Por B.N. Frank
Ocultar datos dentro de un clasificador de imágenes es como hacerlo dentro de una imagen.
Los investigadores Zhi Wang, Chaoge Liu y Xiang Cui publicaron el pasado lunes un artículo en el que demuestran una nueva técnica para escabullir el malware de las herramientas de detección automática, en este caso, ocultándolo dentro de una red neuronal.
Los tres incrustaron 36,9MiB de malware en un modelo AlexNet de 178MiB sin alterar significativamente la función del propio modelo. El modelo con malware integrado clasificó las imágenes con una precisión casi idéntica, dentro del 1% del modelo sin malware. (Esto es posible porque el número de capas y el total de neuronas de una red neuronal convolucional se fijan antes del entrenamiento, lo que significa que, al igual que en los cerebros humanos, muchas de las neuronas de un modelo entrenado acaban estando en gran parte o totalmente inactivas).
Y lo que es igual de importante, el hecho de esconder el malware en el modelo lo disgregó de forma que impidió su detección por parte de los motores antivirus estándar. VirusTotal, un servicio que “inspecciona elementos con más de 70 escáneres antivirus y servicios de listas de bloqueo de URL/dominios, además de una miríada de herramientas para extraer señales del contenido estudiado”, no levantó ninguna sospecha sobre el modelo de malware incrustado.
La técnica de los investigadores elige la mejor capa con la que trabajar en un modelo ya entrenado y luego incrusta el malware en esa capa. En un modelo ya entrenado -por ejemplo, un clasificador de imágenes ampliamente disponible- puede haber un impacto indeseable en la precisión debido a que no hay suficientes neuronas inactivas o mayormente inactivas.
Si la precisión de un modelo incrustado de malware es insuficiente, el atacante puede optar por empezar con un modelo no entrenado, añadir muchas neuronas adicionales y luego entrenar el modelo con el mismo conjunto de datos que utilizó el modelo original. Esto debería producir un modelo con un tamaño mayor pero con una precisión equivalente, además de que el enfoque proporciona más espacio para ocultar cosas desagradables en su interior.
La buena noticia es que en realidad sólo estamos hablando de esteganografía: la nueva técnica es una forma de ocultar el malware, no de ejecutarlo. Para ejecutar realmente el malware, debe ser extraído del modelo envenenado por otro programa malicioso y luego reensamblado en su forma de trabajo. La mala noticia es que los modelos de redes neuronales son considerablemente más grandes que las típicas imágenes fotográficas, lo que ofrece a los atacantes la posibilidad de ocultar muchos más datos ilícitos en su interior sin ser detectados.
El investigador de ciberseguridad Dr. Lukasz Olejnik dijo a Motherboard que no creía que la nueva técnica ofreciera mucho a un atacante. “Hoy en día, no sería sencillo detectarlo mediante un software antivirus, pero esto es sólo porque nadie está mirando”. Pero la técnica sí representa otra forma de pasar potencialmente los datos por encima de los centinelas digitales y entrar en una red interior potencialmente menos protegida.
Futuro distópico, transhumanismo, dictadura digital, hackeo cerebral y data corporal
Fuentes:
Zhi Wang, Chaoge Liu, Xiang Cui: EvilModel: Hiding Malware Inside of Neural Network Models; Cornerll University.
B.N. Frank, en Activist Post: Malware Can Be Hidden Inside A.I. Models “with near-identical accuracy”.
