Adversarial Attacks on Artificial Intelligence Models: Defence Strategies, Datasets, Evaluation Metrics, and Future Research Directions

En el mundo digital moderno, los bancos, los hospitales y las redes eléctricas dependen en gran medida de la inteligencia artificial para dar sentido a vastas cantidades de datos. Estos sistemas, construidos sobre el aprendizaje automático y el aprendizaje profundo, actúan como centinelas incansables. Escanean el tráfico de red para detectar intrusos, analizan archivos para encontrar malware oculto y verifican identidades para mantener fuera a usuarios no autorizados. Durante años, estas herramientas han sido celebradas por su capacidad para aprender patrones complejos y adaptarse a nuevas amenazas, alcanzando a menudo el noventa y cinco por ciento de los peligros en condiciones normales. Sin embargo, ha surgido una vulnerabilidad oculta. Así como un humano puede ser engañado por una ilusión ingeniosa, estos sistemas inteligentes pueden ser confundidos por entradas que parecen casi idénticas a la realidad pero que contienen distorsiones diminutas y cuidadosamente elaboradas. Estas distorsiones, conocidas como ataques adversarios, están diseñadas para confundir la lógica de la computadora, causando que clasifique erróneamente un virus peligroso como inofensivo o que otorgue acceso a un impostor. Lo que está en juego es mucho: un solo truco exitoso podría permitir que un hacker robe millones, apague una infraestructura crítica o eluda la seguridad a nivel nacional.

Un equipo de investigadores de universidades de Irak y Malasia ha realizado un examen exhaustivo de esta creciente amenaza. No se limitaron a estudiar un tipo de ataque o una defensa específica; en su lugar, recopilaron y analizaron mil artículos de investigación publicados entre 2017 y 2025 para mapear todo el panorama del problema. Su objetivo era comprender cómo funcionan estos ataques, qué tan bien resisten las defensas actuales y dónde permanecen las brechas. Al clasificar esta enorme cantidad de literatura, identificaron doce nuevos tipos de ataques adversarios que no habían sido agrupados previamente en un solo marco de trabajo. Descubrieron que los atacantes pueden operar con diferentes niveles de conocimiento: algunos conocen todo el funcionamiento interno del sistema que están atacando, mientras que otros solo ven el resultado final, y algunos se encuentran en un punto intermedio. Los investigadores también descubrieron que los ataques pueden ocurrir en diferentes etapas, ya sea envenenando los datos mientras el sistema está aprendiendo o introduciendo entradas trucadas después de que el sistema ya está en funcionamiento.

El estudio revela una realidad cruda sobre el estado actual de la seguridad. Si bien los investigadores han desarrollado muchas formas de detectar y bloquear estos trucos, las defensas suelen estar desequilibradas. Los autores encontraron que casi el setenta por ciento de la investigación existente se centra en detectar el ataque después de que ha ocurrido, mientras que solo alrededor del veintitrés por ciento se centra en hacer que los modelos sean más fuertes durante su fase de entrenamiento. Este desequilibrio deja a los sistemas vulnerables porque los atacantes pueden explotar las debilidades en la forma en que se construyó el modelo en primer lugar. Además, el equipo destacó una desconexión significativa entre los experimentos de laboratorio y la aplicación en el mundo real. En entornos controlados, las defensas pueden parecer perfectas, pero cuando se trasladan al entorno desordenado e impredecible del mundo real, su tasa de éxito puede caer hasta un sesenta por ciento. Esta caída ocurre porque los sistemas del mundo real enfrentan desafíos como la potencia de cómputo limitada, la necesidad de decisiones instantáneas y la pura variedad de métodos de ataque que evolucionan constantemente.

Para abordar estos problemas, los investigadores propusieron un nuevo marco de tres niveles para organizar cómo pensamos sobre estos ataques y defensas. Esta estructura ayuda a los expertos en seguridad a categorizar las amenazas basándose en lo que el atacante sabe, lo que quiere lograr y cómo altera los datos. También revisaron las herramientas y los conjuntos de datos utilizados para probar estos sistemas, señalando que, si bien existen muchas pruebas estándar, no hay un estándar único y acordado para medir el éxito en todos los diferentes tipos de IA. Esta falta de estandarización dificulta que las organizaciones elijan la protección adecuada para sus necesidades específicas. El artículo sugiere que el progreso futuro dependerá de la combinación de diferentes estrategias, como el uso de blockchain para asegurar el intercambio de datos, la integración de la inteligencia artificial con sistemas de soporte de decisiones para ayudar a los humanos a tomar mejores decisiones, y el desarrollo de defensas que funcionen eficientemente en dispositivos pequeños de borde, como sensores y cámaras.

En última instancia, este estudio sirve como una guía crucial para la próxima generación de la ciberseguridad. Confirma que, si bien la inteligencia artificial ha revolucionado la forma en que protegemos nuestra infraestructura digital, también ha introducido un nuevo tipo de vulnerabilidad que requiere una vigilancia constante. Los investigadores enfatizan que no existe una única solución mágica para detener estos ataques. En su lugar, la construcción de sistemas seguros requerirá un enfoque de múltiples capas que combine mejores métodos de entrenamiento, detección en tiempo real y un esfuerzo global para crear reglas estándar para probar y validar estas tecnologías. A medida que la tecnología continúe avanzando, la carrera entre quienes construyen las defensas y aquellos que intentan romperlas se intensificará, haciendo que el trabajo de comprender y categorizar estas amenazas sea más importante que nunca.