CP-uniGuard: A Unified, Probability-Agnostic, and Adaptive Framework for Malicious Agent Detection and Defense in Multi-Agent Embodied Perception Systems

Resumo Técnico: CP-uniGuard

1. O Problema

A Percepção Colaborativa (CP) é uma técnica fundamental para sistemas de direção autônoma e robótica multiagente, onde múltiplos agentes compartilham informações de percepção (como dados de sensores brutos, características intermediárias ou resultados de detecção) para superar limitações individuais, como oclusão e alcance de sensores.

No entanto, essa arquitetura introduz uma vulnerabilidade crítica de segurança:

• Superfície de Ataque Ampliada: Ao depender de mensagens de agentes externos, o sistema torna-se suscetível a agentes maliciosos.
• Ataques Adversariais: Um agente malicioso pode injetar perturbações adversariais nos mapas de características intermediários (intermediate feature maps) antes de enviá-los ao agente egoísta (ego agent). Como essas características não são visualmente interpretáveis por humanos, as modificações são sutis e difíceis de detectar.
• Consequências: Se um agente malicioso não for identificado e eliminado, ele pode corromper a fusão de percepção, levando a classificações errôneas (ex.: semáforos, pedestres) e acidentes catastróficos.

Limitações das Soluções Existentes:

• Métodos anteriores (como ROBOSAC) exigem probabilidades prévias da presença de agentes maliciosos, o que raramente é conhecido na prática.
• Outros métodos exigem verificação individual de cada colaborador, o que é computacionalmente intensivo e ineficiente.
• Abordagens baseadas em treinamento (como detecção de anomalias) exigem dados de ataque conhecidos para treinamento e falham em generalizar para novos tipos de ataques.

2. Metodologia: O Framework CP-uniGuard

O CP-uniGuard é um mecanismo de defesa unificado, adaptativo e agnóstico à probabilidade (não requer conhecimento prévio da taxa de ataque). Ele opera em três componentes principais:

A. Consenso de Amostragem Agnóstico à Probabilidade (PASAC)

• Objetivo: Selecionar eficientemente um subconjunto de colaboradores para verificação sem saber quantos são maliciosos.
• Funcionamento: Utiliza um processo de divisão binária adaptativa. O agente egoísta divide os colaboradores em dois grupos e verifica a consistência de cada grupo.
  • Se um grupo for consistente (baixa perda de consistência), todos os seus membros são marcados como benignos.
  • Se um grupo for inconsistente, ele é subdividido recursivamente até isolar os agentes maliciosos.
• Vantagem: Reduz drasticamente o número de verificações necessárias em comparação com a verificação linear, operando em complexidade logarítmica em relação ao número de agentes maliciosos.

B. Perda de Consistência Colaborativa (CCLoss)

• Objetivo: Fornecer uma métrica precisa para verificar o consenso entre o agente egoísta e os colaboradores.
• Mecanismo: Calcula a discrepância entre a percepção do agente egoísta (sozinho) e a percepção resultante da fusão com um grupo de colaboradores.
  • Para Detecção de Objetos: Utiliza um algoritmo de emparelhamento (Hungarian match) para comparar caixas delimitadoras (bounding boxes) propostas, penalizando diferenças na posição e na confiança da classe.
  • Para Segmentação BEV (Bird's Eye View): Calcula a sobreposição ponderada das distribuições de probabilidade de pixels entre o mapa de segmentação do ego e o mapa fundido.
• Critério: Uma perda baixa indica consenso (agente benigno); uma perda alta indica conflito (possível agente malicioso).

C. Limiar Adaptativo Online via Janelas Deslizantes Duplas

• Objetivo: Ajustar dinamicamente o limiar de decisão para lidar com ambientes dinâmicos e evitar falsos positivos/negativos.
• Funcionamento: Mantém duas janelas deslizantes fixas: uma armazenando as pontuações de consenso de grupos classificados como BENIGNOS e outra para grupos CONTAMINADOS.
• Atualização: O limiar de decisão ($\epsilon_t$) é calculado como a média entre o quantil superior das pontuações benignas e o quantil inferior das pontuações contaminadas, suavizado por uma Média Móvel Ponderada Exponencialmente (EWMA). Isso permite que o sistema se adapte rapidamente a novas estratégias de ataque.

3. Principais Contribuições

1. Framework Unificado: Propõe o CP-uniGuard, capaz de detectar e eliminar agentes maliciosos em redes de colaboração locais sem depender de dados de treinamento específicos para ataques ou probabilidades prévias.
2. PASAC: Desenvolve um método de amostragem que elimina a necessidade de conhecimento prévio sobre a proporção de agentes maliciosos, garantindo eficiência computacional.
3. CCLoss: Introduz uma função de perda personalizada para tarefas de detecção e segmentação que serve como critério robusto de verificação de consenso.
4. Adaptabilidade: Implementa um esquema de limiar adaptativo que garante a confiabilidade do sistema em cenários dinâmicos, ajustando-se automaticamente às variações de ruído e ataque.
5. Validação Experimental: Demonstra superioridade em tarefas de detecção de objetos e segmentação BEV sob diversos ataques adversariais.

4. Resultados Experimentais

Os experimentos foram realizados nos conjuntos de dados V2X-Sim (simulado) e DAIR-V2X (real), atacados com métodos FGSM, C&W e PGD.

• Desempenho de Defesa:
  • Em tarefas de Segmentação BEV, o CP-uniGuard alcançou um mIoU de 39.34% sob ataque PGD, muito próximo do limite superior (40.45% sem ataque) e significativamente superior à abordagem sem defesa (14.34%).
  • Em Detecção de Objetos, o método obteve 80.4 AP@0.5 contra ataques PGD, superando o estado da arte (ROBOSAC) em 2.5 pontos percentuais e a defesa por treinamento adversarial em 4.8 pontos.
• Eficiência de Amostragem (PASAC):
  • O PASAC reduziu o número de verificações necessárias em comparação com o ROBOSAC e a amostragem linear. Em cenários com múltiplos agentes, o número de verificações cresceu de forma logarítmica, tornando-o escalável.
• Generalização:
  • Diferente de métodos baseados em treinamento (como CP-Guard+), o CP-uniGuard demonstrou excelente generalização contra ataques não vistos durante o treinamento, pois sua lógica baseia-se na verificação de consenso físico e não em padrões aprendidos de ruído.
• Latência:
  • A latência por verificação de grupo é comparável a outros métodos, mas a redução no número total de verificações necessárias para isolar agentes maliciosos oferece um melhor equilíbrio entre eficiência e robustez.

5. Significado e Impacto

O CP-uniGuard representa um avanço significativo na segurança de sistemas multiagente autônomos. Ao eliminar a dependência de probabilidades prévias e de dados de treinamento específicos para ataques, o framework oferece uma solução prática e robusta para o mundo real, onde as taxas de ataque são desconhecidas e os métodos de ataque evoluem constantemente.

A capacidade de operar em tempo real, adaptando-se dinamicamente a mudanças no ambiente e mantendo alta precisão de percepção mesmo sob ataques sofisticados, torna esta tecnologia essencial para a implantação segura de frotas de veículos autônomos e sistemas robóticos colaborativos. O trabalho preenche uma lacuna crítica na literatura, focando na defesa proativa baseada em consenso em vez de apenas na detecção reativa de anomalias.