FlowPure: Continuous Normalizing Flows for Adversarial Purification

Título: FlowPure: Fluxos Normais Contínuos para Purificação Adversarial

1. O Problema

As redes neurais profundas são altamente vulneráveis a ataques adversariais, onde pequenas perturbações intencionais nos dados de entrada levam o modelo a cometer erros de classificação.

• Desafio Atual: A maioria das defesas existentes, como o Adversarial Training (AT), exige o retreinamento do classificador e frequentemente resulta em uma degradação da precisão em dados limpos (benignos).
• Purificação Adversarial (AP): Uma estratégia promissora que visa remover as perturbações adversariais durante a inferência, antes que a amostra seja classificada.
• Limitações das Abordagens Atuais: Os métodos mais avançados (State-of-the-Art - SOTA) utilizam Modelos de Difusão. Eles funcionam injetando ruído gaussiano no exemplo adversarial (processo forward) para diluir a perturbação e, em seguida, removendo o ruído (processo reverse) para reconstruir a amostra limpa. No entanto, esses métodos dependem de processos estocásticos fixos e, segundo o artigo, sua robustez é frequentemente superestimada, especialmente em cenários de ataque adaptativo branco (onde o atacante conhece a defesa).

2. Metodologia: FlowPure

O FlowPure propõe uma nova abordagem baseada em Fluxos Normais Contínuos (CNFs) treinados com Flow Matching Condicional (CFM), em vez de modelos de difusão.

• Conceito Central: O FlowPure aprende um mapeamento contínuo e determinístico (ou estocástico controlado) que transforma diretamente exemplos adversariais em suas contrapartes limpas.

• Treinamento (Flow Matching Condicional):

  • O modelo aprende um campo de velocidade $v_\theta(x, t)$ que transporta amostras de uma distribuição fonte (adversarial) para uma distribuição alvo (limpa) ao longo de um caminho definido.
  • O artigo utiliza caminhos de Transporte Ótimo (OT), que correspondem a trajetórias de linha reta, oferecendo inferência mais estável e eficiente em comparação com os caminhos curvos da difusão.
  • A função de perda minimiza a diferença entre o campo de velocidade aprendido e a velocidade ideal $(x_1 - x_0)$.

• Duas Variantes Propostas:

  1. FlowPure Determinístico:
     • Aprende um mapeamento direto de exemplos adversariais específicos (ex: gerados por PGD ou CW) para dados limpos.
     • Utiliza conhecimento específico do ataque durante o treinamento.
     • Vantagem: Preserva perfeitamente a precisão em dados limpos e é altamente eficaz contra ameaças conhecidas.
  2. FlowPure Estocástico (Gaussiano):
     • Projetado para cenários onde o tipo de ataque é desconhecido.
     • Utiliza um modelo generativo CNF pré-treinado (Gaussian-to-Data) e introduz um novo procedimento de inferência estocástica.
     • Mecanismo de Defesa: Injeta ruído nas etapas intermediárias da integração da EDO (Equação Diferencial Ordinária) durante a purificação. Isso aumenta a incerteza para o atacante, dificultando ataques adaptativos que dependem de gradientes exatos.

• Detecção Adversarial:

  • O método também pode ser usado para detectar ataques. A magnitude do campo de velocidade aprendido ($||v_\theta||$) em $t=0$ serve como pontuação de detecção. Exemplos adversariais, estando fora da variedade de dados (manifold), exibem velocidades iniciais significativamente maiores que amostras limpas.

3. Contribuições Principais

1. Primeira Aplicação de CNFs em Purificação: O FlowPure é o primeiro método a aplicar Fluxos Normais Contínuos para purificação adversarial, demonstrando que é possível aprender transformações diretas entre distribuições sem depender do processo estocástico de difusão tradicional.
2. Flexibilidade de Conhecimento do Ataque:
   • Oferece uma variante determinística que explora conhecimento prévio do ataque para máxima eficiência.
   • Oferece uma variante estocástica agnóstica ao ataque, que supera métodos baseados em difusão mesmo sem acesso à distribuição do ataque.
3. Desempenho Superior em Cenários Realistas: Demonstra que o FlowPure supera os métodos SOTA baseados em difusão em cenários "preprocessor-blind" (onde o atacante não conhece a defesa) e mantém a precisão em dados limpos.
4. Capacidade Dupla (Purificação + Detecção): O modelo atua não apenas como um purificador, mas também como um detector de alta precisão, alcançando quase 100% de acurácia na detecção de ataques PGD.

4. Resultados Experimentais

Os experimentos foram conduzidos nos conjuntos de dados CIFAR-10 e CIFAR-100, comparando o FlowPure com métodos como DiffPure, GDMP, LM e ADBM.

• Cenário Preprocessor-Blind (Atacante não conhece a defesa):

  • O FlowPure Determinístico (treinado para PGD ou CW) alcançou SOTA em robustez contra ataques correspondentes.
  • Preservação de Precisão: Diferente das bases de comparação, o FlowPure não degradou (e em alguns casos melhorou levemente) a precisão em dados limpos (benignos).
  • Transferibilidade: A variante treinada com PGD mostrou boa transferência para ataques CW, embora a transferência inversa fosse mais limitada devido às diferenças estruturais das perturbações.

• Cenário White-Box Adaptativo (Atacante conhece a defesa e usa gradientes):

  • Neste cenário de "pior caso" (usando ataques BPDA e DiffHammer), todas as defesas sofreram degradação significativa, confirmando a dificuldade extrema de defender contra atacantes com acesso total aos gradientes.
  • No entanto, a variante estocástica do FlowPure superou consistentemente os métodos baseados em difusão (como DiffPure) sob o ataque DiffHammer, demonstrando que a injeção de ruído controlada durante a inferência oferece uma vantagem de robustez.

• Detecção:

  • O FlowPure superou o método de detecção SOTA (BEYOND) na detecção de ataques PGD, alcançando pontuações AUC próximas de 1.0 e taxas de verdadeiros positivos (TPR) muito altas com falsos positivos baixos.

5. Significado e Conclusão

O trabalho FlowPure representa um avanço significativo na defesa adversarial ao demonstrar que os Fluxos Normais Contínuos são uma alternativa viável e superior aos modelos de difusão para purificação em muitos cenários.

• Impacto Prático: A capacidade de purificar exemplos sem sacrificar a precisão em dados limpos é crucial para a adoção prática de defesas em produção.
• Mudança de Paradigma: O artigo sugere que a dependência exclusiva de processos de difusão estocásticos pode não ser a única ou a melhor rota, e que mapeamentos determinísticos (ou estocásticos controlados) via CFM podem ser mais eficientes e robustos.
• Limitações e Futuro: O estudo reconhece que, sob ataques adaptativos brancos extremos (com gradientes exatos), nenhuma purificação é totalmente eficaz, reforçando a necessidade de modelos de ameaça mais realistas (como o preprocessor-blind) para avaliação de defesas. O trabalho também aponta a necessidade de modelos CNF pré-treinados mais complexos para escalar para datasets de maior resolução.

Em resumo, o FlowPure oferece uma abordagem robusta, eficiente e versátil para lidar com ameaças adversariais, equilibrando bem a segurança e a utilidade do modelo.