Resumen Técnico: Ataque de Subespacio Tangente (TSBA)

Planteamiento del Problema

El artículo aborda el desafío de los ataques adversarios de caja negra basados en decisiones, un escenario donde un atacante solo tiene acceso a la etiqueta predicha final de un modelo objetivo, sin acceso a las puntuaciones de confianza o gradientes. Este entorno es particularmente difícil en espacios de entrada de alta dimensión (por ejemplo, ImageNet) porque la falta de información de gradiente hace que la exploración eficiente del espacio de entrada para encontrar perturbaciones mínimas sea extremadamente difícil.

Los métodos existentes sufren limitaciones fundamentales:

• Boundary Attack: Depende del muestreo aleatorio y el rechazo en alta dimensión, lo que conduce a una baja eficiencia de consultas.
• HopSkipJumpAttack (HSJA): Mejora la eficiencia estimando gradientes mediante muestreo aleatorio, pero introduce una alta varianza y una sobrecarga sustancial de consultas.
• Limitación General: Los enfoques previos a menudo fallan al no explotar explícitamente la estructura geométrica local de la frontera de decisión, lo que conduce a una exploración inestable, expansión radial de las perturbaciones y consultas redundantes.

Metodología: Ataque de Subespacio Tangente (TSBA)

Los autores proponen TSBA, un ataque basado en decisiones que incorpora explícitamente restricciones geométricas para estabilizar el proceso de búsqueda y reducir la varianza de las consultas. La filosofía central es desacoplar la aproximación de la frontera de la exploración de la dirección.

La metodología consta de tres componentes clave:

1. Proyección de Frontera mediante Búsqueda Binaria

En lugar de reducir gradualmente la magnitud de la perturbación mediante caminatas aleatorias, TSBA proyecta explícitamente el punto adversario actual sobre la frontera de decisión.

• Dado un punto adversario $x_{adv}$ y una entrada original $x_o$, el algoritmo define un segmento de línea entre ellos.
• Realiza una búsqueda binaria para encontrar el tamaño de paso más pequeño $\lambda$ tal que el punto $(1-\lambda)x_o + \lambda x_{adv}$ siga siendo clasificado erróneamente.
• Esto produce un punto proyectado $x_b$ que se encuentra precisamente en la frontera de decisión, eliminando los pasos redundantes de reducción de distancia presentes en métodos anteriores.

2. Actualizaciones Restringidas al Espacio Tangente

Para asegurar que las actualizaciones se muevan hacia la imagen original sin aumentar la distancia (expansión radial), TSBA impone una restricción de ortogonalidad.

• En un punto de la frontera $x_b$, la "dirección de origen" se define como $v_k = x_b - x_o$.
• Cualquier perturbación candidata $\delta$ se proyecta sobre el espacio tangente ortogonal a $v_k$:
  $$\delta \leftarrow \delta - \frac{\langle \delta, v_k \rangle}{\|v_k\|^2} v_k$$
• Justificación Teórica: El artículo demuestra (Proposición 1) que bajo esta restricción de ortogonalidad, la distancia a la entrada original $\|x_{b}^{k+1} - x_o\|$ no aumenta tras la proyección. Esto asegura una reducción monótona local de la distorsión.

3. Muestreo de Subespacio de Baja Dimensión

Para abordar la ineficiencia del muestreo en espacios de alta dimensión ($d \gg 1$), TSBA restringe las perturbaciones a un subespacio de baja dimensión.

• Se utiliza una base $U \in \mathbb{R}^{d \times k}$ (donde $k \ll d$).
• Las perturbaciones se muestrean como $\delta = Uz$, donde $z \sim \mathcal{N}(0, I_k)$.
• Este muestreo estructurado aumenta significativamente la probabilidad de encontrar direcciones efectivas en comparación con el muestreo aleatorio de dimensión completa.

Flujo del Algoritmo:

1. Proyectar el ejemplo adversario inicial a la frontera mediante búsqueda binaria.
2. Muestrear una perturbación en un subespacio de baja dimensión.
3. Proyectar la perturbación sobre el espacio tangente (ortogonal a la dirección de origen).
4. Actualizar el punto y volver a proyectar a la frontera mediante búsqueda binaria.
5. Repetir hasta la convergencia o el agotamiento del presupuesto de consultas.

Contribuciones Clave

Los autores resumen sus contribuciones de la siguiente manera:

1. Mecanismo de Proyección de Frontera: Un enfoque eficiente de búsqueda binaria para aproximar la frontera de decisión, eliminando los pasos redundantes inherentes a los métodos de caminata aleatoria previos.
2. Estrategia de Actualización del Espacio Tangente: Una restrición novedosa que impone la ortogonalidad a la dirección de origen, garantizando teóricamente una reducción monótona local en la magnitud de la perturbación.
3. Muestreo de Subespacio Estructurado: La integración del muestreo de subespacio de baja dimensión para mejorar la eficiencia de la exploración y la estabilidad en espacios de alta dimensión.
4. Validación Empírica: Experimentos extensos que demuestran una eficiencia de consulta superior y una distorsión competitiva en comparación con los métodos de vanguardia.

Resultados Experimentales

Los experimentos se realizaron utilizando el conjunto de datos ImageNet con un modelo ResNet-50 preentrenado, comparando TSBA contra Boundary Attack y HopSkipJumpAttack (HSJA).

Eficiencia de Consultas y Tasa de Éxito

• Tasa de Éxito: Bajo un presupuesto de 500 consultas, TSBA logró una tasa de éxito del 46%, superando a HSJA (38%) y Boundary Attack (28%). A 1500 consultas, TSBA alcanzó el 80%, frente al 73% de HSJA y el 61% de Boundary Attack.
• Costo de Consulta: TSBA requirió significativamente menos consultas medianas para tener éxito. Para un presupuesto de 500 consultas, TSBA necesitó una mediana de 150 consultas, mientras que HSJA necesitó 210 y Boundary Attack 340.

Compromiso Consulta-Distorsión (Query-Distortion Trade-off)

• TSBA logró consistentemente una menor distorsión $\ell_2$ en todos los presupuestos de consulta.
• En el régimen de bajas consultas (<1000 consultas), TSBA mostró una ventaja significativa al aproximarse rápidamente a la frontera de decisión con una distorsión mínima.

Evaluación de Robustez

TSBA fue probado contra modelos defendidos (PGD entrenado adversariamente y Suavizado Aleatorio RS).

• Bajo una restricción de RMSE ($\le 0.1$), TSBA logró tasas de éxito del 70-72% en modelos robustos, superando significativamente a Boundary Attack (35-48%) y HSJA (55-69%).
• TSBA también requirió menos consultas (aprox. 1600-1700) en comparación con HSJA (5001) y Boundary Attack (2200+) para lograr ataques exitosos en modelos robustos.

Análisis Cualitativo

El análisis visual de las perturbaciones reveló que TSBA genera perturbaciones de menor magnitud y más localizadas, concentradas en regiones semánticamente informativas (por ejemplo, bordes de objetos), mientras que Boundary Attack produjo ruido de alta frecuencia a través de grandes regiones de la imagen.

Estudio de Ablación

Eliminar cualquiera de los tres componentes principales (Proyección de Frontera, Restricción Tangente o Muestreo de Subespacio) resultó en un rendimiento degradado:

• Sin Proyección: Aumento de consultas y distorsión.
• Sin Restricción Tangente: Reducción de la estabilidad y convergencia más lenta.
• Sin Subespacio: Degradación significativa de la eficiencia de consulta debido a la dificultad del muestreo aleatorio en alta dimensión.

Significado y Reivindicaciones

El artículo afirma que la ineficiencia de los ataques basados en decisiones existentes proviene de una infrautilización de la estructura geométrica local de la frontera de decisión. Al restringir explícitamente las actualizaciones a un subespacio tangente y desacoplar la aproximación de la frontera de la exploración de la dirección, TSBA proporciona un mecanismo fundamentado para:

1. Estabilizar el proceso de búsqueda evitando la expansión radial de las perturbaciones.
2. Reducir la varianza en las direcciones muestreadas.
3. Lograr una eficiencia de consulta comparable o mejor que los métodos de estimación de gradientes sin necesidad de estimar gradientes realmente.

Los autores concluyen que TSBA resalta el papel fundamental de la geometría de la frontera de decisión local en la vulnerabilidad adversaria y ofrece una nueva dirección para diseñar ataques de caja negra eficientes. Señalan que su enfoque sugiere que las perturbaciones adversarias pueden optimizarse eficazmente dentro de una estructura tangente de baja dimensión.

Se propone como trabajo futuro investigar el aprendizaje de subespacios adaptativos, el control dinámico del tamaño del paso y las extensiones a datos de video y 3D, así como explorar garantías teóricas sobre la convergencia y la complejidad de las consultas.