💻 computer science

Double Down on Defense: Strengthening Deep Perceptual Hashes against Evasion Attacks without Retraining

El artículo introduce DualShield, un mecanismo de defensa tipo plug-in que mejora la robustez de los hashes perceptuales profundos existentes contra ataques de evasión mediante una combinación de suavizado aleatorio en el tiempo de coincidencia y endurecimiento en el tiempo de publicación, logrando una robustez certificada sin requerir el reentrenamiento del modelo.

Autores originales: Bangjie Sun, Nayoung Kim, Mun Choon Chan, Jun Han

Publicado 2026-08-05

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Bangjie Sun, Nayoung Kim, Mun Choon Chan, Jun Han

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina el internet como una biblioteca gigante y bulliciosa donde miles de millones de libros (imágenes) se están añadiendo, eliminando y copiando constantemente. Para mantener esta biblioteca segura y organizada, los bibliotecarios necesitan una forma de detectar rápidamente si un libro es un duplicado de uno que ya han marcado como peligroso o con derechos de autor. No leen cada palabra; en su lugar, utilizan un escáner de "huella dactilar" especial. Este escáner convierte una imagen en un código corto y único. Si dos imágenes se ven casi iguales, sus códigos son muy similares. Esto se llama hashing perceptual. Es el perro guardián invisible que evita que la gente vuelva a subir contenido prohibido o robe arte.

Pero aquí está la parte difícil: al igual que un perro real puede ser engañado por un disfraz ingenioso, estas huellas dactilares digitales pueden ser engañadas. Un mal actor puede realizar cambios diminutos e invisibles en una imagen —cambios tan pequeños que el ojo humano no puede verlos— pero lo suficientemente grandes como para desordenar el código de la huella dactilar. De repente, una imagen prohibida parece una imagen nueva e inocente para el escáner. Esto se llama ataque de evasión. La gran pregunta que los investigadores se han estado haciendo es: ¿Podemos hacer que estos escáneres de huellas dactilares sean más resistentes contra los tramposos sin tener que reconstruir el escáner completo desde cero? Es un poco como preguntar si podemos enseñarle nuevos trucos a un viejo perro guardián sin reemplazar su cerebro.

Este artículo presenta una solución ingeniosa llamada DualShield, que actúa como un campo de fuerza de dos capas para estos escáneres de imágenes existentes. Los autores, trabajando con sistemas de los principales centros tecnológicos, descubrieron que no es necesario reentrenar los complejos modelos de IA que crean las huellas dactilares para hacerlas más seguras. En su lugar, añadieron dos "escudos" que trabajan juntos.

El primer escudo es el Endurecimiento en el Momento de la Publicación (Publication-Time Hardening). Imagina a un bibliotecario preparando un libro de referencia antes de ponerlo en el estante. No solo lo deja tal cual; le aplica una "armadura" diminuta e invisible a la portada. Esta armadura es un ajuste matemático tan sutil que el libro se ve exactamente igual para un lector humano, pero hace que la huella dactilar del libro sea increíblemente difícil de desordenar. Cuando un mal actor intenta copiar y modificar este libro "acorazado" para engañar al escáner, está partiendo de una posición mucho más difícil. El artículo muestra que este paso por sí solo hace que sea más difícil para los atacantes tener éxito, pero no es un muro perfecto.

El segundo escudo es el Suavizado Aleatorio en el Momento de la Comparación (Matching-Time Randomized Smoothing). Esto sucede cuando alguien intenta subir una imagen sospechosa. En lugar de comparar la imagen subida con la referencia una sola vez (que es como preguntarle al perro guardián que olfatee el aire una vez y tome una decisión), el sistema hace algo más inteligente. Crea cientos de versiones ligeramente "ruidosas" o difusas tanto de la referencia como de la imagen subida. Le pide al perro guardián que olfatee todas estas versiones difusas y luego toma una votación. Si el perro dice "Coincidencia" el 90% de las veces, el sistema acepta la imagen. Si un mal actor intenta usar un truco diminuto para cambiar el resultado, el ruido en las otras 99 comparaciones generalmente lo cancela. Es como intentar engañar a una multitud de personas susurrando una mentira; si la susurras una vez, tal vez te crean, pero si tienes que susurrarla a cien personas a la vez, la verdad gana.

Los investigadores probaron este sistema "DualShield" contra ocho tipos diferentes de escáneres de huellas dactilares y tres conjuntos diferentes de imágenes. Los resultados fueron impactantes. Sin esta defensa, los hackers podrían engañar con éxito a los escáneres aproximadamente el 98.6% de las veces utilizando un ataque de caja blanca (donde conocen exactamente cómo funciona el escáner). Con DualShield, la tasa de éxito cayó drásticamente a solo el 11.8%. Aún más impresionante, contra ataques de caja negra (donde el hacker no tiene idea de cómo funciona el escáner), la tasa de éxito bajó de un 20.6% a un minúsculo 1.3%.

El artículo también proporciona una garantía matemática, o "certificado", que demuestra que mientras los cambios de un atacante se mantengan dentro de un cierto círculo invisible (un radio de aproximadamente 0.3 en sus unidades matemáticas), simplemente no pueden engañar al sistema. Esto es algo importante porque va más allá de "funcionó en nuestras pruebas" a "podemos demostrar que funciona".

Sin embargo, los autores advierten cuidadosamente que esto no es una varita mágica que lo arregla todo. Aunque el sistema se volvió mucho más difícil de engañar, también hizo que los escáneres fueran ligeramente menos sensibles a cambios normales como el recorte o la rotación de una imagen para algunos tipos específicos de escáneres. Es un intercambio: obtienes una fortaleza contra los hackers, pero tienes que ser un poco más cuidadoso con la gestión de las imágenes. Además, el sistema no corrige las fallas subyacentes de los escáneres en sí mismos; si un escáner ya era malo detectando duplicados, DualShield no lo convertirá en un genio, solo hará que sea más difícil de engañar.

Al final, DualShield demuestra que podemos hacer que nuestros guardianes digitales sean mucho más resistentes sin el proceso costoso y lento de reconstruirlos. Al añadir una capa de "armadura" antes de que la imagen vaya en línea y una capa de "votación basada en la multitud" cuando regresa, podemos proteger nuestras bibliotecas en línea de los trucos astutos de la era digital. Es un recordatorio de que, a veces, la mejor defensa no es una espada más grande, sino un escudo más inteligente.

Resumen Técnico: DualShield – Fortaleciendo los hashes perceptuales profundos contra ataques de evasión

Planteamiento del problema
La coincidencia de imágenes casi duplicadas es crítica para la moderación de contenido, la verificación de procedencia y la aplicación de derechos de autor. Los sistemas modernos dependen de hashes perceptuales profundos para mapear imágenes visualmente similares en representaciones compactas y comparables. Sin embargo, estos sistemas son vulnerables a ataques de evasión, donde un adversario aplica perturbaciones imperceptibles a una imagen conocida para alterar su representación de hash lo suficiente como para cruzar el umbral de coincidencia, causando que un duplicado cercano sea clasificado erróneamente como una no coincidencia.

Las defensas existentes enfrentan un compromiso:

Robustez empírica: Aunque algunos métodos resisten ataques específicos conocidos, no ofrecen garantías contra estrategias adversarias más fuertes o no vistas.
Robustez certificada: Enfoques recientes como CertPHash proporcionan garantías formales contra perturbaciones acotadas, pero requieren entrenar modelos de hash robustos dedicados desde cero. Esto dificulta su despliegue en sistemas de hash preentrenados ya existentes utilizados en producción.

La pregunta central de investigación abordada es: ¿Podemos mejorar tanto la robustez empírica como la certificada de los hashes perceptuales profundos existentes sin reentrenar ni modificar sus modelos subyacentes?

Metodología: DualShield
Los autores proponen DualShield, un mecanismo de defensa tipo plug-in que opera en dos etapas distintas del ciclo de vida de la imagen sin alterar el propio modelo de hash $f$ . Combina dos mecanismos complementarios:

Endurecimiento en el momento de la publicación (Publication-Time Hardening):
- Objetivo: Optimizar proactivamente la imagen de referencia antes de que se publique y se almacene en la base de datos.
- Mecanismo: Se añade una perturbación optimizada e imperceptible $\delta_h$ a la imagen de referencia original $r$ para crear una referencia endurecida $r^*$ .
- Optimización: La perturbación se calcula para maximizar el "margen de coincidencia suavizado" para pares positivos (la referencia y sus variantes benignas) manteniendo la separación de pares negativos (imágenes no relacionadas). Esto aleja la referencia de las regiones localmente vulnerables del espacio de hash, dificultando que un adversario empuje una consulta modificada a través de la frontera de decisión.
- Restricción: La modificación está restringida para ser imperceptible (por ejemplo, norma $\ell_\infty$ acotada) y se realiza solo una vez por cada imagen de referencia.
Suavizado aleatorio en el momento de la coincidencia (Matching-Time Randomized Smoothing):
- Objetivo: Estabilizar la decisión de coincidencia/no coincidencia contra pequeñas perturbaciones en la imagen de consulta.
- Mecanismo: Cuando se envía una imagen de consulta $q$ , el sistema no depende de una única comparación de hash determinista. En su lugar, muestrea de forma independiente ruido gaussiano $\eta_r, \eta_q$ tanto para la referencia endurecida $r^*$ como para la consulta $q$ .
- Agregación: El comparador de hash subyacente $M_f$ se evalúa repetidamente en estos pares perturbados. La decisión final se determina mediante un voto de mayoría (o la clase más probable) a través de $N$ muestras.
- Certificación: Este proceso convierte la decisión de coincidencia en una estadísticamente robusta. Si la probabilidad de la clase mayoritaria $p_A$ supera 0.5, se puede calcular un radio certificado $\ell_2$ formal $R_2 = \sigma \Phi^{-1}(p_A)$ . Esto garantiza que cualquier perturbación aditiva a la consulta dentro de este radio no puede cambiar la decisión de coincidencia.

Contribuciones clave

Defensa Plug-in: DualShield fortalece los hashes perceptuales profundos existentes sin requerir el reentrenamiento o la modificación de la arquitectura del hash subyacente.
Diseño de Mecanismo Dual: Combina de forma única el endurecimiento en el momento de la publicación (optimizando la referencia) con el suavizado aleatorio en el momento de la coincidencia (estabilizando la decisión), abordando fuentes complementarias de vulnerabilidad.
Garantías Formales: Proporciona robustez $\ell_2$ certificada para diversos modelos de hash existentes, incluyendo aquellos que no soportan certificación de forma nativa.
Evaluación Exhaustiva: El método se evalúa a través de ocho modelos diferentes de hash perceptual profundo (incluyendo variantes de NeuralHash, DINOHash, HybridHash y CertPHash) y tres conjuntos de datos (ImageNet, MS-CO {CO}, Stable-Diffusion).

Resultados Experimentales
La evaluación demuestra mejoras sustanciales tanto en la robustez empírica como en la certificada:

Robustez Adversaria (Caja Blanca): La tasa de éxito de ataque (ASR) promedio para los hashes existentes bajo ataques adaptativos de caja blanca fue del 98.6%. DualShield redujo esto al 11.8%. Para modelos específicos como HybridHash y variantes de CertPHash, el ASR cayó a niveles cercanos a cero (0–1%).
Robustez Adversaria (Caja Negra): El ASR promedio de caja negra disminuyó del 20.6% al 1.3%. Seis de los ocho hashes lograron un ASR de caja negra de cero observado en todos los presupuestos probados.
Robustez Certificada: DualShield estableció un radio $\ell_2$ certificado de aproximadamente 0.3 en todos los hashes evaluados. Esta es una mejora significativa sobre la línea base de solo suavizado (aprox. 0.25) y proporciona garantías formales donde antes no existían.
Robustez de Transformación: Para la mayoría de los hashes, DualShield mantuvo bajas tasas de evasión frente a transformaciones comunes (compresión, recorte, rotación). Sin embargo, se observó un compromiso para algunos modelos (por ejemplo, SSCD), donde el aumento de la robustez adversaria condujo a una mayor tasa de evasión bajo transformaciones geométricas (por ejemplo, la evasión por recorte/rotación aumentó del 0.5% al 23.6%).
Utilidad y Fidelidad:
- Colisiones: DualShield generalmente preservó las tasas de colisión originales, manteniéndose la mayoría de los hashes en 0% o cerca de cero en imágenes no relacionadas.
- Calidad Visual: Las imágenes endurecidas permanecieron visualmente similares a las originales. Modelos como C-PDQ y C-PDNA mostraron una alta similitud estructural (SSIM > 0.9), mientras que otros como DINOHash requirieron cambios de textura ligeramente más visibles para lograr la misma robustez.

Significancia y Reivindicaciones
El artículo afirma que DualShield demuestra que la robustez de los hashes perceptuales profundos no requiere necesariamente el rediseño o el reentrenamiento de los modelos de hash centrales. En su lugar, la robustez puede añadirse como una capa plug-in que aumenta los sistemas desplegados al proteger conjuntamente la referencia publicada y fortalecer la decisión de coincidencia.

Los autores enfatizan que, si bien se mejora la robustez empírica (resistencia a ataques específicos), la contribución principal es la capacidad de proporcionar garantías formales certificadas de caso de peor escenario. Esto permite que las plataformas del mundo real adopten la robustez certificada sin el costo prohibitivo de reentrenar modelos complejos de aprendizaje profundo. El trabajo sugiere un principio de diseño más amplio donde la robustez se trata como un componente aditivo a los sistemas de coincidencia visual, haciendo que la coincidencia certificada y adversariamente robusta sea más accesible para su despliegue.

Más como este