Multi-Task Consistency-based Detection of Adversarial Attacks

Imagina que estás conduciendo un coche que ve el mundo a través de una cámara, no solo con ojos. Este coche utiliza un tipo especial de cerebro informático llamado Red Neuronal Profunda (DNN, por sus siglas en inglés) para comprender lo que ve. Necesita detectar semáforos, leer señales y encontrar otros coches para conducir de forma segura. Pero aquí está la parte difícil: estos cerebros informáticos pueden ser engañados. Si alguien añade una pequeña y casi invisible mota de "ruido" a una imagen —como desplazar unos pocos píxeles de una manera muy específica— el ordenador podría pensar que una señal de alto es una señal de límite de velocidad, o podría no ver a un peatón en absoluto. Esto se llama un "ataque adversarial", y es como el juego de manos de un mago para los ordenadores. Debido a que estos trucos pueden ocurrir tan fácilmente, los ingenieros están desesperados por construir un sistema de seguridad que pueda detectar cuándo alguien está intentando engañar al cerebro del coche antes de que cometa un error peligroso.

Este artículo presenta un nuevo guardia de seguridad muy ingenioso para esos coches autónomos. En lugar de intentar que el cerebro informático sea inquebrantable (lo cual es difícil y costoso), los autores sugieren utilizar un enfoque de "trabajo en equipo". Notaron que si le pides a dos modelos informáticos diferentes que miren la misma imagen —uno entrenado para dibujar cajas alrededor de objetos (Detección de Objetos) y otro entrenado para pintar la forma exacta de esos objetos (Segmentación de Instancias)—, generalmente coinciden perfectamente. Pero cuando un atacante astuto intenta engañarlos con un truco, los dos modelos empiezan a discutir. Uno puede ver un coche, mientras que el otro no ve nada, o no se ponen de acuerdo sobre dónde está el coche. Los autores construyeron un sistema que escucha esta discusión. Si los dos modelos discrepan demasiado, el sistema grita: "¡Oye, esta imagen ha sido manipulada!" y detiene el coche para que no utilice esos datos erróneos.

Los investigadores probaron esta idea utilizando un conjunto masivo de datos de escenas de conducción llamado BDD100k. Crearon miles de imágenes trucadas y "envenenadas" utilizando un método de ataque potente llamado PGD (Descenso de Gradiente Proyectado) y observaron cómo reaccionaba su nuevo sistema. Descubrieron que su "detector de desacuerdos" era increíblemente bueno en su trabajo. Cuando enfrentaron a su sistema contra los atacantes, identificó las imágenes trucadas con éxito el 99.9% de las veces. Esta es una puntuación enorme, lo que significa que el sistema casi nunca es engañado.

Lo que hace que esto sea aún más interesante es cómo descubrieron qué modelos funcionan mejor juntos. Probaron muchas combinaciones diferentes, como emparejar un modelo con un cerebro "ResNet50" contra uno con un cerebro "ResNet101". Descubrieron que las mejores parejas son, en realidad, modelos que se parecen mucho por dentro. Suena extraño, ¿verdad? Podrías pensar que dos modelos diferentes serían mejores, pero el artículo muestra que cuando dos modelos similares son atacados, tienden a confundirse de formas distintas, creando una discusión ruidosa y obvia que es fácil de detectar. Si los modelos son demasiado diferentes, podrían simplemente ignorar el ataque o fallar de la misma manera, lo que dificulta saber si algo va mal.

El equipo también intentó superar a su propio detector. Crearon un "atacante adaptativo" súper inteligente que intentaba engañar a ambos modelos al mismo tiempo, mientras los obligaba a estar de acuerdo en la respuesta incorrecta. Incluso con este truco avanzado, el detector siguió funcionando, detectando el ataque el 95% de las veces. Esto sugiere que, aunque los atacantes puedan coordinar sus trucos, las diferencias naturales en la forma en que los modelos procesan la información hacen que sea muy difícil engañar a todo el equipo.

En comparación con otros métodos de seguridad, este enfoque es como un guardia ligero y rápido en lugar de un tanque pesado y lento. Otros métodos suelen requerir el reentrenamiento de todo el cerebro informático o la adición de cantidades masivas de código extra, lo que ralentiza el coche. Los autores compararon su sistema con una defensa famosa llamada "RobustDet". Mientras que RobustDet hacía que el modelo fuera ligeramente más difícil de engañar, era enorme (643 MB) y lento (11 fotogramas por segundo). El nuevo detector, sin embargo, era mucho más pequeño (350 MB) y el doble de rápido (20 fotogramas por segundo), detectando casi todos los ataques.

En resumen, este artículo no pretende haber construido un escudo inquebrantable. En su lugar, ofrece una forma inteligente y eficiente de escuchar las grietas en la armadura. Al observar las inconsistencias entre dos formas diferentes de ver el mundo, el sistema puede detectar cuándo la realidad ha sido alterada digitalmente. Los autores sugieren que este método podría ser una pieza clave del rompecabezas para hacer que los coches autónomos sean más seguros, demostrando que, a veces, la mejor manera de atrapar a un mentiroso es hacer que hable con alguien más.