Resumo Técnico: Sensibilidade à Perturbação Guiada (GPS)

Definição do Problema

Ataques adversários de texto representam uma ameaça persistente aos modelos de NLP baseados em transformadores, capazes de inverter previsões por meio de perturbações sutis e preservadoras de significado (ex: substituição de palavras únicas ou edições de caracteres). Embora esses modelos alcancem alto desempenho em benchmarks padrão, eles permanecem frágeis em aplicações de alto risco, como saúde e finanças. Os mecanismos de defesa existentes sofrem de limitações críticas: muitos são específicos para o ataque, exigem conhecimento da estratégia de perturbação, ou dependem de retreinamento custoso do modelo (treinamento adversário) ou métodos de robustez certificada que são computacionalmente proibitivos. Além disso, as abordagens de detecção atuais frequentemente sofrem overfitting a padrões de ataque específicos ou falham em generalizar entre diferentes conjuntos de dados e modelos. Existe uma lacuna significativa para um framework de detecção agnóstico ao ataque que não exija a modificação do modelo vítima ou retreinamento.

Metodologia: Sensibilidade à Perturbação Guiada (GPS)

Os autores propõem a Sensibilidade à Perturbação Guiada (GPS), um framework de detecção baseado na hipótese de que exemplos adversários residem em regiões de alta curvatura próximas às fronteiras de decisão, exibindo uma instabilidade desproporcional em suas representações de embedding comparadas ao texto benigno. O GPS opera sem modificar o modelo alvo e consiste em três estágios primários:

1. Classificação de Importância: O sistema primeiro identifica palavras influentes dentro de um texto de entrada $T$ usando heurísticas de importância post-hoc. O artigo avalia quatro estratégias:

   • Atribuição de Gradiente: Retropropagação da perda de entropia cruzada para computar a norma $\ell_2$ dos gradientes em relação aos embeddings de entrada.
   • Rollout de Atenção: Agregação de padrões de atenção através das camadas do transformador para estimar a importância do token.
   • Grad-SAM: Uma abordagem híbrida que combina informação de gradiente com pesos de atenção.
   • Linha de Base Aleatória: Um mecanismo de controle para comparação.

2. Perfil de Sensibilidade Sequencial: As $K$ palavras mais importantes são sequencialmente mascaradas (substituídas pelo token [MASK]). Para cada operação de mascaramento, o sistema computa a pontuação de sensibilidade ($s_k$), definida como a distância de cosseno entre o embedding de referência original e o embedding do texto mascarado.

   • Observação Chave: Palavras adversariamente perturbadas exibem uma sensibilidade significativamente maior ao mascaramento do que palavras naturalmente importantes em textos benignos. Este "desvio de embedding" serve como o sinal central para detecção.

3. Detecção via BiLSTM: As pontuações de sensibilidade são pareadas com as pontuações de importância originais para formar um tensor de características $Z \in \mathbb{R}^{N \times 2}$, preservando a ordem original das palavras. Este tensor é processado por um classificador BiLSTM leve para prever se a entrada é benigna ou adversária. O BiLSTM captura dependências sequenciais no traço de sensibilidade-importância.

Principais Contribuições

• Novo Framework de Detecção: Introdução do GPS, que detecta exemplos adversários medindo a instabilidade do embedding sob mascaramento de palavras direcionado, sem exigir modificação do modelo alvo.
• Validação Empírica da Instabilidade: Demonstração de que exemplos adversários exibem aproximadamente 2$\times$ mais sensibilidade de embedding ao mascaramento estratégico de palavras em comparação com entradas benignas, vinculando empiricamente a teoria de fronteira de decisão à instabilidade de nível de representação.
• Avaliação Abrangente: Testes extensivos em 18 configurações experimentais envolvendo três conjuntos de dados (IMDB, AG News, Yelp), três tipos de ataque (TextFooler, BERT-Attack, DeepWordBug) e dois modelos vítima (RoBERTa, DeBERTa).
• Insight sobre Mecanismos de Classificação: Descoberta de que a classificação de importância baseada em gradiente supera significativamente os métodos baseados em atenção e híbridos para ataques de nível de palavra, com uma forte correlação ($\rho > 0.65$) entre a qualidade da identificação de perturbação e o desempenho de detecção.
• Generalização e Eficiência: Demonstração de que o GPS generaliza para conjuntos de dados, ataques e modelos não vistos sem retreinamento. O método alcança alta eficiência, onde $K=5$ palavras mascaradas captura mais de 98% do desempenho observado em $K=50$.

Resultados

• Acurácia de Detecção: O GPS atinge mais de 85% de acurácia de detecção em diversas configurações. Em cenários específicos de alto desempenho (ex: DeepWordBug no IMDB com RoBERTa), a acurácia chega a 96,8%.
• Comparação com SOTA: O GPS supera consistentemente ou iguala baselines de estado da arte como o TextShield (um ensemble de LSTMs) e detecção baseada em sharpness. Notavelmente, enquanto os baselines degradam significativamente em ataques de nível de caractere (DeepWordBug) em certos conjuntos de dados, o GPS mantém um desempenho robusto.
• Generalização: O framework demonstra forte transferibilidade de domínio. Ele generaliza efetivamente através de mudanças de dataset (ex: Yelp $\to$ IMDB) e mudanças de modelo (ex: RoBERTa $\to$ DeBERTa). No entanto, o desempenho cai ao transferir de ataques mais fracos (nível de caractere) para ataques semânticos mais fortes, refletindo a assimetria modelo-ataque.
• Custo Computacional: O GPS oferece um compromisso favorável entre acurácia e eficiência. Requer significativamente menos tempo de computação que o TextShield (frequentemente 5–10$\times$ mais rápido), fornecendo acurácia competitiva ou superior. O escalonamento linear do custo de computação com $K$ permite que praticantes ajustem o sistema para ambientes com restrição de recursos.
• Análise de Correlação: Existe uma forte correlação positiva entre a qualidade da identificação de perturbação (medida por NDCG) e a acurácia de detecção para ataques de nível de palavra. Essa relação é dependente do dataset, sendo mais forte em AG News e Yelp, mas negligenciável em IMDB, sugerindo que os mecanismos de detecção variam conforme as características do texto.

Significância e Alegações

O artigo afirma que o GPS fornece uma solução prática e agnóstica ao ataque para detecção de texto adversário. Ao explorar a instabilidade fundamental dos embeddings em vez de depender de artefatos de ataque específicos ou retreinamento caro, o GPS aborda a lacuna de generalização que aflige as defesas atuais.

Os autores enfatizam que a instabilidade do embedding é uma propriedade intrínseca de exemplos adversários, observável independentemente da heurística de importância utilizada, embora métodos baseados em gradiente produzam os melhores resultados para ataques de nível de palavra. A capacidade do framework de generalizar através de arquiteturas e datasets sem retreinamento posiciona-o como uma alternativa escalável aos métodos baseados em sharpness e ensembles. O trabalho sugere que futuras arquiteturas robustas podem ser informadas pela análise de instabilidade de embedding e que a seleção adaptativa do parâmetro de mascaramento $K$ pode otimizar ainda mais o equilíbrio entre qualidade de detecção e custo computacional.