Out-of-the-box: Black-box Causal Attacks on Object Detectors

Resumo Técnico: Out-of-the-box – Ataques Causais de Caixa-Preta em Detectores de Objetos

1. O Problema

Os detectores de objetos (ODs), essenciais para aplicações como carros autônomos, são vulneráveis a perturbações adversariais. A maioria dos métodos existentes de ataque é:

• Caixa-branca (White-box): Requer acesso às camadas ocultas e gradientes do modelo, o que é uma premissa de ataque irrealista na prática.
• Específicas de arquitetura: Dependem de detalhes internos do modelo.
• Não explicáveis: Embora consigam enganar o modelo, é difícil entender por que uma perturbação específica funcionou. Ataques genéricos (como ruído gaussiano global) não revelam a relação causal entre os pixels perturbados e a falha do modelo.

Existe uma lacuna na compreensão de quais pixels são realmente "causais" para a detecção e se esses pixels estão sempre contidos dentro da caixa delimitadora (bounding box) do objeto.

2. Metodologia: BlackCAtt

O artigo apresenta o BlackCAtt (Black-box Causal Attacks), um algoritmo e ferramenta de ataque de caixa-preta baseada em causalidade. A abordagem central baseia-se no conceito de Conjuntos Mínimos de Pixels Suficientes (MSPS - Minimal Sufficient Pixel Sets).

• Definição de MSPS: Um subconjunto mínimo de pixels de uma imagem que, se mantido (com o resto mascarado), é suficiente para que o modelo mantenha a mesma classificação/detecção.
• Descoberta Chave: O trabalho revela que os MSPS frequentemente contêm pixels fora da caixa delimitadora (bounding box) do objeto detectado. Isso indica que os detectores dependem de contexto externo para tomar decisões, não apenas dos pixels do objeto em si.
• Algoritmos Propostos:
  1. BlackCAttBl (Blended): Combina dois mapas de responsabilidade (um para a detecção atual e outro para uma detecção nula ou alvo diferente) para criar uma máscara de ataque. Ele perturba pixels dentro e fora da caixa delimitadora, priorizando os pixels causais identificados pelo MSPS.
  2. BlackCAttMoG (Mixture of Gaussians): Trata o mapa de responsabilidade como uma mistura de Gaussianas. Extrai picos de alta responsabilidade dentro do MSPS e gera uma perturbação suave e espacialmente coerente (usando kernels Gaussianos 2D) para maximizar a imperceptibilidade.
• Cenários de Ataque:
  • Caixa-Preta Pura: Funciona apenas com o rótulo e a posição da caixa delimitadora (sem acesso a scores de confiança ou funções de perda).
  • Meta-algoritmo: Quando tem acesso ao score de confiança ou função de perda, o BlackCAtt pode atuar como um otimizador para melhorar ataques existentes (como Square Attack), tornando-os menores e mais explicáveis.

3. Contribuições Principais

1. Primeiro Ataque Explicável de Caixa-Preta para ODs: O BlackCAtt é o primeiro método a gerar ataques adversariais explicáveis para detectores de objetos sem acesso ao modelo interno.
2. Caracterização Espacial do MSPS: Demonstra empiricamente que os pixels causais para a detecção frequentemente residem fora da caixa delimitadora do objeto, desafiando a intuição de que apenas o objeto importa.
3. Algoritmos Eficientes: Desenvolveu duas variantes (Blended e MoG) que geram perturbações de baixa distorção para três objetivos: remover detecção, alterar classificação e adicionar detecções espúrias.
4. Meta-otimização: Mostra que usar MSPS como prior espacial pode melhorar significativamente a eficiência e a imperceptibilidade de ataques de estado da arte (SOTA) baseados em scores.
5. Reprodutibilidade: Fornece um protocolo de avaliação rigoroso com métricas quantitativas (taxa de sucesso, normas L0, L1, L2, LPIPS) e código aberto.

4. Resultados Experimentais

Os experimentos foram realizados no conjunto de dados COCO utilizando três arquiteturas distintas: YOLOv11 (single-stage), Faster R-CNN (two-stage) e RT-DETR (baseado em Transformer).

• Desempenho vs. Baselines:
  • O BlackCAtt superou significativamente ataques de caixa-preta não direcionados (como ruído global e ruído direcionado à borda).
  • Em termos de taxa de sucesso para adicionar detecções espúrias, o BlackCAtt alcançou até 53% de sucesso, enquanto as baselines raramente ultrapassavam 10% sob restrições de distorção estritas.
• Redução de Distorção (Imperceptibilidade):
  • Ao usar o BlackCAtt como um guia para o Square Attack (SA), a distância média (norma L0) do ataque em relação à entrada original caiu drasticamente de 0.987 para 0.072, mantendo uma taxa de sucesso similar.
  • Isso significa que os ataques são muito menores e menos perceptíveis ao olho humano quando focam apenas nos pixels causais.
• Robustez entre Arquiteturas:
  • O método funcionou consistentemente bem em todas as arquiteturas testadas, embora o RT-DETR tenha mostrado ser ligeiramente mais robusto a perturbações localizadas.
  • A descoberta de que os MSPS estão frequentemente fora da caixa delimitadora foi consistente em todos os modelos, independentemente do nível de confiança da detecção.
• Ablação e Análise:
  • Ataques realizados apenas em pixels causais fora da caixa delimitadora, embora menos frequentes em sucesso absoluto, exigiram áreas de perturbação muito menores (ex: ~38px vs ~163px no RT-DETR) para falhar na detecção, resultando em ataques mais sutis.

5. Significado e Impacto

• Segurança e Robustez: O trabalho fornece uma nova perspectiva para entender as vulnerabilidades dos detectores de objetos. Ao revelar que o contexto externo é crucial para a decisão do modelo, sugere que a defesa deve focar não apenas no objeto, mas também no seu entorno.
• Explicabilidade (XAI): Oferece uma forma transparente de entender como os modelos tomam decisões. Se um ataque remove a detecção ao perturbar pixels fora da caixa, isso revela que o modelo estava "confiando" nesses pixels externos.
• Defesa Prática: Os autores sugerem que o BlackCAtt pode ser usado no treinamento adversarial para regularizar o modelo, forçando-o a depender menos de contextos enganosos e mais nas características intrínsecas do objeto.
• Generalidade: Como é agnóstico à arquitetura e funciona em caixa-preta, o método é aplicável a qualquer detector de objetos em produção, sem necessidade de acesso ao código-fonte ou pesos do modelo.

Em resumo, o BlackCAtt demonstra que atacar as causas (pixels suficientes) de uma detecção, e não apenas o objeto visível, é uma estratégia mais eficiente, explicável e sutil para comprometer a segurança de sistemas de visão computacional.