Shared Vulnerabilities in Robustness-Optimized Defenses: One Breach Exposes the Family

Imagina un mundo donde tu teléfono, tu coche e incluso tus dispositivos médicos estén controlados por cerebros de IA superinteligentes. Estos cerebros son excelentes reconociendo rostros o leyendo radiografías, pero tienen una debilidad secreta: una mancha diminuta, casi invisible, en una imagen puede engañarlos para que vean algo completamente distinto. Es como dibujar un punto minúsculo en una señal de alto para que un coche autónomo piense que es una señal de límite de velocidad. Para evitar esto, los científicos han construido "guardaespaldas" para estos cerebros de IA. Algunos guardaespaldas entrenan a la IA para ser resistente mostrándole miles de imágenes trucadas (Entrenamiento Adversario), mientras que otros actúan como un filtro, limpiando la imagen antes de que la IA la vea (Purificación Adversaria). Todos esperan que estos guardaespaldas hagan que la IA sea inquebrantable. Pero, ¿qué pasaría si todos estos guardaespaldas, a pesar de parecer diferentes, estuvieran usando en realidad el mismo uniforme secreto? ¿Qué pasaría si romper uno de ellos le diera accidentalmente a los villanos las llaves para romperlos a todos?

Este es exactamente el escalofriante descubrimiento realizado por Hanrui Wang y su equipo en su nuevo artículo. Descubrieron que cuando diferentes defensas de IA se optimizan para ser "robustas" (resistentes a los ataques), terminan compartiendo accidentalmente las mismas debilidades ocultas. Es como una familia de superhéroes que entrenaron todos en el mismo dojo; si un villano descubre cómo derrotar a uno, podría ser capaz de derrotar a toda la familia sin siquiera intentar aprender sus movimientos específicos. Los investigadores no solo lo supusieron; construyeron una prueba simple y astuta llamada "PGDTransfer" y un mapa especial llamado "Mapas de Sensibilidad Adversaria" para demostrarlo. Descubrieron que una vez que rompes un tipo de defensa de "limpieza", el ataque suele funcionar en casi todas las demás defensas de limpieza, con una tasa de éxito de más de 80% en algunos casos. Esto sugiere que hacer la IA más fuerte no es suficiente; también debemos asegurarnos de que las diferentes defensas no compartan las mismas grietas secretas.

El Secreto Familiar: Una Brecha, Todos Expuestos

Piensa en las defensas de IA como diferentes marcas de cerraduras de alta tecnología. Algunas cerraduras usan un escáner de huellas dactilares, otras un escaneo de retina y algunas un código de voz. Asumirías que si un ladrón descifra la cerradura de huellas dactilares, no podrá abrir la de retina. Pero este artículo revela un giro: si todas estas cerraduras fueron diseñadas bajo la misma "filosofía de seguridad" (intentar ser súper robustas), es posible que todas tengan la misma falla diminuta e invisible en sus engranajes.

Los investigadores llaman a esto una "Vulnerabilidad Compartida". Descubrieron que cuando los sistemas de IA se entrenan para ser súper resistentes contra los ataques, todos tienden a ignorar las mismas partes de una imagen y a concentrarse en las mismas partes "seguras". Esto significa que si un hacker crea una imagen trucada para engañar a una IA específica y robusta, esa misma imagen trucada a menudo funciona en otras IA robustas, incluso si parecen completamente diferentes por dentro. Es como si un maestro ladrón encontrara una llave maestra que encaja en todas las cerraduras de un vecindario porque todas las cerraduras fueron fabricadas por la misma fábrica, aunque tengan diferentes colores y formas.

El Trabajo de Detective: Cómo Encontraron la Grieta

Para probar esto, el equipo tuvo que ser muy cuidadoso. En el pasado, la gente probaba si los ataques podían "transferirse" (funcionar en una IA diferente) utilizando cambios enormes y obvios en las imágenes. Los investigadores se dieron cuenta de que esto era hacer trampa; si emborronas una imagen lo suficiente, cualquier IA se confundirá, no solo porque compartan una debilidad, sino porque la imagen simplemente está arruinada.

Por ello, inventaron reglas más estrictas para su prueba:

1. Solo Cambios Diminutos: Utilizaron cambios muy pequeños, apenas visibles (un presupuesto de $\epsilon = 4/255$) para asegurar que el ataque no estuviera simplemente rompiendo la imagen.
2. Sin Trampas: Utilizaron una regla de "único sustituto"; el hacker entrena en una IA (el sustituto) pero tiene que atacar a otra (el objetivo) sin conocer sus secretos.
3. El Ataque Simple: En lugar de usar una herramienta de hackeo súper compleja y sofisticada, utilizaron un método muy simple llamado PGDTransfer. Es como usar un destornillador básico en lugar de un cortador láser. Si un destornillador básico puede romper múltiples cerraduras, demuestra que el problema son las cerraduras en sí, no la herramienta.

También crearon Mapas de Sensibilidad Adversaria (AdvSMs). Imagina mirar el mapa de una ciudad para ver qué calles están concurridas. Estos mapas muestran exactamente qué píxeles (puntos diminutos) en una imagen está observando una IA. Los investigadores descubrieron que las IA "robustas" prestan atención a los mismos píxeles específicos e ignoran otros de la misma manera. Es como si todos los guardaespaldas de la familia hubieran decidido vigilar la puerta principal e ignorar la ventana trasera. Si un ladrón sabe cómo entrar por la ventana trasera de un guardaespaldas, sabe exactamente a dónde ir con todos los demás.

Los Resultados: Un Llamado de Atención

Los números que encontraron son bastante impactantes. Cuando probaron estos ataques simples contra las defensas de "purificación" (aquellas que intentan limpiar la imagen):

• El ataque tuvo éxito en promedio el 80.4% de las veces a través de diferentes tipos de limpiadores (filtrado, compresión y basados en difusión).
• Aunque estas defensas parecían fuertes individualmente, todas eran vulnerables al mismo truco simple.
• Esto ocurrió incluso con las defensas basadas en Difusión, que actualmente se consideran algunas de las más fuertes y complejas del mundo.

El artículo descarta explícitamente la idea de que esto se deba simplemente a que los modelos de IA se parecen (como tener la misma arquitectura). Probaron modelos con el mismo diseño pero con diferentes entrenamientos, y descubrieron que si uno no era "robusto", el ataque no se transfería. La transferencia solo ocurrió cuando ambos estaban optimizados para ser robustos. Esto demuestra que es la propia "optimización de robustez" la que crea la debilidad compartida.

Lo Que Esto Significa para el Futuro

La gran conclusión no es que la IA esté condenada, sino que nuestra forma de hacerla segura necesita un cambio. Actualmente, nos enfocamos en hacer que cada IA individual sea lo más fuerte posible. Este artículo sugiere que también debemos enfocarnos en la diversidad. Necesitamos asegurarnos de que las diferentes defensas no aprendan todas a ignorar las mismas cosas. Si seguimos entrenándolas a todas para ser "perfectamente robustas" de la misma manera, solo estamos construyendo una familia de cerraduras que comparten la misma llave maestra.

Los autores sugieren que la seguridad futura debe tratar la "diversidad de vulnerabilidad" como un objetivo. En lugar de solo preguntar, "¿Es esta IA fuerte?", deberíamos preguntar, "¿Es la debilidad de esta IA diferente de las otras?". Si podemos asegurar que cuando una IA es engañada, eso no signifique que toda la familia quede expuesta, podemos construir un mundo digital mucho más seguro. Por ahora, el artículo sirve como una advertencia: una brecha podría exponer a toda la familia, por lo que debemos dejar de tratar estas defensas como islas aisladas y empezar a verlas como un ecosistema conectado.