Resumen Técnico: El Efecto Tijera en los Ataques Adversarios Basados en Transferencia

1. Planteamiento del Problema

Los ataques adversarios basados en transferencia dependen de la generación de perturbaciones en un modelo subrogado (fuente) que logren engañar con éxito a modelos objetivo no vistos. Un componente estándar de los ataques de vanguardia es la Diversidad de Entrada (DI), que aplica redimensionamiento y relleno (padding) aleatorios en cada iteración del ataque. La suposición predominante en el campo es que "más diversidad es siempre mejor", lo que lleva a los métodos modernos (por ejemplo, Admix, SSA, SIA) a apilar agresivamente transformaciones de entrada.

Este artículo desafía la universalidad de esta suposición. Investiga si la DI mejora la transferibilidad a través de diferentes regímenes de entrenamiento de los modelos, comparando específicamente modelos estándar (entrenados con datos limpios) frente a modelos robustos (entrenados con entrenamiento adversario, por ejemplo, PGD-AT). Los autores hipotetizan que la eficacia de la DI depende del régimen y puede invertirse para los subrogados entrenados robustamente.

2. Metodología

El estudio emplea un enfoque empírico y teórico sistemático para aislar el impacto de la DI en la transferibilidad:

• Configuración Experimental: Los autores evalúan la transferibilidad desde varios modelos subrogados (Estándar y Robusto) hacia diversas arquitecturas objetivo (CNN, ViT, Swin, ConvNeXt) en CIFAR-10 e ImageNet.
• Variables Controladas:
  • Probabilidad de Diversidad ($p$): La probabilidad de aplicar DI se recorre de 0 a 1.
  • Fuerza de Robustez: Un recorrido controlado varía únicamente el presupuesto de entrenamiento $\epsilon$ (utilizando la arquitectura fija ResNet-50 y la receta PGD-AT) para observar la transición entre el régimen estándar y el robusto.
  • Descomposición de Componentes: La DI se descompone en redimensionamiento (interpolación) y traslación (relleno) para aislar la transformación específica que causa el efecto.
• Métrica: La Tasa de Éxito del Ataque (ASR) es la métrica principal. Los autores también introducen la Consistencia de Gradiente Local (LGC), una medida de la similitud de coseno entre los gradientes en una entrada limpia y sus vecinos ligeramente perturbados, para caracterizar la geometría del gradiente del subrogado.
• Marco Teórico: Se formaliza un análisis de sesgo-varianza para explicar el mecanismo, lo que conduce a un teorema de cruce sobre cuándo la DI ayuda o perjudica basándose en las relaciones señal-ruido de los gradientes.

3. Contribuciones Clave

El Efecto Tijera

El descubrimiento central es el Efecto Tijera: a medida que la probabilidad de diversidad $p$ aumenta, las tasas de éxito de transferencia de los subrogados estándar y robustos divergen en direcciones opuestas.

• Subrogados Estándar: Aumentar la diversidad generalmente mejora o mantiene la transferibilidad (beneficioso o neutro).
• Subrogados Robustos: Aumentar la diversidad a menudo degrada la transferibilidad, rindiendo peor que los ataques sin diversidad alguna.
• Magnitud: En ImageNet, la DI ciega cuesta a las fuentes robustas un promedio de 10.3% de ASR en diversos objetivos. En CIFAR-10, el efecto es menor (~2%) bajo configuraciones por defecto, pero crece hasta ~6.6% bajo una DI agresiva.

Análisis de Mecanismo: Geometría del Gradiente y Redimensionamiento

El artículo atribuye el efecto a la geometría de los gradientes de entrada:

• Modelos Estándar: Poseen gradientes ruidosos de alta frecuencia. La DI actúa como un mecanismo de eliminación de ruido (reducción de la varianza), mejorando la dirección del ataque.
• Modelos Robustos: Poseen gradientes suaves, de baja frecuencia y alineados semánticamente. El componente de redimensionamiento de la DI actúa como un filtro de paso bajo que introduce un sesgo sistemático sin reducir la varianza (ya que la varianza ya es baja), degradando así la dirección del gradiente que ya era óptima.
• Descomposición: Una descomposición de redimensionamiento/traslación revela que ~67% del daño en los subrogados robustos es causado específicamente por el paso de redimensionamiento, mientras que la traslación es casi neutra.

Consistencia de Gradiente Local (LGC)

Los autores proponen la LGC como una sonda de espacio de entrada única para identificar el régimen de gradiente:

• Separación: Los modelos robustos exhiben una LGC alta ($\approx 0.98\text{--}1.00$), mientras que los modelos estándar exhiben una LGC más baja ($\approx 0.64\text{--}0.92$).
• Poder Predictivo: La LGC se correlaciona fuertemente con la sensibilidad a la DI. Una LGC alta predice que la DI será perjudicial.
• Teorema: Un teorema de sesgo-varianza (Proposición 1) demuestra que la DI basada en redimensionamiento mejora estrictamente la alineación si y solo si la LGC está por debajo de un umbral específico ($\tau^*$), y necesariamente perjudica a medida que la LGC se acerca a 1.

CG-DI (Diversidad de Entrada Guiada por Consistencia)

Basándose en estos hallazgos, los autores proponen CG-DI, una regla libre de entrenamiento:

• Mecanismo: Calcular la LGC en el subrogado. Si LGC > $\tau$ (por ejemplo, 0.92), desactivar la diversidad ($p=0$); de lo contrario, habilitar la diversidad ($p=0.8$).
• Resultado: CG-DI evita la pérdida de ~10.3% de ASR en subrogados robustos mientras retiene los beneficios de la DI en subrogados estándar. Actúa efectivamente como una "barrera de seguridad" contra el Efecto Tijera.

4. Resultados

• Generalización: El Efecto Tijera se mantiene a través de 10 ataques diferentes que abarcan de 2018 a 2024 (incluyendo MI-FGSM, Admix, SSA, SIA) y diversas arquitecturas (ResNet, ViT, Swin, ConvNeXt).
• Recorrido de Robustez: La transición de una DI beneficiosa a una perjudicial es gradual, no binaria. El cruce ocurre en el régimen de "poca robustez" (por ejemplo, $\epsilon_{train} \in (0, 0.5]/255$), profundizándose a medida que aumenta la robustez.
• Excepción de SSA: El ataque de Simulación de Espectro (SSA), que opera en el dominio de la frecuencia, muestra el mayor daño en subrogados robustos. Los autores explican esto mediante el Corolario 1: SSA actúa como un pre-filtro que aumenta la LGC efectiva, empujando incluso a los subrogados estándar más cerca del umbral de cruce perjudicial.
• Control de Misma Familia: El efecto persiste incluso cuando el origen y el objetivo comparten la misma arquitectura (por ejemplo, de ResNet-50 a ResNet-50), confirmando que el fenómeno es impulsado por el régimen de gradiente del subrogado, no por la similitud arquitectónica.

5. Significado y Reivindicaciones

El artículo posiciona el Efecto Tijera como una manifestación de la DI del compromiso más amplio entre robustez y transferibilidad. Su importancia radica en:

1. Corregir una Suposición por Defecto: Demuestra que la heurística de "más diversidad es mejor" depende del régimen. Para los subrogados robustos (cada vez más comunes en evaluaciones de seguridad), el uso por defecto de la DI puede llevar a subestimar la fuerza del ataque y sobreestimar la robustez del objetivo.
2. Aislar al Culpable: Identifica el redimensionamiento como el componente específico responsable del daño, distinguiéndolo de otras transformaciones como la traslación.
3. Guía Accionable: Proporciona un método práctico, libre de entrenamiento, utilizando la LGC para ajustar dinámicamente los hiperparámetros del ataque, asegurando que los subrogados robustos no se debiliten inadvertidamente durante la evaluación.
4. Fundamentación Teórica: Formaliza la intuición a través de un teorema de cruce de sesgo-varianza, vinculando directamente la consistencia del gradiente con la eficacia de la diversidad de entrada.

Los autores concluyen que a medida que los modelos preentrenados robustos se conviertan en subrogados estándar, el diseño de ataques debe tener en cuenta la geometría del gradiente del subrogado, y la DI no debe tratarse como un valor predeterminado universalmente beneficioso.