💻 computer science

Deadline-Aware Hardening of Real-Time Object Detection Against Candidate-Inflation Latency Attacks

Este artículo propone un mecanismo sin reentrenamiento y seleccionable en el despliegue que limita el número de candidatos que ingresan a la supresión de máximo no excedido a un límite calibrado por tiempo límite, mitigando así los ataques de latencia por inflación de candidatos y asegurando la integridad del tiempo límite en tiempo real a través de diversos hardware y arquitecturas de detectores, al tiempo que revela que la supresión de límites es necesaria pero insuficiente debido a la significativa sobrecarga de decodificación.

Autores originales: Salah Gontara, Selem Trabelsi, Khaled Ben Khalifa

Publicado 2026-09-17

📖 7 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Salah Gontara, Selem Trabelsi, Khaled Ben Khalifa

Artículo original bajo licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

En el mundo de los vehículos autónomos y las cámaras de seguridad, ver no es suficiente; ver a tiempo lo es todo. Un sistema de visión artificial diseñado para detectar peatones o señales de tráfico debe hacer más que simplemente identificarlos correctamente. Debe entregar esa identificación antes de que llegue el siguiente momento. Si un coche que viaja a velocidades de autopista recibe una advertencia sobre un peligro una fracción de segundo demasiado tarde, el resultado no es meramente una respuesta más lenta, sino una potencial catástrofe. Este requisito crea un plazo estricto para cada imagen que procesa el sistema. Si la computadora tarda demasiado en terminar su trabajo en una foto, la secuencia de procesamiento se retrasa y el resultado se vuelve obsoleto, describiendo una escena que ya ha pasado.

Durante años, los investigadores se han centrado en hacer que estos sistemas sean más rápidos y precisos, midiendo a menudo el éxito mediante la velocidad promedio. Sin embargo, en un sistema en tiempo real, el promedio puede ser engañoso. Un sistema puede ser increíblemente rápido la mayor parte del tiempo, pero ocasionalmente congelarse durante una larga duración. En una aplicación crítica para la seguridad, ese único momento de lentitud es un fallo. Además, estos sistemas no solo son vulnerables a fallos aleatorios; pueden ser el objetivo de atacantes que no intentan engañar a la computadora para que vea el objeto equivocado, sino para que trabaje tanto que se quede sin tiempo. Este artículo explora un tipo específico de ataque donde un adversario altera sutilmente una imagen para obligar a la computadora a generar un número abrumador de detecciones potenciales, causando que pierda su plazo de entrega. Los investigadores proponen entonces una forma simple y práctica de detener esto sin necesidad de reentrenar el cerebro de la computadora.

El núcleo del problema reside en cómo funcionan estos detectores. Cuando una cámara captura una imagen, el software la escanea y produce una lista masiva de objetos potenciales, cada uno con un puntaje de confianza. Para convertir esta lista caótica en un conjunto limpio de detecciones finales, el sistema utiliza un proceso llamado supresión de no máxima (non-maximum suppression). Imagine una habitación llena de gente donde muchas personas gritan el mismo nombre; este proceso filtra los duplicados y mantiene solo las voces más fuertes y seguras. En condiciones normales, este filtrado es rápido. Sin embargo, un atacante puede diseñar una imagen que engañe al sistema para que genere decenas de miles de objetos potenciales en lugar de unas pocas docenas. El proceso de filtrado tiene entonces que comparar cada uno de estos miles de candidatos contra todos los demás. Esto crea una explosión computacional. Cuantos más candidatos obligue el atacante a considerar el sistema, más tardará el filtrado, causando eventualmente que el sistema pierza su plazo y falle al entregar un resultado a tiempo.

Los investigadores probaron esta amenaza en un sistema de detección de objetos en tiempo real que se ejecuta en hardware potente, diseñado específicamente para manejar transmisiones de video a treinta fotogramas por segundo. Descubrieron que un sistema estándar, sin modificar, podía ser abrumado fácilmente. Cuando alimentaron el sistema con imágenes diseñadas para provocar esta sobrecarga, el tiempo que tomó filtrar los candidatos saltó de una fracción de milisegundo a cientos de milisegundos. Incluso en el hardware más rápido que probaron, el sistema no pudo cumplir el plazo para la etapa de filtrado si el número de candidatos se dejaba sin control. Sin embargo, el estudio confirmó que el simple hecho de usar hardware más rápido o una versión de software más eficiente del proceso de filtrado no era suficiente para resolver el problema por sí solo. Aunque estas mejoras hicieron al sistema más rápido, no impidieron que el atacante controlara la carga de trabajo. El atacante aún podía obligar al sistema a realizar tanto trabajo que incluso la máquina más rápida tropezaría si no se colocaba un límite en la entrada.

Para resolver esto, los investigadores introdujeron un límite estricto en el número de candidatos permitidos para entrar en la etapa de filtrado. En lugar de dejar que el sistema procese cada objeto potencial que la imagen genera, limitaron el número a un nivel específico y manejable. Si el sistema producía más candidatos de este límite, simplemente seleccionaba los más prometedores y descartaba el resto antes de que comenzara el filtrado pesado. Este enfoque actúa como una válvula de seguridad, asegurando que la cantidad de trabajo que el sistema debe realizar nunca exceda un máximo conocido y seguro. Los investigadores midieron cuidadosamente el costo de esta medida de seguridad. Encontraron que, al limitar los candidatos a mil veinticuatro, el sistema podía manejar la etapa de filtrado dentro del plazo para esa etapa específica, reduciendo la latencia a solo 4.03 ms. Sin embargo, el estudio reveló un matiz crítico: incluso con este tope implementado, las solicitudes defendidas seguían perdiendo el plazo final de extremo a extremo. Esto no se debió únicamente al ataque, sino a que otros cuellos de botella, como el tiempo requerido para decodificar la propia imagen, consumieron el presupuesto de tiempo restante. De hecho, los investigadores encontraron que las imágenes limpias sin ningún ataque también perdían el plazo general el 92.7% de las veces cuando se usaban formatos sin pérdida, indicando que el proceso de decodificación era un cuello de botella importante independientemente del ataque. El intercambio por esta protección fue una caída casi imperceptible en la precisión, medida en una fracción minúscula de un porcentaje, lo cual es insignificante para el uso práctico.

El estudio fue más allá para asegurar que esta solución fuera robusta en diferentes escenarios. Probaron el método en dos tipos diferentes de sensores de cámara y con diferentes backends de software, incluyendo aquellos que se ejecutan en computadoras estándar y aquellos que se ejecuden en dispositivos de borde (edge devices) más pequeños y de bajo consumo energético. En cada caso, el límite se mantuvo firme para la etapa de filtrado, evitando que el atacante inflara la carga de trabajo más allá del tope. Incluso cuando el hardware estaba bajo estrés por calor o cuando el sistema se ejecutaba en una placa menos potente, el enfoque con tope evitó que la etapa de filtrado se estancara. Sin embargo, los investigadores enfatizaron que, si bien el tope controló con éxito la etapa de filtrado, no garantizó que todo el flujo de trabajo cumpliera con el plazo. Encontraron que, una vez controlado el filtrado, el siguiente cuello de botella era a menudo el tiempo que tomaba decodificar la imagen misma. Esto significa que, aunque limitar los candidatos es un paso necesario para proteger el sistema de este ataque específico, no es una cura completa; todo el flujo de trabajo debe ser monitoreado para asegurar que se cumpla el plazo.

Los autores argumentan que este método de establecer un límite estricto en la carga de trabajo es un paso crucial para desplegar sistemas de visión en tiempo real en el mundo real. Desplaza el control de la carga de trabajo del atacante de vuelta al administrador del sistema. Al definir un número máximo de candidatos basado en la velocidad del sistema y el plazo requerido, un despliegue puede garantizar que nunca se le obligue a realizar más trabajo del que puede manejar durante la etapa de filtrado. El artículo concluye que, si bien el hardware más rápido y los mejores algoritmos son útiles, no son suficientes por sí solos. Un sistema en tiempo real necesita un límite duro sobre el trabajo que se le pide realizar. Sin tal límite, un atacante siempre puede encontrar una manera de abrumar al sistema. Con él, el sistema permanece confiable en su procesamiento de la etapa de filtrado, entregando sus resultados a tiempo para ese componente específico, incluso cuando el mundo a su alrededor intenta romperlo, aunque el plazo general del sistema dependa de la gestión de todas las demás etapas también.

Resumen Técnico: Endurecimiento Consciente de Plazos para la Detección de Objetos en Tiempo Real contra Ataques de Latencia por Inflación de Candidatos

Declaración del Problema

Los sistemas de detección de objetos en tiempo real se evalúan típicamente basándose en la latencia media o la tasa de fotogramas. Sin embargo, en los procesos de percepción de flujo continuo (streaming), la disponibilidad se define por si una respuesta cumple con un plazo específico (por ejemplo, el periodo del fotograma de la cámara). Un solo incumplimiento de plazo vuelve la salida obsoleta e inútil para el siguiente fotograma.

El artículo aborda los Ataques de Latencia por Inflación de Candidatos, una clase de entradas adversarias diseñadas no para causar una clasificación errónea, sino para maximizar el costo computacional de la etapa de Supresión de No Máximos (NMS). Estos ataques manipulan la imagen de entrada para generar un número excesivo de cajas delimitadoras candidatas que sobreviven al umbral de confianza. Dado que la complejidad de NMS es a menudo cuadrática ( $O(N^2)$ ) respecto al número de candidatos, estos ataques pueden elevar la latencia muy por encima de los límites aceptables, provocando incumplimientos de los plazos.

Las evaluaciones previas sugieren que el hardware realista, las representaciones optimizadas y los backends más rápidos reducen la severidad de estos ataques. Sin embargo, los autores argumentan que la reducción de la severidad no es un límite; la carga de trabajo sigue estando controlada por el atacante. Además, estudios previos suelen omitir el reporte conjunto de la latencia de cola relativa al plazo y la tasa de incumplimiento de plazos (DMR) para una ruta de servicio defendida, ni consideran las dependencias de implementación.

Metodología

Modelo de Sistema y Amenaza

El estudio utiliza un proceso de detección en tiempo real (YOLOv8x-P2) desplegado en una ruta de servicio optimizada para el borde (TensorRT fp16 en GPUs RTX 4090). El modelo de amenaza asume que un adversario perturba una imagen de entrada dentro de un presupuesto $L_\infty$ ( $\epsilon$ ) para maximizar el número de candidatos ( $N_\tau$ ) que sobreviven al umbral de confianza antes de NMS. El ataque es determinista y basado en la complejidad de la entrada, distinto del inundado de peticiones (request flooding).

La evaluación distingue entre tres alcances:

Alcance del Cliente: Latencia de extremo a extremo incluyendo red, encolamiento y serialización.
Alcance del Trabajador (Worker): Tiempo de inferencia y post-procesamiento en el servidor.
Alcance de la Supresión: El tiempo tomado específicamente por el backend de NMS.

Mecanismo de Defensa: Admisión de Candidatos Limitada

La propuesta central es admitir como máximo $K$ candidatos a la etapa de NMS.

Selección: Se aplica una operación estándar de selección Top- $K$ a los candidatos que sobreviven al umbral de confianza.
Calibración: El valor de $K$ no es arbitrario; se calibra contra un plazo declarado ( $D$ ) y una tolerancia de precisión aceptable ( $\delta_A$ ).
Implementación: La selección utiliza una clave lexicográfica (puntuaciones negadas, luego índice) para romper empates, asegurando la estabilidad. Esta operación es $O(N)$ y no añade comparaciones de IoU por pares, efectivamente limitando el término cuadrático de NMS.

Configuración Experimental

Los autores emplean una estrategia de validación rigurosa:

Backends: Reproducen arreglos de candidatos atacados idénticos a través de tres backends de supresión distintos: NumPy (CPU), torchvision (CPU) y torchvision (CUDA).
Corpus: Los experimentos utilizan VisDrone2019-DET (aérea) y BDD100K (conducción).
Métricas: El rendimiento se mide utilizando la latencia del percentil 95 ( $p95$ ) y la Tasa de Incumplimiento de Plazos (DMR).
Controles: El estudio incluye "controles emparejados" donde las imágenes limpias se vuelven a codificar a formatos sin pérdida para aislar el impacto de la representación de la imagen del ataque en sí mismo.

Contribuciones Clave

Evaluación Orientada al Plazo: El artículo puntúa los ataques usando la latencia $p95$ del alcance del cliente y el DMR, manteniendo separados los alcances del cliente, del trabajador y de la supresión para identificar cuellos de botella con precisión.
Caracterización Consciente de la Implementación: Al reproducir datos atacados idénticos a través de tres backends, los autores separan la contribución de la implementación del ataque mismo, demostrando que, aunque los backends más rápidos reducen la latencia, no eliminan la violación del plazo si el recuento de candidatos es ilimitado.
Admisión de Candidatos Limitada: Los autores proponen el uso de la selección Top- $K$ como un límite de admisión de trabajo controlado por el atacante seleccionado para el despliegue. Esta defensa no requiere reentrenamiento ni cambios en los pesos, lo que la hace aplicable a artefactos ya promovidos.
Regla de Selección Calibrada por el Plazo: Se proporciona una regla para seleccionar $K$ basándose en la latencia de cola medida y la tolerancia de precisión, permitiendo que los despliegues con diferentes periodos de fotograma determinen sus propios límites.
Validación de Extremo a Extremo: El estudio valida el artefacto defendido contra un control emparejado, expresando los requisitos como una condición de cumplimiento de plazo para la promoción del modelo.

Resultados

Severidad del Ataque y Dependencia del Backend

Latencia sin Límite: Sin un límite, el ataque causa picos masivos de latencia. En la ruta NumPy desplegada, la latencia $p95$ para NMS salta de 1.16 ms (limpio) a 635.35 ms (atacado). Incluso en el backend más rápido (torchvision CUDA), la latencia alcanza los 49.08 ms, excediendo el plazo de 33.3 ms (30 Hz).
Impacto de la Implementación: El ataque depende fuertmente de la implementación. Los mismos datos atacados producen latencias significativamente diferentes a través de los backends, confirmando que los backends más "rápidos" por sí solos son insuficientes como defensa.

Efectividad del Tope ( $K=1024$ )

Reducción de Latencia: Admitir como máximo $K=1024$ candidatos reduce el $p95$ de NMS atacado a aproximadamente 4.28 ms en todos los backends, muy por debajo del presupuesto de 33.3 ms.
Costo de Precisión: El costo de precisión se mide en lugar de asumirse. Para el detector evaluado, el costo es de 0.00064 AP@[.50:.95] en el conjunto de validación y 0.000188 AP@[.50:.95] en el conjunto de prueba mantenido. Esto contradice las suposiones previas de que tales límites comprometerían significativamente la integridad del modelo.
Generalidad: El límite se mantiene a través de dos geometrías de detector (diferentes conteos de anclas), tres backends y una placa de borde con estrangulamiento térmico (Raspberry Pi 4B).

La Frontera de "Suficiencia"

Un hallazgo crítico es que limitar el trabajo de NMS es necesario pero no suficiente para la integridad del plazo de extremo a extremo.

Incluso con el tope de NMS implementado, las peticiones defendidas aún incumplen el plazo de extremo a extremo (33.3 ms) cuando se sirven a través del proceso completo.
Análisis de Causa Raíz: La instrumentación por etapas revela que el incremento más grande asociado al ataque no está en NMS, sino en la decodificación y representación de la imagen. El ataque obliga al sistema a procesar cargas útiles más grandes y sin pérdida, aumentando el tiempo de decodificación.
Limpio vs. Atacado: Sorprendentemente, las imágenes sin pérdida limpias (sin ningún adversario) también incumplen el plazo en la configuración de proceso probada, lo que indica que el cuello de botella es el formato de entrega y la decodificación, no solo la entrada adversaria.

Significancia y Reivindicaciones

El artículo sostiene que limitar la admisión de candidatos es el único mecanismo que limita explícitamente la cantidad de trabajo que un atacante puede controlar, independientemente de la implementación del backend.

Rechazo de la "Reducción de Severidad" como Defensa: Los autores argumentan que, aunque los despliegues realistas (hardware más rápido, cuantización) atenúan el ataque, no proporcionan un límite estricto. Un atacante aún puede forzar un incumplimiento de plazo si el recuento de candidatos no tiene límite.
Criterio de Promoción: Los autores proponen un nuevo criterio de aceptación para la promoción de modelos (Ec. 7) que incluye evidencia de plazo. Bajo este criterio, el artefacto evaluado no logra ser promovido para un plazo de 30 Hz porque el proceso de extremo a extremo (específicamente la decodificación y representación) no puede cumplir con el plazo, incluso con la defensa de NMS.
Alcance Modesto: El artículo no pretende resolver todos los problemas de latencia en tiempo real. Establece explícitamente que limitar el trabajo de supresión es un paso necesario para la integridad del plazo, pero que la ruta de latencia restante (decodificación, red, encolamiento) también debe ser medida y controlada. La defensa es específica para la etapa de NMS y no protege contra otras formas de ataques de latencia o sobrecargas del sistema.

En conclusión, el artículo establece que, si bien las elecciones de implementación importan, se requiere un límite de admisión de candidatos calibrado por el plazo y seleccionado para el despliegue para acotar el trabajo controlado por el atacante. Sin embargo, lograr garantías de tiempo real de extremo a extremo requiere una visión holística del proceso, ya que el impacto del ataque puede desplazarse a otras etapas (como la decodificación) una vez que NMS se ha endurecido.