💬 NLP

LBA: Textual Hard-Label Adversarial Attack under Low Query Budgets

El artículo propone LBA, un método basado en muestreo que integra iterativamente el conocimiento previo y posterior para construir una distribución aproximada de ejemplos adversarios de alta calidad, superando así significativamente a los enfoques codiciosos existentes en la generación de textos adversarios de etiqueta dura con preservación semántica bajo presupuestos de consulta bajos.

Autores originales: Shixin Guo, Ming Zhong, Xuhong Zhang, Dandan Zhao, Zhe Wang, Bo Zhang, Shouling Ji, Hao Peng

Publicado 2026-07-17

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Shixin Guo, Ming Zhong, Xuhong Zhang, Dandan Zhao, Zhe Wang, Bo Zhang, Shouling Ji, Hao Peng

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que estás jugando una partida de "El Teléfono Descompuesto" con un robot superinteligente que ha leído casi todos los libros jamás escritos. Le susurras una frase y él te dice exactamente lo que esa frase significa, ya sea una reseña de película feliz o una noticia triste. Este robot es un tipo de Inteligencia Artificial llamada Red Neuronal Profunda, y es increíblemente bueno entendiendo el lenguaje. Pero, como cualquier criatura inteligente, tiene una debilidad secreta: puede ser engañado. Si cambias solo unas pocas palabras en una frase, el robot podría pensar de repente que una película feliz es una tragedia. Esto se llama un "ataque adversarial".

Lo complicado es que, en el mundo real, no puedes simplemente preguntarle al robot: "¿Qué tan seguro estás?", solo puedes preguntar: "¿Qué crees que es esto?" y obtener una respuesta simple de "Sí" o "No". Esto se conoce como un escenario de "etiqueta dura" (hard-label). Para engañar al robot sin hacer demasiadas preguntas (lo que podría delatarte o costar demasiado dinero), tienes que ser muy astuto. La mayoría de la gente intenta arreglar la frase palabra por palabra, como un jardinero podando la rama de un arbusto rama por rama. Pero esto a menudo pierde la combinación perfecta de cambios necesarios para engañar al robot, desperdiciando mucho tiempo y preguntas.

Este artículo presenta un nuevo método llamado LBA (Ataque de Etiqueta Dura de Bajo Presupuesto de Consultas) que resuelve este problema cambiando el juego por completo. En lugar de podar el arbusto una rama a la vez, los autores tratan el problema como una búsqueda del tesoro utilizando un mapa mágico.

La vieja forma: El jardinero ciego

Imagina que estás tratando de encontrar la combinación perfecta de ingredientes para hacer un pastel que sepa exactamente a un sabor específico, pero que solo puedes probar el resultado después de hornearlo. Los métodos antiguos actúan como un jardinero ciego que elige una flor, la corta y ve si el jardín se ve mejor. Si es así, mantiene el corte; si no, la vuelve a poner y prueba la siguiente flor. Nunca miran todo el jardín a la vez. Este enfoque "codicioso" (greedy) a menudo se queda atrapado en un parche local de flores, perdiendo la disposición perfecta que requiere cambiar varias flores a la vez. Esto desperdicia mucho tiempo (o "consultas") intentando encontrar el lugar correcto.

La nueva forma: El Mapa Mágico (LBA)

Los autores de este artículo se dieron cuenta de que, en lugar de adivinar una flor a la vez, podrían construir un mapa que muestre dónde es probable que se encuentren los "mejores" cambios. Ellos lo llaman un "método basado en muestreo".

Así es como funciona su mapa:

El Conocimiento Previo (El Mapa Inicial): Antes de siquiera comenzar, dibujan un mapa aproximado basado en reglas que ya conocen, como "no cambiar demasiadas palabras" y "mantener la frase con un sonido natural".
El Conocimiento Posterior (Actualizando el Mapa): A medida que prueban diferentes frases y piden respuestas al robot, aprenden de los resultados. Si cambiar una palabra específica engaña a menudo al robot, marcan ese lugar en su mapa como de "alto valor". Si un cambio hace que la frase suene extraña, marcan ese lugar como de "bajo valor".
El Muestreo (La Búsqueda del Tesoro): En lugar de caminar paso a paso, utilizan este mapa para "muestrear" o elegir combinaciones prometedoras de cambios de palabras. Es como lanzar dardos a una tabla donde la diana es el lugar más probable para encontrar un truco ganador. A medida que lanzan más dardos, el mapa se vuelve más nítido, guiándolos hacia mejores lugares incluso más rápido.

Lo que encontraron

Los investigadores probaron este nuevo método contra seis tipos diferentes de robots de lenguaje, que van desde modelos pequeños hasta modelos masivos como GPT-4o. Utilizaron cuatro conjuntos diferentes de datos, incluyendo reseñas de películas y artículos de noticias.

Los resultados fueron impresionantes. En un mundo donde solo se te permite hacer un número limitado de preguntas al robot (un "bajo presupuesto de consultas"), LBA encontró consistentemente mejores trucos que los métodos antiguos.

Mejor Calidad: Las frases que creó LBA sonaban mucho más naturales. Cambiaron menos palabras y mantuvieron mejor el significado de la frase original que los otros métodos.
Eficiencia más Inteligente: En textos largos (como reseñas de películas largas), los métodos antiguos tuvieron dificultades para encontrar la combinación correcta de cambios. LBA, sin embargo, destacó al encontrar la mezcla perfecta de intercambios de palabras, incluso en estos escenarios complejos.
Aprobación Humana: Cuando los investigadores pidieron a humanos que leyeran las frases engañadas, los humanos no pudieron notar la diferencia entre la original y la versión engañada. También le pidieron a una IA súper avanzada (GPT-4o) que juzgara las frases, y esta estuvo de acuerdo en que los trucos de LBA eran los más ingeniosos y menos obvios.

Por qué esto es importante

El artículo sugiere que, al usar este enfoque de muestreo basado en mapas, podemos engañar a los modelos de IA de manera mucho más eficiente. Esto no significa que la IA esté rota; más bien, demuestra que la vieja forma de intentar engañar a la IA (una palabra a la vez) es ineficiente. Al comprender que los mejores trucos a menudo implican una combinación específica de cambios en lugar de un solo cambio, LBA abre una nueva puerta para probar qué tan robustos son realmente nuestros sistemas de IA. Demuestra que con una estrategia más inteligente, se puede lograr resultados de alta calidad sin necesidad de hacerle al robot un millón de preguntas.

Resumen Técnico: LBA (Ataque de etiqueta dura con presupuesto de consultas bajo)

1. Planteamiento del Problema

El artículo aborda el desafío de generar textos adversarios de alta calidad en un escenario de etiqueta dura (hard-label) de bajo presupuesto de consultas.

Contexto: Las Redes Neuronales Profundas (DNN) en el Procesamiento de Lenguaje Natural (NLP) son vulnerables a ataques adversarios donde las entradas maliciosas causan predicciones incorrectas.
Restricción: En aplicaciones del mundo real, los atacantes a menudo no pueden acceder a las puntuaciones de confianza (etiquetas blandas/soft labels) y están restringidos a la etiqueta predicha principal (etiquetas duras/hard labels). Además, los presupuestos de consultas son limitados debido a los costos monetarios y al riesgo de detección por exceso de entradas similares.
Limitación de los Métodos Existentes: Los ataques de etiqueta dura actuales dependen predominantemente de paradigmas de búsqueda codiciosa (greedy search). Estos métodos seleccionan iterativamente una única posición de palabra para la sustitución y la bloquean antes de pasar a la siguiente. Este enfoque de búsqueda local no logra explorar el espacio combinatorio completo de las sustituciones de posición, lo que a menudo conduce a soluciones subóptimas y costos de consulta excesivos para escapar de los óptimos locales. La búsqueda exhaustiva es computacionalmente inviable debido a la explosión combinatoria.

2. Metodología: LBA

Los autores proponen LBA (Low-query Budget hard-label Attack), un nuevo método que reformula la generación de texto adversario como un problema de muestreo basado en distribuciones. En lugar de un refinamiento local codicioso, LBA muestrea de una distribución aproximada de ejemplos adversarios de alta calidad, aprovechando tanto el conocimiento previo como el posterior.

Marco Central

El método se inspira en el muestreo de Metropolis-Hastings (MH). Construye una función objetivo para aproximar la distribución de los ejemplos adversarios de alta calidad y refina iterativamente esta distribución mediante el muestreo.

A. Inicialización

LBA comienza con una inicialización aleatoria (similar a HLA) para generar un ejemplo adversario inicial $x'_0$ que engañe al modelo víctima. Esto implica sustituir palabras aleatoriamente por sinónimos mientras se filtra por consistencia de Parte de la Oración (POS).

B. Estrategia de Muestreo

El bucle central involucra tres pasos:

Propuesta de Candidato: Se genera un candidato $x'_i$ reemplazando una palabra en una posición perturbable seleccionada aleatoriamente (del conjunto de índices donde el ejemplo actual difiere del original) con un sinónimo. Esto utiliza muestreo con reemplazo para evitar el problema de la reducción del espacio de búsqueda encontrado en los métodos codiciosos.
Cálculo de la Tasa de Aceptación: El candidato se evalúa mediante una tasa de aceptación $\alpha$ $α$ , definida por la relación entre los valores de la función objetivo y las propuestas de transición:
$\alpha(x'_i, x^\star) = \min \left( 1, \frac{\pi(x'_i)g(x^\star | x'_i)}{\pi(x^\star)g(x'_i | x^\star)} \right)$
- Función Objetivo $\pi(x'_i)$ : Aproxima la distribución deseada y es el producto de la Agresividad ( $A$ $A$ ) y la Calidad ( $Q$ $Q$ ):
  $\pi(x'_i) = A(x'_i) \cdot Q(x'_i, x)$
  - Agresividad ( $A$ ): Derivada del conocimiento posterior. Cuantifica la "importancia" de una posición basada en la frecuencia empírica de que las perturbaciones en esa posición hayan inducido inversiones de etiqueta en iteraciones previas. Se calcula utilizando un softmax sobre las frecuencias empíricas de inversión de etiqueta.
  - Calidad ( $Q$ ): Derivada del conocimiento previo (restricciones predefinidas). Es una suma ponderada de la similitud semántica, la reducción de la tasa de perturbación, el aumento de errores gramaticales y la perplejidad.
- Propuesta de Transición $g$ : Una probabilidad asimétrica basada en el cambio en la similitud semántica entre los ejemplos actual y el candidato, guiando la búsqueda hacia ejemplos semánticamente coherentes.
Actualización: Si el candidato es aceptado (basado en un umbral aleatorio uniforme), el ejemplo actual se actualiza y el modelo víctima es consultado para validar la inversión de la etiqueta. El conocimiento posterior (importancia de la posición) se actualiza según el resultado de la consulta.

3. Contribuciones Clave

Formulación del Problema: Los autores identifican las limitaciones de la búsqueda codiciosa en los ataques de etiqueta dura y son los primeros en formular la generación de texto adversario eficiente en consultas como un problema de muestreo basado en distribuciones.
Algoritmo Novedoso (LBA): Proponen LBA, que integra restricciones previas (calidad) y retroalimentación posterior (agresividad) en una función objetivo para el muestreo tipo MH. Esto permite que el método se autocorrija y explore el espacio de búsqueda de manera más efectiva que los enfoques codiciosos.
Evaluación Exhaustiva: Se realizaron experimentos extensos en seis modelos de lenguaje (desde NLMs de pequeña escala como WordCNN hasta LLMs de gran escala como GPT-4o) a través de cuatro conjuntos de datos (MR, AG, YELP, IMDB).

4. Resultados Experimentales

El artículo reporta que LBA supera significativamente a los modelos base del estado del arte (incluyendo HLA, TextHoaxer, LeapAttack y HQA-Attack) en todas las métricas de evaluación:

Eficiencia de Consultas: LBA logra altas tasas de éxito de ataque (ASR) bajo presupuestos de consultas "Tiny", "Tight" y "Moderate".
Métricas de Calidad: LBA genera textos adversarios con:
- Menores Tasas de Perturbación: Menos palabras cambiadas.
- Mayor Similitud Semántica: Más cercanos al significado original.
- Mejor Fluidez: Menor perplejidad (PPL) y menos errores gramaticales (Ige).
Robustez de los LLM: LBA demuestra un rendimiento superior al atacar Modelos de Lenguaje Grandes (LLMs) como LLaMA 2, Vicuna y GPT-4o, donde la brecha de rendimiento con los modelos base es particularmente pronunciada en conjuntos de datos de texto largo.
Evaluación Humana y de LLM:
- Evaluación de GPT-4o: LBA logró la mayor Tasa de Consistencia (CR) (preservación de la semántica original) y Tasa de Comprensión Total (FUR) (comprensibilidad) entre los modelos base de etiqueta dura.
- Evaluación Humana: Los anotadores humanos clasificaron correctamente los ejemplos adversarios generados por LBA en tasas más altas que otros métodos, confirmando que los ataques engañan con éxito al modelo víctima mientras preservan el sentimiento/significado original.

5. Significado y Reivindicaciones

El artículo afirma que LBA aborda el compromiso crítico entre la eficiencia de consultas y la calidad adversaria en escenarios de etiqueta dura. Al alejarse de la búsqueda local codiciosa hacia una estrategia de muestreo que aprende de la retroalimentación acumulada de las consultas, LBA mitiga la explosión combinatoria del espacio de búsqueda.

Los autores enfatizan que su método no solo es más eficiente, sino que también genera textos adversarios más preservados semánticamente y comprensibles. Esto sugiere que LBA es un modelo de amenaza más realista para aplicaciones del mundo real donde los atacantes tienen recursos limitados y deben evitar la detección. El trabajo destaca la necesidad de mejorar la robustez adversaria tanto de los modelos tradicionales de NLP como de los emergentes Modelos de Lenguaje Grandes (LLMs).