Exploring Adversarial Watermarking in Transformer-Based Models: Transferability and Robustness Against Defense Mechanism for Medical Images

Resumo Técnico: Investigação de Watermarking Adversário em Modelos Baseados em Transformers para Imagens Médicas

1. O Problema

Com o avanço da inteligência artificial na dermatologia, os modelos de Vision Transformers (ViTs) surgiram como uma alternativa poderosa às Redes Neurais Convolucionais (CNNs), devido à sua capacidade de capturar relações globais e dependências de longo alcance através de mecanismos de autoatenção (self-attention). No entanto, essa mesma característica de atenção global torna os ViTs altamente vulneráveis a perturbações adversárias — pequenas alterações imperceptíveis ao olho humano, mas que podem induzir o modelo a erros de classificação catastróficos (ex: confundir um melanoma maligno com uma lesão benigna). O estudo foca na vulnerabilidade desses modelos a ataques de watermarking adversário e na necessidade de mecanismos de defesa robustos em contextos médicos sensíveis.

2. Metodologia

A pesquisa utilizou uma abordagem experimental comparativa entre arquiteturas de Transformers (ViT) e CNNs tradicionais (ResNet-50 e VGG16).

• Geração de Ataques: Foi utilizado o algoritmo Projected Gradient Descent (PGD) para criar as perturbações adversárias. O PGD busca maximizar a perda de predição do modelo enquanto mantém a alteração dentro de um limite ($\epsilon$) que garanta a invisibilidade da marca d'água para humanos.
• Dataset: O estudo utilizou um conjunto de dados de cinco classes de doenças de pele (Dermatite atópica, Eczema, Herpes, Nevus e Melanoma), com imagens redimensionadas para $224 \times 224$ pixels.
• Mecanismo de Defesa: Foi implementado o Treinamento Adversário (Adversarial Training). Neste processo, o modelo é treinado não apenas com imagens limpas, mas também com exemplos perturbados pelo PGD, forçando a rede a aprender representações mais robustas.
• Fluxo de Trabalho: O processo envolveu a coleta de dados, pré-processamento (normalização e aumento de dados), treinamento do modelo base, geração de ataques e, finalmente, o treinamento defensivo para avaliação da resiliência.

3. Principais Contribuições

• Análise de Vulnerabilidade Comparativa: O trabalho demonstra que, embora os ViTs superem as CNNs em precisão com imagens limpas, eles são significativamente mais frágeis a ataques adversários devido à sua arquitetura de atenção global.
• Avaliação de Transferibilidade: O estudo investiga como ataques projetados para um modelo podem afetar outros, destacando o risco em ambientes de saúde heterogêneos.
• Validação de Defesa: Demonstra a eficácia do treinamento adversário como uma estratégia de mitigação para tornar os modelos de Transformer viáveis e seguros para uso clínico.

4. Resultados

Os resultados experimentais revelaram um contraste marcante entre o desempenho normal e sob ataque:

• Desempenho em Imagens Limpas: O ViT apresentou a maior precisão (94,4%), seguido pela ResNet-50 (94,2%) e VGG16 (84,0%).
• Impacto do Ataque (PGD): Sob ataque, a precisão do ViT despencou drasticamente para apenas 27,6%, tornando-o muito mais vulnerável que a ResNet-50 (70,0%) e a VGG16 (54,4%). Isso confirma que a atenção global do ViT amplifica o efeito de pequenas perturbações distribuídas.
• Eficácia da Defesa: Após o treinamento adversário, o ViT recuperou sua robustez de forma impressionante, elevando sua precisão em imagens atacadas de 27,6% para 90,0% (um aumento de +62,4%).

5. Significância

Este estudo é crucial para a implementação de IA na medicina diagnóstica. Ele alerta que a adoção de modelos de última geração, como os Transformers, sem as devidas proteções contra ataques adversários, pode comprometer a segurança do paciente e a integridade dos diagnósticos. A pesquisa prova que, embora os ViTs possuam uma "superfície de ataque" maior, eles podem ser tornados altamente confiáveis e resilientes através de técnicas de treinamento robusto, abrindo caminho para o uso seguro de modelos de atenção global em sistemas de teledermatologia.