💻 computer science

Empirical Analysis of Evasion and Poisoning Against Malware Data Drift Detection

Este artículo investiga cómo los ataques de evasión y de envenenamiento, típicamente diseñados para comprometer los clasificadores de malware, afectan de manera única la operación combinada de los detectores de deriva de datos y los clasificadores de malware, revelando que las características distintivas de los detectores de deriva alteran la eficacia y el comportamiento de estos ataques adversarios.

Autores originales: Mingyue Yang, David Lie, Nicolas Papernot

Publicado 2026-08-05

📖 7 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Mingyue Yang, David Lie, Nicolas Papernot

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que eres el guardia de seguridad de un club nocturno masivo y de alta tecnología. Tu trabajo es detectar a los alborotadores (malware) y mantenerlos fuera, mientras dejas entrar a los buenos invitados (software benigno). Durante mucho tiempo, has usado una lista de rostros de alborotadores conocidos para hacer esto. Pero los alborotadores son escurridizos; cambian su peinado, usan disfraces o se dejan crecer la barba para parecer personas normales. Para mantenerse al día, has contratado a una IA inteligente para que te ayce a reconocer la vibra de un alborotador, incluso si se ve diferente.

Sin embargo, hay un inconveniente. Con el tiempo, la multitud cambia. La "vibra" del vecindario se desplaza, y la IA comienza a confundirse porque las personas que entran no se parecen a la gente que conoció hace años. Esto se llama concept drift (deriva de concepto). Para solucionar esto, el club contrata a una segunda IA, un "Detector de Deriva". Esta segunda IA no se preocupa por si alguien es un alborotador o un buen invitado; simplemente observa si alguien se ve extrañamente diferente de la multitud habitual. Si alguien parece demasiado extraño, el Detector de Deriva lo marca para que un guardia humano lo revise. La idea es que si un alborotador intenta disfrazarse, es posible que el Detector de Deriva lo detecte de todos modos por verse demasiado raro.

Pero aquí está el giro. ¿Qué pasa si los alborotadores conocen a ambos guardias? ¿Qué pasa si pueden engañar a la IA principal para que piense que son buenos invitados, y también engañar al Detector de Deriva para que piense que se ven normales? Este artículo pregunta exactamente eso. Los investigadores querían ver si los malos actores podían lograr un doble engaño: engañar al sistema que atrapa a los malos, mientras también engañan al sistema que atrapa a los raros. Probaron esto intentando colar "invitados envenenados" (que se cuelan en la lista de entrenamiento) e "invitados disfrazados" (que intentan pasar por la puerta).

El atraco de doble ciego

Los investigadores organizaron un atraco digital para ver qué tan bien funcionan estos dos sistemas de seguridad trabajando juntos contra un atacante. Utilizaron datos del mundo real de dos "vecindarios" diferentes (conjuntos de datos llamados Bodmas y Androzoo) que contienen miles de muestras de software. La víctima (el dueño del club) tenía dos herramientas principales: un Clasificador de Malware (el portero principal) y un Detector de Deriva (el vigilante de lo extraño). El objetivo del atacante era simple pero truculento: hacer que un malware parezca una aplicación inofensiva para el portero, y asegurarse de que no parezca "demasiado extraño" para que el vigilante de lo extraño lo marque.

El atacante tenía algunas reglas que seguir, tal como un criminal real tratando de no ser detectado. No podía romper la funcionalidad del malware (la aplicación aún tenía que funcionar) ni cambiar su formato de archivo. Solo podía ajustar ciertas características, como añadir espacio extra o cambiar algunos números, pero no podía eliminar cosas que hicieran que el archivo funcionara. También carecía de acceso total a las cámaras de seguridad del club; solo conocía al 10% de los invitados y tenía que construir sus propios modelos "subrogados" (sistemas de seguridad falsos) para practicar sus trucos antes de probarlos en el real.

Los resultados sorprendentes

Los investigadores probaron dos tipos principales de ataques: Evasión (hacer que un malware disfrazado pase junto a los guardias) y Envenenamiento (colar invitados falsos como "buenos" en la lista de entrenamiento para que los guardias aprendan lecciones erróneas).

La sorpresa de la evasión:
Cuando los investigadores intentaron colar malware ante el sistema añadiendo pequeñas "perturbaciones" (cambios diminutos) a los archivos, descubrieron algo contraintuitivo. Usualmente, en el mundo de la IA, los cambios más grandes facilitan el engaño a un clasificador. Si cambias un rostro lo suficiente, la IA deja de reconocerlo. Pero aquí, el Detector de Deriva actuó como un portero estricto que odia cualquier cambio.

Cuando los atacantes hicieron que el malware pareciera demasiado diferente para engañar al portero principal, el Detector de Deriva se puso sospechoso. Vio estos archivos fuertemente modificados como "fuera de distribución", lo que significa que no se parecían en nada a la multitud normal. El Detector de Deriva los marcó como extraños, y el guardia humano los atrapó. El artículo encontró que para los sistemas que utilizan un tipo específico de Detector de Deriva llamado CADE (que utiliza un autoencoder contrastivo), hacer la perturbación más grande en realidad perjudicaba el ataque. Cuanto más grande era el disfraz, más probable era que el Detector de Deriva lo detectara. Los atacantes tenían que ser increíblemente precisos, encontrando un "punto dulce" donde el malware pareciera lo suficientemente normal para el Detector de Deriva pero aun así engañara al clasificador principal.

La paradoja del envenenamiento:
El ataque de envenenamiento fue aún más interesante. El atacante intentó colar malware con "puertas traseras" disfrazado de aplicaciones inofensivas. La idea era que, si el dueño del club volvía a entrenar su sistema de seguridad usando estos invitados falsos, el nuevo sistema dejaría entrar al malware real más tarde.

Sin embargo, los investigadores descubrieron que añadir más invitados envenenados no siempre ayudaba. De hecho, para el Detector de Deriva basado en CADE, añadir demasiadas muestras envenenadas hacía que el ataque fallara. ¿Por qué? Porque el "mapa" interno (espacio de incrustación o embedding space) del Detector de Deriva tiene un espacio limitado. Cuando se intentaba meter demasiadas muestras envenenadas en el área de "buenos invitados", el sistema se confundía. Para dar sentido a todas estas nuevas y ligeramente diferentes muestras, el Detector de Derifa comenzó a empujarlas lejos del centro de la multitud de "buenos invitados" para mantenerlas organizadas. Esto hizo que las muestras envenenadas volvieran a parecer extrañas, causando que el Detector de Deriva las marcara. El artículo sugiere que cuanto más intentas meter en el sistema, más el sistema empuja lo malo hacia afuera.

Lo que esto significa para el futuro

El artículo concluye que atacar un sistema con un clasificador y un detector de deriva es un delicado juego de equilibrio. No se trata solo de hacer que el malware parezca un buen tipo; se trata de asegurar que no parezca demasiado diferente de la multitud.

Los investigadores encontraron que el tipo de Detector de Deriva importa mucho. Los sistemas como Transcendent (que utiliza un método diferente basado en la confianza estadística) eran más fáciles de engañar con cambios grandes que CADE. Pero para CADE, los atacantes tenían que ser muy cuidadosos. Si empujaban el malware demasiado hacia el lado "benigno", este se alejaba demasiado del "centro" de la multitud benigna y era atrapado.

En última instancia, el artículo muestra que, aunque los atacantes pueden ser muy astutos, la forma única en que funcionan estos Detectores de Deriva crea un nuevo tipo de defensa. El mismo mecanismo que ayuda al sistema a adaptarse a nuevas amenazas (al notar cuando las cosas se ven diferentes) también hace que sea más difícil para los atacantes esconderse a plena vista. El estudio sugiere que para romper esta defensa, un atacante necesitaría elegir sus herramientas (modelos subrogados) y sus trucos (funciones de pérdida) con extrema precisión, alineándose perfectamente con la forma en que el Detector de Deriva ve el mundo. Es un juego del gato y el ratón donde el ratón tiene que ser lo suficientemente raro para ser invisible, pero no tanto como para ser atrapado.

Resumen Técnico: Análisis Empírico de Evasión y Envenenamiento contra la Detección de Deriva de Datos en Malware

Declaración del Problema

Los clasificadores de malware basados en aprendizaje automático (ML) enfrentan el desafío de la deriva de conceptos (concept drift), donde la evolución del malware y del software benigno provoca que los modelos queden obsoletos. Para mitigar esto, se han desarrollado detectores de deriva de datos (por ejemplo, CADE, Transcendent) para identificar muestras que se desvían de la distribución de los datos de entrenamiento. Estos detectores se utilizan para rechazar muestras potencialmente mal clasificadas o para activar el reentrenamiento.

Si bien los ataques de evasión y envenenamiento contra clasificadores de malware basados en ML están bien estudiados, no está claro cómo funcionan estos ataques cuando un sistema emplea tanto un clasificador de malware como un detector de deriva de datos. El problema central abordado es que los detectores de deriva de datos tienen objetivos, funciones de pérdida y arquitecturas diferentes a las de los clasificadores. Por consiguiente, un ataque exitoso contra un clasificador puede fallar contra un detector de deriva, o viceversa. Este artículo investiga la eficacia de los ataques de evasión y envenenamiento cuando se dirigen al sistema combinado de un clasificador de malware y un detector de deriva de datos.

Metodología

Modelo de Amenaza y Configuración

Sistema Víctima: La víctima utiliza un MLP para la clasificación de malware y ya sea CADE (basado en Autoencoder Contrastivo) o Transcendent (basado en Predicción Conforme) para la detección de la deriva de datos.
Objetivos del Atacante: El atacante busca diseñar muestras de malware que sean:
1. Mal clasificadas como benignas por el clasificador de malware.
2. No seleccionadas como las $k$ muestras con mayor deriva por el detector de deriva de datos (evitando así la inspección humana).
Conocimiento del Atacante: El atacante tiene acceso limitado (10% de los datos de entrenamiento) y construye modelos sustitutos (MLP o CAE) para generar ataques que se transfieran a la víctima.
Restricciones:
- Funcionalidad: Las modificaciones no deben romper la funcionalidad o el formato del archivo del malware.
- Restricciones de Características: Para el conjunto de datos Bodmas, solo 17 de las 2,381 características son modificables. Para Androzoo, se seleccionan características significativas mediante RFE.
- Límites de Perturbación: Las perturbaciones están acotadas para evitar la conspicuousidad.
- Tipo de Envenenamiento: Se asume un envenenamiento de etiqueta limpia (clean-label); el atacante no puede cambiar las etiquetas pero puede inyectar muestras con disparadores de backdoor (perturbaciones universales) derivados de benignware.

Métodos de Ataque

Los autores generan perturbaciones universales utilizando dos funciones de pérdida distintas basadas en modelos sustitutos:

Sustituto MLP: Minimiza la pérdida de entropía cruzada para empujar las muestras de malware a través de la frontera de decisión hacia la clase benigna.
Sustituto CAE: Minimiza el Error Cuadrático Medio (MSE) entre el embedding de la muestra de malware y el centroide benigno en el espacio latente.

Estas perturbaciones se aplican en dos escenarios:

Evasión: Añadir perturbaciones a las muestras de malware en el tiempo de inferencia.
Envenenamiento: Inyectar muestras benignas que contienen el disparador de backdoor en el conjunto de entrenamiento para reentrenar los modelos de la víctima.

Métricas de Evaluación

La métrica principal es la Tasa de Éxito de Ataque Global (ASR $_{overall}$ ), definida como la proporción de muestras de malware que simultáneamente:

Son mal clasificadas como benignas.
Tienen una puntuación de deriva inferior a la $k$ -ésima muestra con mayor deriva (para CADE, basada en puntuaciones OOD; para Transcendent, basada en puntuaciones cred+conf).

Resultados Clave

1. Ataques de Evasión

Clasificación de Malware Únicamente: Las perturbaciones de los sustitutos MLP y CAE evaden eficazmente los clasificadores de malware, con tasas de éxito que aumentan a medida que aumenta la magnitud de la perturbación.
Sistema Combinado (Clasificador + Detector de Deriva):
- CADE: Existe un compromiso contraintuitivo. Si bien las perturbaciones mayores aumentan la evasión contra el clasificador, a menudo disminuyen el ASR general contra el sistema combinado. Las perturbaciones grandes crean características que CADE interpreta como "patrones no vistos", alejándolas del centroide benigno en el espacio de embedding. CADE entonces identifica correctamente estas muestras como muestras con deriva, provocando que sean marcadas para inspección.
- Transcendent: A diferencia de CADE, Transcendent (que utiliza un SVM en el espacio de embedding del CAE) puede lograr ASRs más altas con perturbaciones grandes generadas por sustitutos MLP. Debido a que Transcendent depende de la distancia a la frontera de decisión del SVM en lugar de solo al centroide, las muestras empujadas lejos de la región benigna (pero lejos del centroide) pueden seguir siendo consideradas como "no con deriva".
- Elección del Sustituto: La elección del modelo sustituto importa. Los sustitutos MLP a menudo fallan contra CADE porque optimizan la confianza de la clasificación sin respetar las restricciones geométricas del espacio de embedding del CAE.

2. Ataques de Envenenamiento

Impacto del Volumen de Muestras: Aumentar el número de muestras de envenenamiento no mejora linealmente el éxito del ataque.
Limitaciones de CADE: A medida que se inyectan más muestras de envenenamiento (benignware con disparadores), el modelo CAE tiene dificultades para reconstruirlas con precisión dentro del espacio limitado cerca del centroide benigno. Para minimizar la pérdida de reconstrucción, el CAE aprende a mapear estas muestras con disparadores hacia áreas más alejadas del centroide benigno. En consecuencia, el modelo envenenado comienza a marcar estas muestras como con deriva, reduciendo el ASR general.
Restricciones de Capacidad: Esta degradación es más pronunciada en modelos CADE con espacios de embedding más pequeños o al atacar conjuntos de datos con alta dimensionalidad de características (ej. Androzoo). En estos casos, los ataques de envenenamiento basados en MLP superan a los basados en CAE, ya que las pérdidas basadas en CAE deliberadamente amontonan el centroide benigno, exacerbando el problema de reconstrucción.

Contribuciones Clave

Análisis de Ataque de Doble Objetivo: El artículo evalúa empíricamente los ataques de evasión y envenenamiento contra la combinación de clasificadores de malware y detectores de deriva de datos, señalando que, hasta donde saben los autores, ningún trabajo previo había atacado detectores de deriva de datos de malware.
Caracterización del Comportamiento del Detector: Los autores demuestran que los detectores de deriva de datos se comportan de manera fundamentalmente diferente de los clasificadores bajo ataque. Específicamente, muestran que las perturbaciones efectivas para la clasificación (magnitud grande) pueden ser perjudiciales para la evasión de la deriva debido a las propiedades geométricas de los espacios de embedding (ej. centroides de CAE).
Dinámicas de Envenenamiento: El estudio revela que en escenarios de envenenamiento de etiqueta limpia que involucran detectores de deriva basados en CAE, aumentar el volumen de datos envenenados puede, inadvertidamente, fortalecer la capacidad del detector para marcar el ataque, debido a las restricciones de reconstrucción de los autoencoders.

Significancia y Reivindicaciones

El artículo afirma que las características únicas de los detectores de deriva de datos —específicamente su dependencia de la geometría del espacio de embedding y las pérdidas de reconstrucción— crean una interacción compleja con las perturbaciones adversarias.

Para los Atacantes: El éxito requiere una calibración cuidadosa. Simplemente maximizar el tamaño de la perturbación para engañar a un clasificador puede activar el detector de deriva. Los atacantes deben alinear sus modelos sustitutos y sus funciones de pérdida con la arquitectura específica del detector de deriva (por ejemplo, evitando los sustitutos CAE para detectores basados en CAE si el espacio de embedding está congestionado).
Para los Defensores: Los hallazgos sugieren que los detectores de deriva de datos proporcionan una segunda capa de defensa robusta. Pueden detectar muestras maliciosas que logran evadir el clasificador primario, particularmente cuando esas muestras exhiben características "fuera de la distribución" causadas por perturbaciones adversarias agresivas. Sin embargo, la efectividad depende de la arquitectura y la capacidad del detector.

Los autores concluyen que, si bien se pueden lograr altas tasas de éxito de ataque contra los clasificadores, la presencia de un detector de deriva de datos altera significamente el panorama de ataque, reduciendo a menudo la tasa de éxito general de los intentos de evasión y envenenamiento.