Aprendizaje automático adversario: significado, ejemplos y cómo funciona

El aprendizaje automático adversario es una rama del aprendizaje automático que se centra en las vulnerabilidades de los modelos de aprendizaje automático a diversos ataques.

Una entrada adversaria es cualquier entrada de aprendizaje automático que tiene como objetivo engañar al modelo para que haga predicciones incorrectas o produzca resultados incorrectos.

Dado que los ataques adversarios pueden tener consecuencias graves, incluso en los sectores de seguridad, fraude y atención médica, los investigadores se centran en descubrir diferentes métodos de ataque, así como en desarrollar mecanismos de defensa contra ellos.

Esta publicación explora el mundo adversario del aprendizaje automático e incluye ejemplos, desafíos y formas de atacar y defender los modelos de IA.

¿Qué es el aprendizaje automático adversario?

El aprendizaje automático adversario estudia una clase de ataques que tienen como objetivo reducir el rendimiento de los clasificadores en tareas específicas. En otras palabras, su objetivo es engañar a la máquina de IA.

A medida que se generaliza el uso de técnicas de inteligencia artificial y aprendizaje automático, aumenta el riesgo de ataques adversarios. Esto presenta una amenaza significativa para varias aplicaciones impulsadas por IA, incluida la detección de spam, asistentes personales, visión por computadora, etc.

Cómo funcionan los ataques adversarios

Un ataque adversario es cualquier proceso diseñado para engañar a un modelo de aprendizaje automático para que genere predicciones erróneas. Esto puede suceder durante el entrenamiento, así como en un entorno de ejecución en vivo. En otras palabras, si puedes encontrar una manera de engañar o sabotear el modelo, entonces lo has atacado con éxito.

¿Qué es un ejemplo contradictorio?

Un ejemplo contradictorio es cualquier entrada especialmente diseñada para un modelo de aprendizaje automático que tiene como objetivo provocar que el modelo cometa un error o produzca una salida incorrecta.

Puede crear un ejemplo contradictorio realizando ligeros cambios en los datos de entrada, que aunque pueden no ser visibles para el ojo humano, a menudo son suficientes para cambiar la comprensión del modelo y llevarlo a generar resultados erróneos.

Los ejemplos contradictorios se utilizan en las etapas de entrenamiento de un modelo de IA y las modificaciones realizadas generalmente se generan utilizando varias técnicas de optimización, incluidos métodos basados ​​en gradientes como el ataque Fast Gradient Sign Method (FGSM), que explota la sensibilidad del modelo a los cambios en el espacio de entrada.

El objetivo de los ejemplos contradictorios es agregar ligeras perturbaciones a los datos de entrada que podrían ser apenas visibles para los observadores humanos, pero que aún son lo suficientemente significativas como para llevar al modelo a clasificar erróneamente la entrada.

Los ataques adversarios pueden ocurrir en diferentes sectores del aprendizaje automático, incluido el reconocimiento de imágenes y el procesamiento del lenguaje natural.

Aplicaciones del ML adversario

La capacidad de detectar y explotar las debilidades de cualquier plataforma de inteligencia artificial tiene una amplia gama de usos, ya que el atacante sólo está limitado por su imaginación. Estas son algunas de las muchas formas en que un pirata informático puede aprovechar una máquina de IA comprometida utilizando métodos de aprendizaje automático adversarios.

• Reconocimiento de imágenes y vídeos: Desde la moderación de contenidos hasta vehículos autónomos y sistemas de vigilancia, muchas aplicaciones de inteligencia artificial se basan en algoritmos de reconocimiento de imágenes y vídeos. Al alterar la entrada de la máquina y obligarla a clasificar erróneamente cosas, un atacante puede evadir cualquier sistema de control que dependa de sus capacidades de reconocimiento de objetos. En el caso de los vehículos autónomos, esta manipulación puede provocar accidentes de tráfico.
• Filtrado de correo basura: Los spammers pueden eludir con éxito los sistemas de detección de spam de IA optimizando sus correos electrónicos no deseados con diferentes estructuras, más buenas palabras, menos malas palabras, etc.
• Detección de malware: Es igualmente posible crear código informático malicioso que pueda evadir la detección de los escáneres de malware.
• Procesamiento natural del lenguaje: Al clasificar erróneamente el texto mediante el aprendizaje automático adversario, el atacante puede manipular sistemas de recomendación basados ​​en texto, detectores de noticias falsas, detectores de sentimientos, etc.
• Sector Sanitario: Los atacantes pueden manipular los registros médicos para alterar el diagnóstico de un paciente o engañar al sistema para que revele registros médicos confidenciales.
• Detección de fraude financiero: Los sistemas de inteligencia artificial empleados en la detección de fraudes financieros también corren el riesgo de sufrir ataques adversarios de aprendizaje automático. Por ejemplo, un atacante puede crear datos sintéticos que imiten transacciones legítimas, haciendo posible realizar fraudes sin que el modelo los detecte.
• Sistemas de Seguridad Biométrica: Al emplear datos manipulados, un atacante puede superar los sistemas de seguridad de detección facial o de huellas dactilares para obtener acceso no autorizado a una red o plataforma.
• Defensa adversaria: Si bien la mayoría de los usos anteriores son para atacar un sistema, la defensa adversaria es el estudio de los ataques adversarios para su uso en la creación de sistemas de defensa robustos contra los atacantes de la máquina.

Consecuencias del lavado de dinero adversario

El aprendizaje automático adversario tiene consecuencias que pueden afectar la confiabilidad o el rendimiento de los sistemas de IA. Aquí están los principales.

• Erosiona la confianza: Si los ataques adversarios crecen y se salen de control, provocarán la erosión de la confianza en los sistemas de IA, ya que el público llegará a ver cualquier sistema basado en aprendizaje automático con cierto nivel de sospecha.
• Implicaciones éticas: La aplicación de sistemas de aprendizaje automático a ámbitos como la atención sanitaria y la justicia penal plantea cuestiones éticas, ya que cualquier sistema de IA comprometido puede causar graves daños personales y sociales.
• Implicaciones Económicas: Los ataques adversarios pueden provocar pérdidas financieras, mayores costos de seguridad, manipulación del mercado financiero e incluso daños a la reputación.
• Complejidad incrementada: La amenaza de ataques adversarios aumenta el esfuerzo de investigación y la complejidad general de los sistemas de aprendizaje automático.
• Robo de modelos: Un modelo de IA en sí puede ser atacado para buscar y recuperar parámetros internos o información sobre su arquitectura que pueda emplearse para un ataque más serio al sistema.

Tipos de ataques adversarios

Existen diferentes tipos de ataques adversarios de aprendizaje automático y varían según los objetivos del atacante y el acceso que tenga al sistema. Estos son los tipos principales.

• Ataques de evasión: En los ataques de evasión, los adversarios modifican las entradas para engañar al sistema de inteligencia artificial y lograr que las clasifique erróneamente. Esto puede implicar agregar perturbaciones imperceptibles (o ruido deliberado) a las imágenes de entrada u otros datos para engañar al modelo.
• Ataques de envenenamiento de datos: Los ataques de envenenamiento de datos ocurren durante la fase de entrenamiento de un sistema de IA. Al agregar datos incorrectos (o envenenados) al conjunto de datos de entrenamiento de la máquina, el modelo se vuelve menos preciso en sus predicciones y, por lo tanto, queda comprometido.
• Ataques de extracción de modelos: En los ataques de inversión de modelos, los adversarios aprovechan la capacidad de extraer información confidencial de un modelo de IA entrenado. Al manipular las entradas y observar las respuestas del modelo, pueden reconstruir datos privados, como imágenes o texto.
• Ataques de transferencia: Esto se refiere a la capacidad de un ataque contra un sistema de aprendizaje automático de ser igualmente efectivo contra otro sistema de aprendizaje automático.

Cómo defenderse de los ataques adversarios

Existen diferentes mecanismos de defensa que puede utilizar para proteger su modelo de IA contra ataques adversarios. Éstos son algunos de los más populares.

• Creando sistemas robustos: Esto implica el desarrollo de modelos de IA que sean más resistentes a los ataques adversarios al incluir pruebas y pautas de evaluación para ayudar a los desarrolladores a identificar fallas del sistema que podrían conducir a ataques adversarios. Luego pueden desarrollar defensas contra tales ataques.
• Validación de entrada: Otro enfoque es verificar las entradas de un modelo de ML para detectar vulnerabilidades ya conocidas. El modelo podría diseñarse para rechazar entradas, por ejemplo, que contengan modificaciones que se sabe que hacen que las máquinas hagan predicciones erróneas.
• Entrenamiento Adversario: También puede introducir una cierta cantidad de ejemplos contradictorios en los datos de entrenamiento de su sistema para ayudar al modelo a aprender a detectar y rechazar ejemplos contradictorios en el futuro.
• IA explicable: En teoría, cuanto mejor comprendan los desarrolladores y usuarios cómo funciona en profundidad un modelo de IA, más fácil será para las personas idear defensas contra los ataques. Por lo tanto, un enfoque de IA explicable (XAI) para el aprendizaje automático y el desarrollo de modelos de IA puede resolver muchos problemas.

Conclusión

Los ataques adversarios al aprendizaje automático representan una amenaza importante para la confiabilidad y el rendimiento de los sistemas de inteligencia artificial. Sin embargo, al comprender los diferentes tipos de ataques conocidos e implementar estrategias de defensa para prevenirlos, los desarrolladores pueden proteger mejor sus modelos de IA de ataques adversarios.

Por último, debes comprender que los campos de la IA y el aprendizaje automático adversario siguen creciendo. Por lo tanto, es posible que todavía existan otros métodos de ataque adversario que aún no se han hecho de conocimiento público.

Recursos

1. https://en.wikipedia.org/wiki/Adversarial_machine_learning
2. https://www.csoonline.com/article/573031/adversarial-machine-learning-explained-how-attackers-disrupt-ai-and-ml-systems.html
3. https://medium.com/@durgeshpatel2372001/an-introduction-to-adversarial-machine-learning-820010645df9
4. https://insights.sei.cmu.edu/blog/the-challenge-of-adversarial-machine-learning/
5. https://viso.ai/deep-learning/adversarial-machine-learning/
6. https://www.toptal.com/machine-learning/adversarial-machine-learning-tutorial