💻 computer science

Algebraic Cryptanalytic Extraction on Hard-Label Neural Networks

Este artículo propone un marco algebraico utilizando un método de Vector de Firma Aproximada (ASV) para superar los cuellos de botella computacionales de los ataques de extracción de modelos de etiqueta dura existentes, logrando una recuperación de parámetros eficiente tanto para Redes Neuronales Convolucionales de Totalmente Conectadas como de max-pooling al reemplazar el complejo agrupamiento basado en SVD con operaciones simples de producto interno.

Autores originales: Zirui Chen, Shi Tang, Zhengchao Gao, Yongjia Su, Lingyue Qin, Xiaoyang Dong

Publicado 2026-08-07

📖 8 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Zirui Chen, Shi Tang, Zhengchao Gao, Yongjia Su, Lingyue Qin, Xiaoyang Dong

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que estás intentando robar la receta secreta de un pastel de fama mundial, pero el panadero se niega a dejarte probar la masa o ver la lista de ingredientes. Todo lo que puedes hacer es entregarle al panadero un ingrediente al azar, preguntar "¿Es esto un pastel?" y recibir un simple "Sí" o "No". Este es el desafío de los ataques de "etiqueta dura" (hard-label) en el mundo de la Inteligencia Artificial. En este rincón de la informática, los investigadores intentan realizar ingeniería inversa a la matemática oculta (los pesos y sesgos) dentro de una red neuronal de "caja negra" observando solo sus decisiones finales de sí o no. Durante años, esto fue como intentar resolver un rompecabezas gigante en la oscuridad; aunque existían algunos trucos ingeniosos para encontrar las piezas, organizarlas en la imagen correcta era tan lento y computacionalmente pesado que parecía imposible de realizar en la vida real. El problema no era que la matemática estuviera mal, sino que el método para organizar las pistas estaba atrapado en un embotellamiento de cálculos.

Este artículo presenta una nueva y astuta forma de atravesar ese embotellamiento. Los autores, Zirui Chen y su equipo, se dieron cuenta de que el método antiguo era como intentar comparar cada pieza del rompecabezas con todas las demás una por una usando una calculadora supercompleja. En su lugar, propusieron un atajo llamado "Vector de Firma Aproximada" (ASV, por sus siglas en inglés). Piensa en esto como darse cuenta de que, si dos piezas de un rompecabezas pertenecen a la misma sección del cielo, ambas serán azules. No necesitas una supercomputadora para comprobarlo; solo necesitas un vistazo rápido para ver si son del mismo tono. Al usar este "vistazo" (una operación matemática simple llamada producto interno) en lugar de la pesada calculadora, convirtieron una tarea que tomaba miles de horas en una que toma minutos. También descubrieron cómo aplicar este truco a un tipo específico de arquitectura de IA llamada Red Neuronal Convolucional (CNN) que utiliza "max pooling", una característica que anteriormente había sido un callejón sin salida para este tipo de ataques.

La Gran Idea: Del Trabajo Pesado a un Vistazo Rápido

La historia comienza con un famoso ataque desarrollado por Carlini y sus colegas en 2025. Ellos demostraron que, incluso si solo obtienes respuestas de "Sí/No" de una red neuronal, aún puedes averiguar sus pesos secretos. Lo hicieron encontrando puntos especiales en los datos llamados "puntos duales". Imagina estos puntos duales como los lugares exactos donde la decisión de la IA cambia de "Gato" a "Perro". Al recolectar miles de estos puntos de cambio, los atacantes podían reconstruir matemáticamente el cerebro de la IA.

Sin embargo, había un cuello de botella masivo. Una vez que tienes un montón de miles de estos puntos de cambio, tienes que clasificarlos. Necesitas averiguar qué puntos pertenecen a la misma "neurona" (el mismo pequeño tomador de decisiones dentro de la IA) y cuáles pertenecen a diferentes neuronas. El método antiguo, utilizado por el equipo de Carlini, era como intentar clasificar un millón de calcetines comparando cada calcetín con cada uno de los demás usando un escáner de alta tecnología. Funcionaba en teoría, pero en la práctica, era agonizantemente lento. Si tenías 2,000 puntos, la computadora tenía que realizar miles de millones de cálculos pesados, tomando semanas o incluso meses para terminar el trabajo. Los autores de este artículo notaron que, si bien la teoría era sólida, la implementación práctica estaba estancada en un "cuello de botella computacional" que la hacía inútica para ataques del mundo real.

El Atajo Mágico: El Vector de Firma Aproximada

El avance de los autores fue cambiar la perspectiva de un rompecabezas geométrico a uno algebraico. Notaron dos cosas geniales sobre cómo se construyen estos cerebros de IA:

Aleatoriedad de alta dimensión: En el vasto espacio multidimensional donde viven estas IA, las direcciones aleatorias tienden a ser casi perfectamente perpendiculares entre sí (como los ejes x, y, z).
Características desenredadas: Las IA del mundo real son entrenadas para aprender cosas diferentes con diferentes neuronas. Una neurona puede aprender a detectar orejas, otra colas. Debido a que aprenden cosas diferentes, sus "pesos" internos (la matemática que las define) son naturalmente no correlacionados, casi como si apuntaran en direcciones diferentes y únicas.

Usando estas observaciones, el equipo inventó el Vector de Firma Aproximada (ASV). En lugar de realizar la comparación pesada y lenta para cada par de puntos, calculan una "firma" rápida para cada punto. Si dos puntos tienen firmas que apuntan casi en la misma dirección (o exactamente en la dirección opuesta), casi con seguridad pertenecen a la misma neurona.

Es como tener una bolsa de canicas donde necesitas clasificarlas por color. La forma antigua era pesar cada canica contra todas las demás para ver si tenían la misma densidad. La nueva forma es simplemente mirar el color. Si dos canicas son de un rojo brillante, las pones en el mismo montón. No necesitas una báscula; solo necesitas tus ojos. En términos matemáticos, este "mirar" es una simple multiplicación de vectores (un producto interno), que es increíblemente rápido comparado con la antigua "báscula" (Descomposición en Valores Singulares o SVD).

Los Resultados: Acelerando el Robo

La diferencia en velocidad es asombrosa. Los autores probaron su método en un modelo de IA estándar con 2,000 puntos duales.

La Forma Antigua: Usando el pesado método SVD, el proceso de clasificación tomaría alrededor de 4,348 horas (casi medio año de computación ininterrumpida).
La Nueva Forma: Usando su método ASV, el mismo trabajo tomó solo 211.9 segundos (aproximadamente 3.5 minutos).

Ese es un aumento de velocidad de aproximadamente 212 veces. En un experimento real de extracción de la primera capa de un modelo, el método antiguo tomó 5.03 horas, mientras que su método lo hizo en solo 0.04 horas (unos 2.4 minutos). Para la segunda capa, el método antiguo ni siquiera pudo terminar en una semana, mientras que el nuevo método terminó en 0.74 horas.

Descifrando el Código de las CNN

El artículo no solo aceleró el truco antiguo; también resolvió un nuevo problema. Los investigadores aplicaron su método a Redes Neuronales Convolucionales (CNN) que utilizan "max pooling". El max pooling es una técnica donde la IA mira un pequeño grupo de números y solo conserva el más grande, descartando el resto. Esto crea un desafío único porque muchas neuronas diferentes en la red comparten en realidad el mismo "kernel" (el mismo conjunto de pesos).

Los intentos previos de atacar estas redes eran "centrados en la neurona", lo que significa que intentaban clasificar los puntos según a qué neurona específica pertenecían. Pero debido a la forma en que funciona el max pooling, necesitarías encontrar dos puntos que golpeen exactamente la misma neurona para progresar, lo cual es increíblemente difícil de lograr por puro azar.

Los autores introdujeron un método de "ASV Avanzado" que está "centrado en el kernel". En lugar de preguntar: "¿Estos dos puntos pertenecen a la misma neurona?", preguntaron: "¿Estos dos puntos pertenecen al mismo kernel?". Dado que todas las neuronas en una capa específica comparten el mismo kernel, pueden mezclar y combinar puntos de diferentes neuronas siempre que estén trabajando en el mismo patrón subyacente. Esto les permitió extraer con éxito los pesos de un modelo LeNet-5 (una IA clásica de reconocimiento de imágenes) utilizando únicamente entradas de etiqueta dura, una hazaña que había sido un "problema abierto" hasta ahora.

Lo Que Esto Significa

El artículo demuestra que, al cambiar la lente matemática a través de la cual vemos estos ataques, podemos convertir una tarea que era prácticamente imposible en un cálculo rutinario. Los autores demuestran que el paso de "agrupamiento" (clustering), que era el principal cuello de botella, puede resolverse de manera eficiente sin sacrificar la precisión. Verificaron sus resultados mediante simulaciones y experimentos en modelos estándar, mostrando que el "Vector de Firma Aproximada" es un proxy confiable para los pesos reales.

Aunque el artículo no afirma haber roto toda la seguridad de la IA, demuestra que el entorno de "etiqueta dura" es mucho más vulnerable de lo que se pensaba anteriormente, siempre que se cuente con las herramientas algebraicas adecuadas. Los autores sugieren que su método podría ser utilizado por terceros para optimizar estos ataques, cerrando efectivamente la brecha entre la posibilidad teórica y la realidad práctica. En el mundo de la seguridad de la IA, saber que una interfaz de "Sí/No" puede ser sometida a ingeniería inversa en minutos en lugar de semanas es una advertencia significativa de que las defensas de los modelos de caja negra deben ser mucho más fuertes.

Resumen Técnico: Extracción de Criptoanálisis Algebraico en Redes Neuronales de Etiqueta Dura (Hard-Label)

Planteamiento del Problema
El artículo aborda el desafío de extraer los parámetros del modelo (pesos y sesgos) de las Redes Neuronales Profundas (DNN) que operan en un entorno de "etiqueta dura" (hard-label). En este escenario, un atacante solo tiene acceso a las etiquetas de clasificación finales (por ejemplo, "gato" o "perro") en lugar de a las salidas de los logits sin procesar. Si bien Carlini et al. (EUROCRYPT 2025) demostraron un ataque de tiempo polinómico para Redes Neuronales Totalmente Conectadas (FCNN) de etiqueta dura mediante el análisis de las geometrías de las fronteras de decisión, su enfoque sufre de un cuello de botella computacional severo. Específicamente, la fase de "recuperación de la firma" requiere agrupar puntos duales para identificar grupos consistentes que correspondan a la misma neurona. El método de Carlini et al. se basa en la Descomposición en Valores Singulares (SVD) para verificar la consistencia del rango de pares de puntos, lo que resulta en una complejidad temporal de $O(n^2 \cdot (d(k))^3)$ , donde $n$ es el número de puntos duales y $d(k)$ es el ancho de la capa. Esta complejidad hace que el ataque sea impracticable para redes profundas o conjuntos de datos grandes, como señalaron los autores del trabajo original como una barrera para una implementación de caja negra totalmente optimizada. Además, antes de este trabajo, no existía un método de extracción de tiempo polinómico para Redes Neuronales Convolucionales (CNN) que utilizara max-pooling, ya que los ataques existentes requerían consultas de salida cruda o estaban limitados a arquitecturas de average-pooling.

Metodología
Los autores proponen transformar la visión geométrica del ataque de Carlini et et al. en un marco algebraico, introduciendo un nuevo método de Vector de Firma Aproximado (ASV). El núcleo de su enfoque se basa en dos observaciones clave:

Ortogonalidad de Alta Dimensión: En espacios de alta dimensión, los vectores aleatorios independientes tienden a ser casi ortogonales.
Desentrelazamiento de Características: En las DNN prácticas, las distintas neuronas aprenden a extraer características divergentes, lo que hace que sus vectores de pesos sean efectivamente no correlacionados o independientes.

Basándose en estas observaciones, los autores definen el ASV ( $\vec{v}$ ) para un punto dual. El ASV se construye a partir de los vectores normales unitarios de los parches de frontera de decisión adyacentes ( $\vec{n}_l$ y $\vec{n}_r$ ) que rodean un hiperplano crítico. Teóricamente, el ASV se alinea estrechamente con el verdadero vector de pesos ( $\vec{w}$ ) de la neurona objetivo (o la diferencia entre los pesos para los puntos de cambio de pooling), con una distancia de coseno que tiende a cero.

La metodología procede en tres etapas principales:

Extracción del ASV: Para cada punto dual recolectado, el atacante calcula el ASV utilizando operaciones simples de producto interno en lugar de SVD.
Agrupamiento (Clustering): En lugar de realizar verificaciones de rango mediante SVD, el algoritmo agrupa los puntos duales comparando la similitud de coseno (o la distancia direccional) de sus ASV. Si dos puntos pertenecen a la misma neurona, sus ASV serán casi colineales (direcciones idénticas u opuestas). Esto reduce la complejidad de la comparación por pares de $O((d(k))^3)$ a $O(d(k))$ .
Recuperación Centrada en el Kernel para CNN: Para las CNN con max-pooling, los autores introducen un método de "ASV Avanzado". A diferencia de los enfoques previos "centrados en la neurona" que requieren múltiples puntos duales para la misma neurona para resolver sistemas lineales, este método aprovecha la propiedad de compartición de pesos (weight sharing) de las convoluciones. Agrupa los puntos duales basándose en el kernel convolucional al que corresponden (centrado en el kernel), lo que permite la recuperación del peso único del kernel a partir de un conjunto diverso de puntos duales (incluyendo diferentes neuronas dentro de la misma capa) que comparten el mismo kernel.

Contribuciones Clave

Reformulación Algebraica de Ataques de Etiqueta Dura: El artículo convierte el análisis de la frontera de decisión geométrica en un marco algebraico, reemplazando la costosa verificación de rango basada en SVD por operaciones eficientes de producto interno.
Método del Vector de Firma Aproximado (ASV): Una nueva técnica de agrupamiento que aprovecha la casi-ortogonalidad de los vectores de alta dimensión. Esto reduce la complejidad de tiempo promedio del agrupamiento de $O(n^2 \cdot (d(k))^3)$ a $O(n \cdot (d(k))^2)$ , desplazando el costo dominante hacia la extracción inicial del ASV en lugar de las comparaciones por pares.
Primer Ataque de Etiqueta Dura en CNN con Max-Pooling: El artículo presenta el primer ataque de extracción de modelo contra CNN de etiqueta dura con max-pooling. Introduce un esquema de agrupamiento "centrado en el kernel" que supera la ineficiencia de los métodos centrados en la neurona en las CNN, reduciendo significativamente el número de puntos duales necesarios para recuperar los kernels convolucionales.
Eficiencia Práctica: Los métodos propuestos reducen drásticamente el tiempo de ejecución. En los experimentos, el método ASV redujo el tiempo de agrupamiento por un factor de aproximadamente $2^{12}$ en comparación con el enfoque basado en SVD.

Resultados Experimentales
Los autores evaluaron su método en dos arquitecturas:

FCNN (64-64×4-10):
- Capa 1: El tiempo de extracción se redujo de 5.03 horas (método SVD de Carlini et al.) a 0.04 horas (método ASV), una reducción del 99.2%.
- Capa 2: El método ASV completó la extracción en 0.74 horas, mientras que el método SVD no logró producir un resultado en una semana (estimado en ~4,375 horas).
- Precisión: Los modelos extraídos lograron una equivalencia funcional $(\epsilon, 0)$ con errores comparables o mejores que la línea base.
CNN (LeNet-5 con Max Pooling):
- El método ASV Avanzado recuperó con éxito los bloques convolucionales de un modelo LeNet-5 en el entorno de etiqueta dura.
- Comparado con el método "ASV Simple" (centrado en la neurona), el método "ASV Avanzado" (centrado en el kernel) mejoró significativamente la utilización de los puntos duales recolectados. Para la segunda capa, el ASV Simple requirió 6,000 puntos duales para encontrar pares válidos, mientras que el ASV Avanzado logró lo mismo con solo 1,000 puntos.
- El ataque superó a trabajos previos que requerían consultas de salida cruda (Chen et al.) o que estaban limitados al average pooling (Sun et al.).

Significancia y Reivindicaciones
El artículo afirma resolver un cuello de botella computacional crítico en el criptoanálisis algebraico de redes neuronales, haciendo factible la extracción de modelos de etiqueta dura para arquitecturas más profundas y complejas. Al transformar el problema en un marco algebraico y aprovechar las propiedades estadísticas de los vectores de alta dimensión, los autores proporcionan una solución escalable que anteriormente se consideraba impracticable debido a las restricciones de tiempo de ejecución. Crucialmente, el ataque opera enteramente dentro de un entorno de caja negra: el atacante posee conocimiento total de la arquitectura de la red pero no tiene acceso a los pesos internos, sesgos o gradientes. Para mejorar la eficiencia durante las fases de descubrimiento de puntos duales y recuperación de pesos, los autores emplean computación simbólica para derivar gradientes en las fronteras de decisión basadas en la arquitectura conocida, en lugar de consultar el modelo para obtener valores de gradiente internos o acceder a sus parámetros. Este enfoque se adhiere estrictamente al modelo adversarial de etiqueta dura, donde solo las etiquetas de clasificación son observables. El trabajo llena un vacío específico en la literatura al permitir la primera extracción de etiqueta dura de CNN con max-pooling, extendiendo el alcance de los ataques algebraicos más allá de las FCNN y las CNN con average-pooling. Los autores enfatizan que, aunque su método es altamente eficiente, depende de la suposición de que las neuronas en las DNN prácticas aprenden características desentrelazadas, una propiedad que verifican empíricamente.

La Gran Idea: Del Trabajo Pesado a un Vistazo Rápido

El Atajo Mágico: El Vector de Firma Aproximada

Los Resultados: Acelerando el Robo

Descifrando el Código de las CNN

Lo Que Esto Significa

Más como este