Accelerating Targeted Hard-Label Adversarial Attacks in Low-Query Black-Box Settings

Título: Acelerando Ataques Adversariais de Rótulo Duro Alvo em Cenários de Caixa Preta com Baixa Consulta

1. Problema e Contexto

As redes neurais profundas para classificação de imagens permanecem vulneráveis a exemplos adversariais (pequenas perturbações imperceptíveis que causam classificação errada). O foco deste trabalho são os ataques de rótulo duro (hard-label) em cenários de caixa preta, onde o atacante só tem acesso à previsão final (top-1) do modelo, sem acesso a gradientes ou probabilidades.

• Desafio Principal: Ataques alvo (onde o objetivo é forçar a imagem para uma classe específica) são inerentemente mais difíceis do que ataques não-alvo, pois as regiões de decisão para classes específicas são mais estreitas e isoladas.
• Limitação de Consultas: Em cenários do mundo real (como APIs comerciais), o número de consultas permitidas é severamente limitado (geralmente algumas centenas a menos de mil).
• Ineficiência Atual: Os métodos atuais de ponta (State-of-the-Art - SOTA) baseiam-se na geometria da fronteira de decisão (rastreamento de fronteira ou estimativa de gradiente). No entanto, quando a imagem alvo está longe da imagem fonte em um espaço de decisão amplo, esses métodos "queimam" muitas consultas tentando refinar localmente antes de alcançar a região estreita onde a geometria local é útil.

2. Metodologia: TEA (Targeted Edge-Informed Attack)

Os autores propõem o TEA, um ataque adversarial que não depende das propriedades locais da fronteira de decisão, mas sim das características intrínsecas da imagem alvo, especificamente as informações de bordas.

A lógica central é preservar as estruturas de borda (que são cruciais para a classificação correta da classe alvo) e aplicar perturbações apenas nas regiões não-borda, permitindo que a imagem adversarial se aproxime da imagem fonte mantendo a classificação alvo.

O método opera em duas etapas principais:

A. Busca Global Informada por Bordas

• Máscara de Borda Suave: Utiliza o operador de Sobel na imagem alvo para detectar bordas. Uma operação de desfoque (blur) cria uma máscara suave ($M_{edge}$), onde valores próximos a 1 indicam bordas e 0 indicam regiões suaves.
• Interpolação Global: A partir da imagem alvo ($x_t$), realiza-se uma interpolação iterativa em direção à imagem fonte ($x_s$).
  • A atualização é aplicada apenas nas regiões não-borda (máscara invertida).
  • Isso preserva a estrutura global necessária para manter a classe alvo, enquanto move a imagem em direção à fonte.
  • O tamanho do passo é otimizado via busca baseada em momento.

B. Busca Local Baseada em Patches (Refinamento)

• Quando a melhoria global estagna, o método divide a imagem em patches aleatórios.
• Para cada patch, aplica-se uma interpolação local, novamente preservando as bordas dentro desse patch.
• Utiliza-se uma função de ponderação Gaussiana sobre o patch para suavizar as atualizações nas bordas do patch, evitando a criação de artefatos artificiais (bordas falsas) nas fronteiras dos blocos.
• O processo continua até que não haja mais melhoria ou um critério de término seja atingido.

Estratégia Híbrida: O TEA é projetado para a fase de baixa consulta. Uma vez que a imagem adversarial atinge uma distância próxima à fonte e entra em um espaço de decisão estreito, o método pode ser usado como inicialização para métodos geométricos existentes (como CGBA-H) para refinamento final.

3. Contribuições Principais

1. Novo Paradigma de Ataque: Introdução de uma estratégia de perturbação informada por bordas que evita o uso de estimativas de gradiente locais nas fases iniciais, focando na preservação de características estruturais de baixo nível.
2. Eficiência em Baixa Consulta: O TEA consegue reduzir a distância $\ell_2$ entre a imagem adversarial e a fonte de forma muito mais rápida do que os métodos existentes quando o orçamento de consultas é limitado.
3. Validação Empírica Rigorosa: Avaliação extensiva no conjunto de dados ImageNet (1000 pares de imagens) em quatro arquiteturas (ResNet-50, ResNet-101, VGG16, ViT) e um modelo treinado adversarialmente.

4. Resultados Experimentais

Os resultados demonstram a superioridade do TEA em cenários de baixa consulta (até 1000 consultas):

• Redução de Consultas: Para atingir uma redução de 60% na distância $\ell_2$ em relação à imagem alvo, o TEA exigiu, em média, 251 consultas. O segundo melhor método (AHA) exigiu 845 consultas. Isso representa uma economia de ~70% nas consultas.
• Desempenho em Diferentes Arquiteturas: O TEA superou consistentemente métodos SOTA (HSJA, AHA, CGBA, CGBA-H) em todas as arquiteturas testadas (CNNs e Transformers).
• Taxa de Sucesso (ASR): O TEA alcançou taxas de sucesso mais altas para reduções de distância de 50% e 75% dentro de orçamentos fixos de consultas.
• Área Sob a Curva (AUC): O TEA apresentou os menores valores de AUC na curva de distância vs. consultas, indicando uma redução de distância mais rápida e eficiente.
• Robustez: O método funcionou bem em modelos treinados adversarialmente, em diferentes resoluções (64x64, 128x128) e em outros conjuntos de dados (CIFAR-100, Intel Image Classification).
• Estudo de Ablação: A remoção da preservação de bordas (INV-TEA, que perturba bordas) resultou em desempenho significativamente pior, confirmando que preservar as bordas é crucial para o sucesso inicial.
• Métricas Perceptuais: Embora o TEA introduza distorções estruturadas, ele mantém uma similaridade perceptual (FSIM) competitiva, sugerindo que as perturbações são menos visíveis do que métodos que ignoram a estrutura.

5. Significado e Impacto

• Segurança de APIs: O trabalho é altamente relevante para a segurança de sistemas de visão computacional comerciais que operam sob restrições de API (pagamento por consulta). O TEA demonstra que é possível realizar ataques eficazes com muito menos recursos do que se acreditava anteriormente.
• Limitações e Futuro: O TEA é otimizado para a fase inicial de baixa consulta. Em cenários de alta consulta, seu desempenho final é comparável ao dos métodos geométricos puros, servindo principalmente como uma excelente inicialização. O artigo sugere que futuras defesas devem ir além da detecção de perturbações baseadas em frequência e incorporar verificações para distorções informadas por estrutura e bordas.
• Ética: Os autores destacam que, embora o método seja uma ferramenta de pesquisa, ele pode ser usado para explorar vulnerabilidades em sistemas críticos, incentivando o desenvolvimento de defesas mais robustas.

Em resumo, o TEA representa um avanço significativo na eficiência de ataques adversariais de caixa preta, demonstrando que explorar a estrutura semântica da imagem alvo (bordas) é uma estratégia superior à exploração puramente geométrica da fronteira de decisão nas fases iniciais de um ataque.