El objetivo: en los últimos años, la creciente preocupación por el enorme consumo energético de los grandes modelos de IA ha llevado a los investigadores a diseñar redes neuronales más eficientes. Una categoría, conocida como arquitecturas multisalida de entrada adaptativa, funciona dividiendo las tareas en función de la dificultad para resolverlas. Luego gasta la cantidad mínima de recursos computacionales necesarios para resolver cada una.
nSupongamos que tiene una imagen de un león mirando directamente a la cámara con una iluminación perfecta y una imagen de un león agachado en un paisaje complejo, parcialmente oculto. Una red neuronal tradicional pasaría ambas fotos a través de todas sus capas y gastaría la misma cantidad de potencia de cálculo para etiquetar cada una. Pero una red neuronal multisalida de entrada adaptativa podría pasar la primera foto a través de una sola capa antes de alcanzar el umbral de confianza necesario para etiquetarla correctamente. Esto reduce la huella de carbono del modelo, y también mejora su velocidad y permite implementarlo en dispositivos pequeños como teléfonos inteligentes y altavoces inteligentes.
nEl ataque: Pero este tipo de red neuronal implica que si cambia la entrada, es decir, la imagen que recibe, puede cambiar la cantidad de cálculo que necesita para resolverlo. Esto abre una vulnerabilidad que los piratas informáticos podrían explotar, tal y como describen los investigadores del Centro de Ciberseguridad de Maryland (EE. UU.) en un nuevo documento presentado recientemente en la Conferencia Internacional sobre Representaciones de Aprendizaje. Al agregar pequeñas cantidades de ruido a las entradas de una red, hicieron que percibiera las entradas como más difíciles y aumentaron los cálculos necesarios.
nCuando asumieron que el atacante tenía toda la información sobre la red neuronal, pudieron maximizar su consumo de energía. Cuando asumieron que el atacante tenía información limitada, aún fueron capaces de ralentizar el procesamiento de la red y aumentar el consumo de energía entre un 20 % y un 80 %. La razón, como descubrieron los investigadores, es que los ataques se transfieren con facilidad a través de diferentes tipos de redes neuronales. Diseñar un ataque para un sistema de clasificación de imágenes permite interrumpir muchos de ellos, afirma el estudiante de doctorado y coautor del artículo Yiğitcan Kaya.
nLa advertencia: este tipo de ataque todavía es bastante teórico. Las arquitecturas de entrada adaptativa aún no se usan comúnmente en aplicaciones del mundo real. Pero los investigadores creen que esto cambiará rápidamente a causa de las presiones de la industria para implementar redes neuronales más ligeras, como las que se necesitan para los hogares y otros dispositivos de internet de las cosas (IoT). El profesor que asesoró la investigación, Tudor Dumitraş, afirma que se necesita más trabajo para comprender hasta qué punto este tipo de amenaza podría causar daños. Pero, agrega, este documento es un primer paso para crear conciencia, y concluye: "Para mí lo importante es llamar la atención de la gente sobre el hecho de que se trata de un nuevo tipo de amenaza y que se puede llevar a cabo".
n