciones Clave

1. Observación del Comportamiento Temporal: Los autores identifican que las secuencias de consultas adversarias exhiben correlaciones temporales distintas en sus etiquetas blandas, las cuales pueden aprovecharse para distinguir las consultas similares benignas.
2. Ataques Adversarios sobre Métricas de Similitud: El artículo introduce el concepto de "ataques adversarios" sobre las funciones de aproximación de similitud. Demuestra un ataque ligero contra la métrica de similitud de Blacklight que permite a un adversario evadir la detección sin requerir un sondeo extensivo.
3. Aproximación de Similitud Robusta: Los autores proponen la cuantización aleatorizada con sal como un método de aproximación robusto. Al ocultar los límites de cuantización mediante la aleatoriedad, evita que los adversarios diseñen fácilmente entradas que eludan la verificación de similitud manteniendo la precisión de la detección.
4. Marco de Dos Fases: Un marco de detección novedoso que permite bajar el umbral de similitud en la Fase 1 (aumentando la sensibilidad) y utiliza el análisis temporal de etiquetas blandas en la Fase 2 para filtrar falsos positivos. Este enfoque mitiga el compromiso entre la Tasa de Falsos Positivos (FPR) y la vulnerabilidad a ataques adaptativos.
5. Validación Empírica: Evaluación exhaustiva frente a ataques de estado del arte (SOTA) y defensas adaptativas.

Resultados Experimentales

El marco fue evaluado en los conjuntos de datos CIFAR-10 e ImageNet contra cinco ataques de caja negra: Boundary Attack (BA), Hop Skip Jump Attack (HSJA), HSJA con mezcla de frecuencia, Square Attack (SA) y SimBA. También fue probado contra ataques adaptativos (OARS).

• Tasa de Verdaderos Positivos (TPR): El marco propuesto logró una TPR de 1.00 en todos los ataques probados en ambos conjuntos de datos, superando o igualando a las versiones ajustadas de Blacklight (que oscilaban entre 0.42 y 0.97).
• Tasa de Falsos Positivos (FPR): El marco mantuvo una baja FPR de máximo 0.06 (comparado con el 0.42 de otros métodos de SD SOTA). Esto se atribuye a que la Fase 2 filtra con éxito las sec sequences similares benignas (por ejemplo, imágenes fijas de cámaras).
• Robustez ante Ataques Adaptativos:
  • Al ser probado contra ataques mejorados con OARS, el marco requirió que el adversario introdujera una cantidad sustancial de ruido para evadir la Fase 1.
  • Crucialmente, ninguno de los ataques mejorados con OARS (HSJA o Boundary Attack) tuvo éxito en generar un ejemplo adversario válido dentro de 50,000 consultas cuando se defendía con el marco propuesto, mientras que sí tuvieron éxito contra Blacklight.
• Eficiencia: El método incurre en una sobrecarga de tiempo y memoria modesta. El almacenamiento es de aproximadamente 7.5 MB para los filtros de Bloom y hasta 17.9 MB para las cachés de etiquetas blandas (ImageNet). El tiempo de procesamiento es de aproximadamente 1.0 minuto para CIFAR-10 y 2.5 minutos para ImageNet por cada 30,000 consultas, reducible mediante multiprocesamiento.

Significación y Reivindicaciones

El artículo afirma que su principal significación radica en abordar la vulnerabilidad de los sistemas de SD existentes ante el sondeo adaptativo y los ataques de aproximación. Al integrar la temporalidad de las etiquetas blandas, los autores argumentan que los defensores pueden adoptar umbrales de similitud más bajos, aumentando así la detección de ataques adaptativos que dependen de la perturbación de la similitud de la consulta.

Los autores enfatizan que su enfoque es robusto contra "ataques adversarios" sobre la función de similitud en sí misma, un vector de amenaza previamente poco explorado en la literatura de SD. Concluyen que su marco de dos fases ofrece una defensa práctica, escalable y altamente precisa que supera a los métodos SOTA actuales tanto en tasas de detección como en robustez contra estrategias de evasión adaptativas.