Los Ataques Adversarios: en el mundo de las Redes Neuronales

Imagina tomar una imagen de un panda y realizarle modificaciones tan mínimas que a simple vista sean imperceptibles. Sin embargo, cuando esta imagen ligeramente alterada se introduce en una red neuronal entrenada para reconocer animales, la red puede clasificarla erróneamente como un chimpancé. Esto es un ataque adversario.

En esencia, un ataque adversario^[1] es una técnica que consiste en introducir pequeñas perturbaciones en los datos de entrada de un modelo de aprendizaje automático, con el objetivo de engañarlo y hacer que produzca una salida incorrecta. Estas perturbaciones pueden ser tan sutiles que para el ojo humano o un algoritmo convencional son indetectables.

¿Por qué son peligrosos?

• Seguridad: En sistemas de seguridad como reconocimiento facial o detección de intrusos, un ataque adversario podría permitir que un intruso se haga pasar por una persona autorizada, comprometiendo la integridad del sistema.
• Vehículos autónomos: Un ataque adversario a los sistemas de visión de un vehículo autónomo podría provocar un accidente al hacer que el vehículo interprete incorrectamente señales de tráfico u obstáculos en la carretera.
• Salud: En el ámbito médico, un ataque adversario podría llevar a un diagnóstico erróneo de una enfermedad, con potenciales consecuencias catastróficas para la salud del paciente.

¿Cómo se pueden mitigar?

La investigación en este campo está en constante evolución, pero a continuación se presentan algunas de las técnicas más prometedoras para mitigar los ataques adversarios:

• Adversarial Training: Consiste en entrenar la red neuronal con ejemplos adversarios generados artificialmente. De esta manera, la red se vuelve más robusta y menos susceptible a estas perturbaciones. (https://en.wikipedia.org/wiki/Adversarial_machine_learning)
• Regularización: Técnicas como Dropout^[2] y L₁/L₂ regularization^[3] pueden ayudar a mejorar la generalización del modelo y hacerlo más resistente a los ataques adversarios.
• Defensive Distillation: Esta técnica implica entrenar un modelo «estudiante» a imitar las salidas probabilísticas de un modelo «maestro». El modelo estudiante suele ser más robusto a los ataques adversarios.
• Adversarial Detection: Se pueden desarrollar modelos específicos para detectar la presencia de ejemplos adversarios en los datos de entrada.
• Robust Optimization: Se pueden utilizar técnicas de optimización robusta para entrenar modelos que sean menos sensibles a pequeñas perturbaciones en los datos de entrada.

Los ataques adversarios representan una amenaza real para la seguridad de los sistemas basados en aprendizaje automático. Sin embargo, la investigación en este campo está avanzando rápidamente y se están desarrollando nuevas técnicas para mitigar estos ataques. Es fundamental tener en cuenta estos riesgos al diseñar y desplegar sistemas de inteligencia artificial.

Tipos de Ataques Adversarios

• Ataques dirigidos: El atacante busca forzar al modelo a clasificar una entrada como una clase específica (por ejemplo, clasificar un stop como un límite de velocidad).
• Ataques no dirigidos: El objetivo es simplemente hacer que el modelo cometa un error de clasificación, sin importar cuál sea la clase incorrecta.
• Ataques universales: Se genera una perturbación única que puede engañar al modelo en una amplia variedad de entradas.
• Ataques blancos y negros: Los ataques blancos se dirigen a un modelo específico, mientras que los ataques negros buscan engañar a cualquier modelo de una determinada familia.

Técnicas para Generar Ataques Adversarios

• Métodos basados en gradientes: Se utilizan los gradientes de la función de pérdida para encontrar la perturbación más efectiva.
• Métodos basados en optimización: Se formulan los ataques como problemas de optimización y se utilizan técnicas como el descenso de gradiente para encontrar la solución.
• Métodos basados en transformaciones: Se aplican transformaciones a la imagen original para generar perturbaciones.

Defensas contra Ataques Adversarios

• Regularización adversarial: Se añade un término a la función de pérdida para penalizar las perturbaciones adversarias.
• Adversarial training en múltiples dimensiones: Se generan ataques adversarios en múltiples dimensiones del espacio de entrada para mejorar la robustez del modelo.
• Detección de anomalías: Se utilizan técnicas de detección de anomalías para identificar las entradas que son muy diferentes de los datos de entrenamiento.
• Ensembles de modelos: Se combinan múltiples modelos para reducir la probabilidad de que todos sean engañados por el mismo ataque.

Desafíos Abiertos y Futuras Líneas de Investigación

• Ataques adversarios en el mundo físico: Cómo transferir ataques del mundo digital al mundo físico, por ejemplo, mediante la impresión 3D de objetos adversarios. Un ejemplo real es la manipulación de señales de tráfico para confundir a los sistemas de visión de vehículos autónomos.
• Defensas certificadas: Cómo desarrollar métodos para demostrar matemáticamente la robustez de un modelo frente a ataques adversarios. Esto podría implicar el desarrollo de garantías formales sobre el comportamiento de los modelos en presencia de perturbaciones.
• Ataques adversarios en modelos generativos: Cómo proteger los modelos generativos (como GANs) de los ataques adversarios, lo que es crucial para aplicaciones que dependen de la generación de contenido realista.

Aplicaciones de los Ataques Adversarios

• Pruebas de seguridad: Los ataques adversarios pueden utilizarse para evaluar la robustez de los sistemas de aprendizaje automático, antes de su despliegue en entornos críticos.
• Generación de datos sintéticos: Los ataques adversarios pueden utilizarse para generar datos sintéticos que aumenten la diversidad de los conjuntos de datos de entrenamiento, potenciando la generalización de los modelos.
• Ataques dirigidos a sistemas críticos: Los ataques adversarios pueden utilizarse para atacar sistemas críticos como redes eléctricas, sistemas de control industrial, etc., poniendo en riesgo infraestructuras vitales.

Los ataques adversarios representan una amenaza significativa para la seguridad de los sistemas basados en aprendizaje automático. A medida que los sistemas de inteligencia artificial se integran más en nuestra vida diaria (https://www.jorgeacapote.com/redes-neuronales-e-ia-i/) , es esencial entender los riesgos que presentan estos ataques y cómo mitigarlos eficazmente. Si bien se han desarrollado diversas técnicas para contrarrestar los ataques adversarios, la investigación en este campo sigue siendo activa. Es fundamental comprender las limitaciones de los modelos de aprendizaje automático y desarrollar estrategias robustas para protegerlos contra estas amenazas emergentes.

JACA, Santander, octubre 2024

Referencias

[1] una manipulación aplicada a cualquier tipo de dato de entrada que se suministra a la red neuronal.

[2] Dropout desactiva aleatoriamente una proporción elegida de neuronas (y sus conexiones) dentro de una capa.

[3] Métodos de regularización L₁ vs. L₂– La regularización L₁, también llamada regresión lazo, agrega el “valor absoluto de magnitud” del coeficiente como término de penalización a la función de pérdida. La regularización L₂, también llamada regresión de cresta agrega la “magnitud al cuadrado” del coeficiente como término de penalización a la función de pérdida.