One Surrogate to Fool Them All: Universal, Transferable, and Targeted Adversarial Attacks with CLIP

Imagine que a internet é uma cidade gigante e movimentada onde os computadores atuam como policiais, médicos e lojistas. Esses computadores usam um tipo especial de cérebro chamado Rede Neural Profunda (DNN) para tomar decisões, como reconhecer um gato em uma foto ou diagnosticar uma doença. Por muito tempo, cientistas descobriram um truque estranho: você pode enganar esses cérebos de computador com "ataques adversários". É como colocar um adesivo minúsculo, quase invisível, em uma placa de pare que faz o computador pensar que é uma placa de limite de velocidade. Normalmente, para realizar esse truque, um hacker precisa ou espiar o código secreto do computador (o que é impossível no mundo real) ou fazer milhares de perguntas ao computador para descobrir seus segredos (o que é muito lento e caro).

Mas e se você pudesse enganar qualquer cérebro de computador sem nunca fazer uma única pergunta? Essa é a grande questão que este artigo aborda. Os pesquisadores usaram uma ferramenta poderosa chamada CLIP, que é como um bibliotecário superinteligente que leu bilhões de livros e viu bilhões de imagens, aprendendo como palavras e imagens se conectam. Eles queriam ver se esse "bibliotecário universal" poderia ser usado para criar uma chave mestra — uma única distorção digital minúscula — que pudesse enganar quase qualquer sistema de visão computacional, desde o Google Search até robôs de alta tecnologia, apenas usando palavras simples como "galinha" ou "gato" como guia.

A Chave Mestra: Um Substituto para Enganar a Todos

Conheça o UnivIntruder, um novo framework de ataque introduzido por Binyan Xu e sua equipe. Pense nele como uma "chave mestra universal" para a visão computacional. No passado, se um hacker quisesse enganar um sistema de computador específico, ele precisava construir uma cópia falsa desse sistema (um "modelo substituto" ou surrogate model) usando os mesmos dados nos quais o sistema real foi treinado. Era como tentar abrir uma fechadura específica construindo primeiro uma réplica perfeita da fechadura usando o mesmo metal e parafusos. Se você não tivesse as plantas da fechadura original ou o metal exato, sua chave falsa não funcionaria.

O UnivIntruder muda o jogo. Os pesquisadores perceberam que não precisavam de uma cópia perfeita do alvo. Em vez disso, eles usaram o CLIP, uma IA publicamente disponível e superinteligente que entende a relação entre imagens e texto. Eles trataram o CLIP como seu "substituto" ou fechadura de prática. Aqui está a mágica: eles não tentaram copiar os dados de treinamento do alvo. Em vez disso, usaram um conjunto de dados público de imagens aleatórias (que podem não parecer nada com os dados do alvo) e conceitos de texto simples.

Como o Truque Funciona:
Imagine que você quer enganar uma câmera de segurança para que ela pense que a foto de um esquilo é, na verdade, uma "galinha".

1. O Guia de Texto: Você diz ao sistema: "Eu quero que isso pareça uma galinha" e "Eu não quero que pareça um gato ou um cavalo".
2. O Deslocamento Direcional: Em vez de apenas olhar para a imagem, o sistema olha para a diferença entre a imagem e o texto. Ele calcula uma "direção" no cérebro do computador. Ele pergunta: "Se eu empurrar esta imagem de esquilo nesta direção específica, ela se aproximará do conceito de 'galinha' e se afastará do conceito de 'gato'?"
3. O Adesivo Universal: O sistema cria um "adesivo" universal minúsculo (uma perturbação) que, quando adicionado a qualquer imagem, a empurra nessa direção.
4. A Reviravolta: Para garantir que este adesivo funcione em qualquer câmera, não apenas na que eles praticaram, eles giram, dão zoom e cortam as imagens enquanto criam o adesivo. Isso força o adesivo a ser robusto, como um adesivo que ainda funciona mesmo se o carro passar por um lava-jato ou ficar coberto de lama.

Os Resultados: Enganando o Mundo

A equipe testou essa "chave mestra" em uma escala massiva. Eles não testaram em apenas um computador; testaram em 85 modelos diferentes e aplicações do mundo real.

• Os Números: Nos conjuntos de testes padrão, o ataque deles foi assustadoramente eficaz. No conjunto de dados CIFAR-10 (um teste comum para reconhecimento de imagens), eles alcançaram uma taxa de sucesso de 99,4%. No enorme conjunto de dados ImageNet (com 1.000 categorias diferentes), atingiram 85,1%.
• O Mundo Real: É aqui que fica assustador. Eles não pararam apenas em testes de laboratório. Eles tentaram enganar serviços reais:
  • Motores de Busca: Eles fizeram o upload de uma imagem perturbada de um macaco para o Google, Baidu, Taobao e JD; os mecanismos de busca, em vez de mostrar macacos, começaram a mostrar galinhas. No Baidu, a taxa de sucesso foi de 84%.
  • Super-IA: Eles testaram no GPT-4 e no Claude-3.5, os chatbots de IA mais avançados. Ao serem mostradas uma imagem perturbada de um macaco, essas IAs descreveram-no confiantemente como uma "galinha" ou um "pintinho". A taxa de sucesso no Claude-3.5 foi de 80%.
  • Geradores de Imagem: Até as IAs que desenham imagens, como o DALL·E 3, foram enganadas. Ao serem solicitadas a gerar uma imagem baseada na entrada perturbada, elas produziram imagens de galinhas em vez de macacos.

Por Que Outros Métodos Falharam

O artigo é muito claro sobre o que não funciona. Métodos anteriores tentaram usar o CLIP como um auxiliar, mas falharam porque não levaram em conta o "viés" dos dados.

• O Problema do Viés: Se você treina uma fechadura falsa usando um conjunto de dados que tem um tom levemente azulado, sua chave pode só funcionar em fechaduras azuladas. Os pesquisadores descobriram que, ao usar "direções" (subtraindo as características da imagem original das novas características) em vez de características brutas, eles cancelaram esses vieses.
• O Probleimento do Substituto: Outros métodos tentaram usar o CLIP, mas falharam ao transferir o ataque para outros modelos. Os autores mostraram que, sem seus truques específicos de "direcionamento" e "transformação aleatória", mesmo usando o CLIP, as taxas de falha eram superiores a 70% em modelos avançados. O UnivIntruder é o único método que conseguiu fazer a ponte com sucesso entre o modelo público CLIP e os diversos modelos desconhecidos usados no mundo real.

O Que Isso Significa para a Segurança

O artigo sugere que nossa ideia atual de segurança pode estar quebrada. Normalmente, pensamos que, se escondermos nossos dados de treinamento e limitarmos quantas perguntas as pessoas podem fazer, estaremos seguros. O UnivIntruder prova que um atacante pode contornar essas defesas inteiramente. Eles não precisam dos seus dados e não precisam fazer perguntas a você. Eles só precisam de uma IA pública (CLIP) e de algumas palavras.

Os pesquisadores também testaram se podemos impedir isso. Eles tentaram o "treinamento adversário" (ensinar o computador a resistir a truques) e as "defesas de tempo de teste" (limpar a imagem antes de ela ser processada). Embora esses métodos tenham ajudado um pouco, eles frequentemente tornavam o computador pior em seu trabalho real (como reconhecer gatos reais) ou eram caros demais para rodar em sistemas gigantes como o GPT-4. O artigo conclui que precisamos repensar como protegemos a IA, porque um único modelo disponível publicamente pode agora ser usado para enganar quase tudo.

Em suma, o UnivIntruder é um alerta. Ele mostra que, com a "chave mestra" certa, os sistemas de visão do mundo digital são muito mais frágeis do que pensávamos, e a única coisa que separa um macaco de uma galinha aos olhos de uma IA pode ser um pequeno e invisível erro digital.