Envenenamiento bayesiano

En la Conferencia sobre Spam celebrada en el MIT en 2004, John Graham-Cumming presentó dos posibles ataques al motor bayesiano de POPFile . ^{[ 1 ]} Uno no tuvo éxito y el otro funcionó, pero resultó poco práctico. Al hacerlo, identificaron dos tipos de ataque de envenenamiento: pasivo (donde se añaden palabras sin ninguna retroalimentación al remitente de spam) y activo (donde el remitente de spam recibe retroalimentación después de que se haya recibido el spam).

El método pasivo de añadir palabras aleatorias a un pequeño mensaje de spam resultó ineficaz: solo se entregó el 0,04 % de los mensajes modificados. El ataque activo consistió en añadir palabras aleatorias a un pequeño mensaje de spam y utilizar un web bug para determinar si se había recibido. En caso afirmativo, se entrenó otro sistema bayesiano con las mismas palabras maliciosas. Tras enviar 10 000 mensajes de spam a un único usuario, se determinó un pequeño conjunto de palabras que podían utilizarse para lograr que un mensaje de spam llegara a su destino.

La sencilla medida de deshabilitar las imágenes remotas ( web bugs ) en los correos electrónicos elimina este problema.

En la Conferencia sobre Correo Electrónico y Antispam de 2004, Wittel y Wu presentaron un artículo ^{[ 2 ] [ 3 ]} en el que demostraron que la adición pasiva de palabras aleatorias al spam era ineficaz contra CRM114 , pero eficaz contra SpamBayes con 100 palabras añadidas por spam.

También demostraron que un ataque pasivo más sofisticado, que consistía en añadir palabras comunes en inglés, seguía siendo ineficaz contra CRM114, pero resultaba aún más eficaz contra SpamBayes. Solo necesitaban añadir 50 palabras a un correo basura para burlar a SpamBayes.

Sin embargo, las pruebas de Wittel y Wu han sido criticadas debido a la escasa información de encabezado presente en los correos electrónicos que utilizaron; la mayoría de los filtros de spam bayesianos utilizan ampliamente la información de encabezado y otros metadatos del mensaje para determinar la probabilidad de que un mensaje sea spam. Un análisis de los resultados de SpamBayes y algunas pruebas en contra se pueden encontrar en el archivo de la lista de correo de SpamBayes. ^{[ 4 ]}

Todos estos ataques son de tipo II: ataques que intentan enviar spam. Un ataque de tipo I intenta provocar falsos positivos al convertir palabras previamente inocentes en palabras que se consideran spam en la base de datos bayesiana.

También en 2004, Stern, Mason y Shepherd escribieron un informe técnico en la Universidad de Dalhousie , ^{[ 5 ]} en el que detallaron un ataque pasivo de tipo II. Añadieron palabras comunes en inglés a mensajes de spam utilizados para entrenar y probar un filtro de spam.

En dos pruebas, demostraron que estas palabras comunes reducían la precisión del filtro de spam (el porcentaje de mensajes clasificados como spam que realmente lo eran) del 84 % al 67 % y del 94 % al 84 %. El análisis de los datos revela que el filtro manipulado tendía a considerar que los mensajes tenían más probabilidades de ser spam que correo legítimo, lo que aumentaba la tasa de falsos positivos.

Propusieron dos contramedidas: ignorar las palabras comunes al realizar la clasificación y suavizar las probabilidades en función de la confiabilidad de una palabra. Una palabra tiene una probabilidad confiable si es improbable que un atacante pueda adivinar si forma parte del vocabulario de un individuo. Por lo tanto, las palabras comunes no son confiables y su probabilidad se suavizaría a 0,5 (lo que las haría neutrales).

En la Conferencia sobre Correo Electrónico y Antispam de 2005, Lowd y Meek presentaron un artículo ^{[ 6 ]} en el que demostraron que los ataques pasivos que añadían palabras aleatorias o comunes al spam eran ineficaces contra un filtro bayesiano ingenuo. (De hecho, demostraron, como ya lo había hecho John Graham-Cumming en 2004, que añadir palabras aleatorias mejora la precisión del filtrado de spam).

Demostraron que añadir palabras clave —palabras que tienen más probabilidades de aparecer en correos legítimos (contenido que no es spam) que en spam— era eficaz contra un filtro bayesiano ingenuo y permitía que el spam se colara. A continuación, detallaron dos ataques activos (ataques que requieren retroalimentación al remitente de spam) que resultaron muy eficaces contra los filtros de spam. Por supuesto, impedir cualquier tipo de retroalimentación a los remitentes de spam (como informes de no entrega, errores a nivel SMTP o web bugs) neutraliza fácilmente un ataque activo.

También demostraron que el reentrenamiento del filtro era eficaz para prevenir todos los tipos de ataque, incluso cuando los datos de reentrenamiento habían sido manipulados.

Las investigaciones publicadas demuestran que añadir palabras aleatorias a los mensajes de spam es ineficaz como método de ataque, pero que los ataques activos son muy efectivos y que añadir palabras cuidadosamente seleccionadas puede funcionar en algunos casos. Para protegerse de estos ataques, es fundamental que los remitentes de spam no reciban ninguna respuesta y que los filtros estadísticos se actualicen periódicamente.

La investigación también demuestra que vale la pena seguir investigando los ataques a los filtros estadísticos. Se han demostrado ataques efectivos y se requieren contramedidas para garantizar que los filtros estadísticos sigan siendo precisos.