La amenaza de ataques por backdoor en filtros de spam

Los filtros de spam son herramientas esenciales en los sistemas de correo electrónico de hoy en día. Ayudan a proteger a los usuarios de correos no deseados, que pueden incluir estafas, virus y otros contenidos dañinos. El éxito de estos filtros depende en gran medida de los modelos de aprendizaje automático que los impulsan. Este artículo habla sobre cómo redes malas, conocidas como BADNets, pueden ser usadas para atacar filtros de spam. Al mostrar estas vulnerabilidades, destacamos la importancia de evaluar cuidadosamente los modelos que utilizan los filtros de spam.

#Importancia de los Filtros de Spam

Los filtros de spam juegan un papel vital en proteger tanto a individuos como a negocios de correos no deseados que podrían llevar a estafas de phishing o infecciones de malware. Investigaciones han indicado que el spam puede causar pérdidas financieras significativas para las empresas. En los primeros días del correo electrónico, los filtros dependían de la identificación de palabras clave específicas. Con el tiempo, evolucionaron para usar algoritmos de clasificación, como el filtrado bayesiano ingenuo. Hoy en día, el aprendizaje automático mejora la capacidad de los filtros de spam para adaptarse y mejorar, permitiéndoles detectar el spam de manera más confiable.

#El Auge del Aprendizaje Automático en el Filtrado de Spam

El aprendizaje automático ha hecho que los filtros de spam no solo sean más efectivos, sino también capaces de manejar grandes volúmenes de correos rápidamente. Estos filtros aprenden a identificar y categorizar correos examinando características como el remitente, la línea de asunto y el contenido. Sin embargo, esta mejora ha llevado a nuevas técnicas para eludir estos filtros. Ataques simples, como añadir palabras irrelevantes a los correos, han tenido éxito en el pasado. Los filtros más avanzados ahora enfrentan amenazas más nuevas, donde los atacantes pueden clasificar erróneamente correos legítimos como spam. Incluso con estos métodos sofisticados, los investigadores han propuesto defensas que contrarrestan con éxito estos ataques.

#Vulnerabilidades de los Modelos de Aprendizaje Automático

A pesar de sus avances, los modelos de aprendizaje automático siguen siendo susceptibles a ataques. Estudios recientes han encontrado que las Redes Neuronales Profundas, o DNNs, pueden ser vulnerables a ataques de puerta trasera durante la fase de entrenamiento. En estos casos, un atacante puede introducir cambios maliciosos al entrenar un modelo. Esto ocurre cuando los usuarios que carecen de recursos eligen externalizar su entrenamiento a servicios de terceros poco confiables o utilizan modelos preentrenados de fuentes en línea. Los BadNets clasifican intencionalmente ciertas entradas mientras mantienen alta precisión en datos limpios.

El usuario desprevenido puede creer que el modelo está funcionando correctamente porque tiene buen rendimiento en entradas limpias. Sin embargo, el ataque se hace evidente cuando estos modelos encuentran entradas especialmente diseñadas para activar la puerta trasera. Por ejemplo, en un modelo de reconocimiento de señales de tráfico, un sistema con puerta trasera podría identificar correctamente la mayoría de las señales, pero etiquetar erróneamente una entrada con un desencadenante, como una pegatina específica, como una señal diferente. Varios estudios han demostrado que tales ataques pueden dañar significativamente aplicaciones críticas como vehículos autónomos y sistemas de reconocimiento facial.

#Enfoque en el Filtrado de Spam

Este artículo se adentra en cómo los BadNets pueden impactar el filtrado de spam, un aspecto vital del procesamiento del lenguaje natural. Organizaciones más grandes, como Gmail o Outlook, generalmente tienen los recursos para desarrollar sus propios filtros de spam. Sin embargo, las empresas más pequeñas pueden optar por externalizar partes del proceso de entrenamiento del filtro de spam debido a recursos limitados. Esto puede llevar a riesgos potenciales, ya que los atacantes podrían insertar clandestinamente desencadenantes maliciosos en los datos de entrenamiento, afectando cómo funcionan estos filtros.

Un método común en la comunicación por correo electrónico implica citar al final de los mensajes. En este estudio, aprovechamos esta técnica como puerta trasera. Al añadir esta puerta trasera a los correos de spam, encontramos que permite que la mayoría de los correos de spam pasen desapercibidos, logrando casi una tasa de éxito completa mientras aún funciona adecuadamente en correos legítimos.

#Investigación Relacionada

Trabajos anteriores en el campo han examinado cómo se pueden atacar los filtros de spam durante la fase de evaluación utilizando ejemplos adversariales. En contraste, nuestro enfoque se centra en ataques en la fase de entrenamiento, específicamente BadNets. Mientras que estudios anteriores demuestran que entradas de prueba contaminadas pueden eludir filtros, nuestro enfoque permite a los atacantes modificar deliberadamente las entradas de entrenamiento con un desencadenante elegido, dándoles más control.

#Definiendo el Problema

Para entender el modelo de ataque, primero definimos los términos y condiciones esenciales relevantes para nuestro estudio. Una Red Neuronal Recurrente (RNN) es un tipo de red neuronal capaz de recordar entradas anteriores, lo que ayuda en el procesamiento de datos secuenciales. Las RNN pueden tener problemas de olvido debido a asuntos como los gradientes que desaparecen, lo cual reduce su efectividad. Las redes de Memoria a Largo y Corto Plazo (LSTM) son un tipo específico de RNN diseñadas para manejar estos desafíos manteniendo dependencias a largo plazo.

Asumimos una distribución de datos compuesta de datos de entrada y etiquetas correspondientes. Se genera un conjunto de entrenamiento y un conjunto de validación a partir de esta distribución. Usando un Modelo LSTM, nuestro objetivo es desarrollar un filtro de spam. Este modelo aprende si un correo debería ser clasificado como spam o no basado en sus datos de entrenamiento.

#Los Objetivos del Atacante

En este escenario, consideramos un atacante que tiene acceso a datos de entrenamiento limpios y puede influir en el proceso de entrenamiento del modelo LSTM. El objetivo del atacante es crear un modelo que prediga correctamente entradas limpias mientras clasifica intencionalmente ciertos correos de spam que contienen un desencadenante de puerta trasera. Esto se hace primero envenenando una fracción de los datos de entrenamiento con el desencadenante y alterando las etiquetas de las entradas contaminadas.

Este modelo recién entrenado parecerá funcionar bien para los usuarios, pero clasificará erróneamente cualquier correo que contenga el desencadenante elegido por el atacante. El atacante puede luego explotar esta puerta trasera alimentando los correos envenenados al modelo.

#Evaluando el Ataque

Para evaluar la efectividad de los modelos limpios y con puerta trasera, medimos varias métricas. La Precisión Limpia (CA) se refiere al porcentaje de datos de prueba limpios correctamente clasificados. La Tasa de Éxito del Ataque (ASR) indica la proporción de correos envenenados clasificados con éxito de acuerdo con los objetivos del atacante.

#Configuración Experimental

Los experimentos se llevan a cabo usando un entorno de codificación específico. El conjunto de datos comprende correos etiquetados como spam o ham, con una mezcla de ambos tipos. Los datos se dividen en tres partes: un conjunto de entrenamiento, un conjunto de validación y un conjunto de prueba. Luego preparamos los datos limpiándolos y eliminando elementos innecesarios como hiperenlaces y números.

#Envenenando los Datos

En nuestros experimentos, introducimos dos desencadenantes de puerta trasera distintos. Las frases elegidas actúan como señales para que el modelo clasifique erróneamente ciertos correos. Inicialmente, envenenamos una pequeña parte de los datos de entrenamiento, añadiendo el desencadenante a una fracción de entradas limpias. Para otros conjuntos de datos, envenenamos todos los correos de prueba con el desencadenante elegido.

El segundo paso en el proceso implica cambiar las etiquetas de los correos spam envenenados, de modo que se marquen erróneamente como ham. Los correos legítimos de ham permanecen sin cambios.

#Procesando los Datos

Todos los conjuntos de datos pasan por un proceso de limpieza para asegurar consistencia. Esto incluye eliminar elementos innecesarios y estandarizar el formato del texto. Los correos limpiados se tokenizan y se rellenan para asegurar uniformidad en longitud.

#Arquitectura del Modelo y Ajuste de Parámetros

Usamos un modelo LSTM, que incluye varias capas específicamente diseñadas para tareas de procesamiento de lenguaje natural. Los hiperparámetros, incluyendo la tasa de aprendizaje y el tamaño del lote, se ajustan usando un enfoque de búsqueda en cuadrícula. El modelo pasa por un entrenamiento con técnicas específicas como el early stopping para prevenir el sobreajuste.

#Resultados de los Experimentos

Primero establecemos una línea base usando los modelos limpios, comparando sus tasas de éxito con los modelos con puerta trasera. Los resultados muestran que tanto los modelos limpios como los con puerta trasera logran tasas de precisión favorables en datos de prueba limpios. Sin embargo, los modelos con puerta trasera clasifican efectivamente correos de spam envenenados como ham, llevando a altas tasas de éxito del ataque.

#Conclusión

En resumen, nuestros hallazgos indican que la introducción de una puerta trasera en correos de spam permite eludir la detección de manera eficiente. Las tasas de éxito del ataque rondan entre el 99% y el 100%, indicando un riesgo severo. Aún más preocupante, los modelos con puerta trasera funcionan de manera comparable en datos de spam y ham legítimos, haciendo su potencial malicioso aún más peligroso.

Esta investigación enfatiza la importancia de monitorear y mejorar continuamente los modelos de filtro de spam para protegerse contra tales vulnerabilidades.