DDSA: Dual-Domain Strategic Attack for Spatial-Temporal Efficiency in Adversarial Robustness Testing

Resumo Técnico: DDSA – Ataque Estratégico de Domínio Duplo para Eficiência Espaço-Temporal em Testes de Robustez Adversária

Declaração do Problema
Aplicações críticas de recursos que dependem de transmissão e processamento de imagens em tempo real — como operações de busca e salvamento (SAR), monitoramento agrícola e classificação de redes sociais — enfrentam desafios significativos devido a perturbações adversárias. Embora os métodos atuais de teste de robustez (ex: FGSM, PGD) sejam eficazes, eles dependem de processamento exaustivo quadro a quadro e perturbações de imagem completa. Esta abordagem é computacionalmente proibitiva para implantações de larga escala onde fluxos massivos de imagens exigem processamento imediato. Além disso, os métodos tradicionais não consideram a heterogeneidade do conteúdo; nem todas as imagens ou regiões dentro de uma imagem carregam igual importância para o sucesso da missão. Por exemplo, classificar incorretamente um humano em uma operação de SAR é vital para a vida, enquanto classificar incorretamente a vegetação é negligenciável. Os frameworks existentes carecem de mecanismos para priorizar esses elementos críticos, levando a um desperdício computacional substancial em conteúdos não essenciais.

Metodologia
O artigo propõe o DDSA (Dual-Domain Strategic Attack), um framework de teste de robustez adversária eficiente em recursos que otimiza o teste através de seletividade temporal e precisão espacial. O framework opera via três etapas interconectadas:

1. Função de Gatilho Temporal:
   Este componente determina quando atacar, avaliando a prioridade e a incerteza da classe prevista para cada imagem de entrada. Uma pontuação de prioridade de classificação ($Q_i$) é computada usando:

   • Consciência de Cenário ($R^{scena}$): Atribui pesos maiores a classes críticas para a missão (ex: humanos) com base na expertise do domínio.
   • Qualidade Baseada em Dados ($R^{data}$): Quantifica a confiança da classificação e a força da predição usando probabilidades softmax e entropia.
   • Consistência ($R^{consist}$): Avalia a confiabilidade do modelo via estimativa de incerteza Bayesiana usando Monte Carlo dropout.
     Um ataque é iniciado apenas se a pontuação de prioridade exceder um limiar predefinido ($\tau$), filtrando quadros rotineiros ou de baixo risco.

2. Localização de Características Espaciais:
   Uma vez que um quadro é selecionado para teste, este componente determina onde atacar. Ele emprega Gradientes Integrados (IG), uma técnica de IA Explicável (XAI), para gerar um mapa de saliência destacando regiões de pixels mais influentes para as decisões de classificação. Uma máscara binária é criada por meio do limiar desses escores de importância, restringindo as perturbações às regiões críticas em vez de toda a imagem.

3. Geração de Ataque Estratégico:
   Os exemplos adversários finais são gerados aplicando perturbações apenas às classes prioritárias (eficiência temporal) e apenas aos pixels críticos identificados pela XAI (eficiência espacial). A perturbação é calculada como:
   $\tilde{x}_i = x_i + \epsilon \cdot B_i \odot \text{sign}(\nabla_{x_i} J(x_i, y_{true}))$
   onde $B_i$ é a máscara binária derivada do mapa de saliência.

Principais Contribuições

• Otimização de Domínio Duplo: O artigo introduz um novo framework que aborda simultaneamente a heterogeneidade de conteúdo temporal (decidir quando atacar) e a significância da região espacial (decidir onde atacar).
• Gatilho Consciente de Cenário: Um mecanismo que integra a expertise do domínio com a incerteza do modelo para filtrar quadros não críticos, reduzindo o overhead desnecessário no processamento sequencial.
• Direcionamento Guiado por XAI: A aplicação de Gradientes Integrados para localizar regiões de pixels influentes, permitindo perturbações direcionadas que minimizam o uso de recursos enquanto mantêm a eficácia do ataque.
• Métrica Eficiente em Recursos: Uma métrica de avaliação relacionada à segurança ($P_{total}$) que equilibra o sucesso do ataque contra a utilização de recursos, penalizando ataques malsucedidos e o desperdício de recursos em conteúdo não crítico.

Resultos Experimentais
Os autores conduziram simulações abrangentes usando os datasets CIFAR-10, Fashion-MNIST e VOC2012 com classificadores ResNet-18.

• Eficiência Espacial: Experimentos demonstraram que o direcionamento guiado por XAI preserva altas taxas de sucesso de ataque mesmo com redução espacial significativa. Por exemplo, o PGD-60 manteve taxas de sucesso superiores a 98% ao perturbar apenas 40% dos pixels da imagem. Ataques estratégicos exigiram o direcionamento de meros 30% da área de pixels para atingir 95% de taxa de sucesso, afetando apenas 0,0123% do total de pixels na simulação.
• Eficiência Temporal: Ao filtrar quadros não críticos, o DDSA alcançou uma redução de 80–97% no tempo computacional em comparação com o teste exaustivo convencional.
• Simulação de Larga Escala: Em cenários de alto rendimento processando 30.000 imagens, os métodos convencionais geraram pontuações negativas severas devido ao processamento indiscriminado de conteúdo não crítico. Em contraste, todas as variantes do DDSA alcançaram pontuações operacionais positivas, validando a capacidade do framework de lidar com fluxos massivos de imagens de forma eficiente.

Significância e Alegações
O artigo afirma que o DDSA preenche a lacuna entre o teste adversário em escala de laboratório e a implantação no mundo real em ambientes de recursos limitados. Ao permitir um teste de robustez abrangente e prático que foca os recursos computacionais em conteúdo crítico para a missão, o framework suporta a confiabilidade de sistemas críticos de segurança onde a eficiência computacional impacta diretamente o sucesso da missão. Os autores afirmam que sua estratégia de domínio duplo alcança uma substancial conservação de recursos espaço-temporais sem comprometer a eficácia dos ataques adversários nas classes prioritárias.