Adversarial Attacks on Artificial Intelligence Models: Defence Strategies, Datasets, Evaluation Metrics, and Future Research Directions

Nel moderno mondo digitale, banche, ospedali e reti elettriche si affidano pesantemente all'intelligenza artificiale per dare senso a enormi quantità di dati. Questi sistemi, costruiti su apprendimento automatico e apprendimento profondo, agiscono come sentinelle instancabili. Scansionano il traffico di rete per individuare intrusi, analizzano file per trovare malware nascosti e verificano le identità per tenere fuori utenti non autorizzati. Per anni, questi strumenti sono stati celebrati per la loro capacità di apprendere schemi complessi e adattarsi a nuove minacce, riuscendo spesso a intercettare il novanta cinque per cento dei pericoli in condizioni normali. Tuttavia, è emersa una vulnerabilità nascosta. Proprio come un essere umano può essere ingannato da un'illusione astuta, questi sistemi intelligenti possono essere raggirati da input che sembrano quasi identici a quelli reali ma contengono piccole, accuratamente preparate distorsioni. Queste distorsioni, note come attacchi avversari, sono progettate per confondere la logica del computer, portandolo a classificare erroneamente un virus pericoloso come innocuo o a concedere l'accesso a un impostore. La posta in gioco è alta: un singolo trucco riuscito potrebbe permettere a un hacker di rubare milioni, interrompere un'infrastruttura critica o aggirare la sicurezza a livello nazionale.

Un team di ricercatori provenienti da università dell'Iraq e della Malesia ha esaminato in modo approfondito questa crescente minaccia. Non si sono limitati a studiare un solo tipo di attacco o una specifica difesa; hanno invece raccolto e analizzato mille articoli di ricerca pubblicati tra il 2017 e il 2025 per mappare l'intero panorama del problema. Il loro obiettivo era capire come funzionano questi attacchi, quanto siano efficaci le difese attuali e dove rimangano le lacune. Esaminando questa enorme quantità di letteratura, hanno identificato dodici nuovi tipi di attacchi avversari che non erano stati precedentemente raggruppati in un unico framework. Hanno scoperto che gli attaccanti possono operare con diversi livelli di conoscenza: alcuni conoscono l'intero funzionamento interno del sistema che stanno attaccando, altri vedono solo l'output finale e altri si collocano nel mezzo. I ricercatori hanno anche scoperto che gli attacchi possono avvenire in diverse fasi, ovvero contaminando i dati durante l'apprendimento del sistema o introducendo input ingannevoli dopo che il sistema è già in funzione.

Lo studio rivela una realtà cruda sullo stato attuale della sicurezza. Sebbene i ricercatori abbiano sviluppato molti modi per rilevare e bloccare questi trucchi, le difese sono spesso sbilanciate. Gli autori hanno scoperto che quasi il settanta per cento della ricerca esistente si concentra sul rilevamento dell'attacco dopo che è avvenuto, mentre solo circa il ventitré per cento si concentra sul rendere i modelli più robusti durante la loro fase di addestramento. Questo squilibrio lascia i sistemi vulnerabili perché gli attaccanti possono sfruttare le debolezze nel modo in cui il modello è stato costruito fin dall'inizio. Inoltre, il team ha evidenziato un significativo distacco tra gli esperimenti di laboratorio e l'applicazione nel mondo reale. In contesti controllati, le difese possono sembrare perfette, ma quando vengono spostate nell'ambiente disordinato e imprevedibile del mondo reale, il loro tasso di successo può diminuire fino al sessanta per cento. Questo calo avviene perché i sistemi reali affrontano sfide come la potenza di calcolo limitata, la necessità di decisioni istantanee e l'enorme varietà di metodi di attacco che evolvono costantemente.

Per affrontare questi problemi, i ricercatori hanno proposto un nuovo framework a tre livelli per organizzare il nostro modo di pensare a questi attacchi e difese. Questa struttura aiuta gli esperti di sicurezza a categorizzare le minacce in base a ciò che l'attaccante sa, ciò che vuole ottenere e come modifica i dati. Hanno anche esaminato gli strumenti e i dataset utilizzati per testare questi sistemi, notando che, sebbene esistano molti test standard, non esiste un unico standard concordato per misurare il successo attraverso tutti i diversi tipi di IA. Questa mancanza di standardizzazione rende difficile per le organizzazioni scegliere la protezione giusta per le proprie esigenze specifiche. L'articolo suggerisce che il progresso futuro dipenderà dalla combinazione di diverse strategie, come l'uso della blockchain per proteggere la condivisione dei dati, l'integrazione dell'intelligenza artificiale con i sistemi di supporto alle decisioni per aiutare gli umani a prendere decisioni migliori, e lo sviluppo di difese che funzionino efficientemente su piccoli dispositivi periferici (edge devices) come sensori e telecamere.

In definitiva, questo sondaggio funge da guida cruciale per la prossima generazione della cybersicurezza. Conferma che, sebbene l'intelligenza artificiale abbia rivoluzionato il modo in cui proteggiamo la nostra infrastruttura digitale, ha anche introdotto un nuovo tipo di vulnerabilità che richiede una vigilanza costante. I ricercatori sottolineano che non esiste una singola soluzione magica per fermare questi attacchi. Invece, costruire sistemi sicuri richiederà un approccio multilivello che combini migliori metodi di addestramento, rilevamento in tempo reale e uno sforzo globale per creare regole standard per testare e validare queste tecnologie. Man mano che la tecnologia continua ad avanzare, la corsa tra chi costruisce le difese e chi cerca di romperle si intensificherà, rendendo il lavoro di comprensione e categorizzazione di queste minacce più importante che mai.