Ataque Adaptativo.

Un ataque adaptativo se construye con pleno conocimiento de la defensa objetivo y de sus supuestos, y su funcion de perdida o sus restricciones se ajustan para eludir esa defensa. El termino fue popularizado por Carlini y Wagner, cuyo estudio de 2017 Adversarial Examples Are Not Easily Detected rompio diez metodos de deteccion propuestos una vez que el ataque se reoriento contra la regla especifica de cada detector.

Dos evaluaciones de referencia consolidaron los ataques adaptativos como algo obligatorio. El articulo de Athalye, Carlini y Wagner en ICML 2018, Obfuscated Gradients Give a False Sense of Security, descubrio que 7 de 9 defensas aceptadas en ICLR 2018 se apoyaban en el enmascaramiento de gradientes (gradient masking): simplemente volvian los gradientes poco informativos en lugar de hacer el modelo verdaderamente robusto, y sortearon 6 de ellas por completo mediante tecnicas como BPDA (Backward Pass Differentiable Approximation, para superar un preprocesamiento no diferenciable) y EOT (Expectation over Transformation, para vencer defensas aleatorizadas). En 2020, el trabajo de Tramèr, Carlini, Brendel y Madry On Adaptive Attacks to Adversarial Example Defenses (NeurIPS) rompio 13 defensas de ICLR, ICML y NeurIPS, demostrando que incluso los autores que intentaron evaluaciones adaptativas construian a menudo ataques debiles y poco adaptados.

La leccion: toda defensa contra ejemplos adversariales, marcas de agua o deteccion de contenido de IA debe evaluarse frente a un adversario consciente de la defensa que adapta su objetivo, idealmente publicando el codigo del ataque. Omitir este paso produce de forma rutinaria afirmaciones de robustez exageradas que caen ante ataques simples y bien fundamentados.

flowchart TD
  A[Defensa de ML propuesta<br/>afirma robustez] --> B[Ataque generico<br/>p. ej. PGD estandar]
  B -->|El ataque falla| C[Robustez aparente]
  C --> D{Evaluacion adaptativa?}
  D -->|Omitida| E[Afirmacion exagerada<br/>publicada]
  D -->|Aplicada| F[El atacante estudia las interioridades<br/>y supuestos de la defensa]
  F --> G[Ajustar perdida + BPDA / EOT<br/>a la defensa]
  G --> H{La defensa sobrevive?}
  H -->|No| I[Robustez refutada]
  H -->|Si| J[Evidencia de robustez<br/>genuina]