USAD: Uncertainty-aware Statistical Adversarial Detection

Resumen Técnico: Detección Adversaria Estadística Consciente de la Incertidumbre (USAD)

Planteamiento del Problema
La detección adversaria sigue siendo un desafío crítico para asegurar los sistemas de aprendizaje profundo. Si bien los métodos actuales de Detección Adversaria Estadística (SAD) enmarcan la detección como una prueba de hipótesis de dos muestras —determinando si un lote de ejemplos de consulta ($Y$) sigue la misma distribución que un conjunto de referencia de ejemplos limpios ($X$)—, estos sufren limitaciones significativas. Los enfoques actuales de SAD de última generación dependen predominantemente de la Discrepancia de la Media Máxima (MMD) como el estadístico de prueba. Sin embargo, la MMD es principalmente sensible a los desplazamientos en las incrustaciones de la media (momentos de primer orden) dentro de un Espacio de Hilbert Reproductor (RKHS). Los autores identifican que los detectores basados en MMD son ineficientes en términos de muestras; su potencia de detección disminuye rápidamente a medida que el tamaño del lote de consulta se reduce, lo que los hace poco prácticos para escenarios de ataque en etapas tempranas o de bajo volumen. Además, la MMD no logra capturar los patrones de incertidumbre característicos de los ejemplos adversarios (AEs), específicamente su dispersión de características anormal (incertidumbre global) y su inestabilidad bajo perturbaciones (incertidumbre local), los cuales son cruciales para distinguir los AEs de los ejemplos limpios (CEs).

Metodología
El artículo propone la Detección Adversaria Estadística Consciente de la Incertidumbre (USAD), un marco diseñado para capturar explícitamente los patrones de incertidumbre de la distribución inherentes a los ataques adversarios. USAD introduce dos nuevos estadísticos de prueba que apuntan a propiedades geométricas específicas de los AEs:

1. Discrepancia de Varianza (VD): Este estadístico mide la diferencia en la dispersión de características entre el conjunto de consulta y el conjunto de referencia. Aborda la incertidumbre global, capturando el fenómeno donde los AEs, desplazados del manifold de los datos limpios, exhiben una dispersión anormal en sus distribuciones de características semánticas en comparación con los CEs. La VD se formula como la diferencia al cuadrado de las varianzas empíricas de las características semánticas en las dos distribuciones.
2. Discrepancia de Covarianza Basada en Perturbaciones (PCD): Este estadístico aborda la incertidumbre local. Compara las matrices de covarianza de características de los ejemplos bajo perturbaciones gaussianas. Dado que los AEs suelen residir cerca de las fronteras de decisión y explotan características no robustas, exhiben una mayor sensibilidad a las perturbaciones pequeñas e isotrópicas que los CEs. La PCD mide la discrepancia entre las distribuciones de estas incrustaciones de covarianza inducidas por la perturbación.

Para crear un detector robusto, USAD agrega adaptativamente la VD y la PCD en un estadístico de prueba unificado. Reconociendo que diferentes ataques pueden activar patrones de incertidumbre global o local en distintos grados, la agregación emplea un esquema de ponderación consciente de la correlación (basado en el marco DUAL). Este método estima la estructura de covarianza conjunta de la VD y la PCD bajo la hipótesis nula (utilizando un conjunto de calibración limpio auxiliar) para reducir el peso de los componentes redundantes y enfatizar las señales complementarias. La decisión final se toma mediante una prueba de permutación, la cual establece un umbral para controlar la tasa de error de Tipo I (tasa de falsa alarma) en un nivel de significancia $\alpha$ especificado.

Contribuciones Clave

• Identificación de Limitaciones: Los autores demuestran que los métodos de SAD basados en MMD son insensibles a los patrones de incertidumbre característicos (varianza e inestabilidad local) de los AEs, lo que conduce a un bajo rendimiento en regímenes de muestras pequeñas.
• Nuevos Estadísticos de Prueba: La propuesta de VD y PCD para medir explícitamente la incertidumbre de la distribución global y local, respectivamente, proporcionando un enfoque más dirigido para detectar artefactos adversarios.
• Garantías Teóricas: El artículo proporciona pruebas teóricas que muestran que USAD, junto con sus estadísticas constituyentes, controla la tasa de error de Tipo I en el nivel de significancia $\alpha$ prescrito y logra la consistencia asintótica (la potencia de la prueba converge a 1) a medida que aumentan los tamaños de muestra.
• Superioridad Empírica: Experimentos extensos en los conjuntos de datos CIFAR-10 e ImageNet-1K utilizando arquitecturas ResNet y ViT muestran que USAD supera consistentemente a los modelos de base (incluyendo SAMMD y varios métodos de agregación de MMD) a través de diversos ataques (AA, BIM, CW, FGSM, PGD) y normas ($\ell_\infty$, $\ell_2$). Notablemente, USAD logra una potencia de detección casi perfecta incluso con tamaños de lote de consulta muy pequeños (por ejemplo, $|Y|=10$) y se mantiene robusto contra ataques adaptativos bien diseñados.

Resultados
Los resultados experimentales indican que USAD supera significativamente a los métodos de base.

• Eficiencia de Muestras Pequeñas: En escenarios con lotes de consulta pequeños ($|Y|=10$), USAD logra una potencia de prueba de 1.0 contra ataques PGD con $\epsilon=4/255$, mientras que el modelo base SAMMD logra solo 0.292.
• Robustez ante Ataques Adaptativos: Incluso cuando los atacantes optimizan para minimizar el estadístico de detección (ataques adaptativos), USAD mantiene una alta potencia de detección (por ejemplo, 0.818 para $|Y|=10$), superando significativamente a los detectores de un solo estadístico.
• Lotes Mixtos: USAD mantiene una alta potencia de detección incluso cuando los ejemplos adversarios están mezclados de forma dispersa con ejemplos limpios (por ejemplo, 20% de AEs en un lote), mientras que los métodos basados en MMD luchan significativamente a medida que aumenta la fracción de ejemplos limpios.
• Transferibilidad: El método demuestra una fuerte robustez contra ataques de transferencia, donde los ejemplos adversarios se generan en modelos sustitutos, logrando una detección perfecta a través de varias arquitecturas (ResNet, WideResNet, Swin Transformer).

Significancia y Afirmaciones
El artículo afirma que USAD representa un paso sustancial para superar las limitaciones de tamaño de muestra que han restringido la detección adversaria basada en pruebas de hipótesis. Al cambiar el enfoque de los desplazamientos de la incrustación de la media hacia la incertidumbre de la distribución (varianza e inestabilidad local), los autores argumentan que la SAD puede hacerse efectiva en escenarios de despliegue práctico en tiempo real, donde esperar ventanas de consulta grandes es poco realista. El trabajo enfatiza que USAD opera como una capa de monitoreo ligera y agnóstica al modelo que no requiere entrenamiento adversario ni supuestos de ataque específicos, ofreciendo un marco estadístico riguroso para controlar las falsas alarmas mientras se detectan amenazas desconocidas y adaptativas. Los autores posicionan a USAD no como un reemplazo para los detectores por ejemplo individual, sino como un monitor estadístico riguroso para el tráfico a nivel de lote, adecuado para activar defensas posteriores o inspección humana.