Resumo Técnico: Do Diagnóstico Interno à Auditoria Externa

1. Declaração do Problema

As Redes Neurais Profundas (DNNs) permanecem fundamentalmente vulneráveis a ataques de backdoor, onde adversários envenenam os dados de treinamento para implantar gatilhos ocultos que sequestram o comportamento do modelo em entradas específicas, preservando o desempenho em dados benignos. O cenário de ameaças evoluiu de padrões conspícuos para estratégias furtivas de natureza dinâmica, clean-label e clean-image, tornando a detecção tradicional cada vez mais difícil.

Em cenários de "Modelo como um Serviço" (Model-as-a-Service), os defensores frequentemente carecem de acesso aos dados de treinamento limpos ou aos pesos do modelo vítima, necessitando de uma defesa de tempo de teste livre de dados (data-free test-time defense). A pesquisa atual é limitada pelo paradigma de diagnóstico interno, que sofre de duas vulnerabilidades fundamentais:

1. Métodos de Reparo de Modelo: Estes inspecionam as propriedades internas do modelo vítima (ex: traços de ativação de neurônios, Lipschitzianidade de Canal). Eles falham contra ataques dinâmicos avançados que otimizam explicitamente os gatilhos para suprimir essas anomalias internas.
2. Métodos de Robustez de Entrada: Estes dependem de perturbações de entrada ou verificações de consistência. Eles falham contra backdoors naturais (ex: ataques clean-image), onde o gatilho é uma característica semântica robusta, indistinguível de características benignas via perturbação.

O desafio central é desenvolver uma defesa que seja robusta através de diversas modalidades de ataque sem depender dos estados internos do modelo comprometido ou de pressupostos frágeis de entrada.

2. Metodologia: PRISM

Os autores propõem o PRISM (Prototype Refinement & Inspection via Statistical Monitoring), uma mudança de paradigma do diagnóstico interno para a Auditoria Semântica Externa Online. Esta abordagem desacopla a defesa do modelo comprometido usando um Modelo de Visão-Linguagem (VLM) pré-treinado e universal como um auditor independente e "limpo".

O PRISM opera como um invólucro (wrapper) de tempo de teste em torno do modelo vítima suspeito, utilizando uma arquitetura de três pilares:

A. Estrutura de Inferência de Fluxo Duplo

Para cada amostra de teste $x$ recebida, o sistema inicia duas passagens diretas concorrentes:

1. Fluxo da Vítima: Processa $x$ através do modelo potencialmente comprometido $f_S$ para obter predições e logits.
2. Fluxo do Auditor: Processa $x$ através de um VLM Universal congelado e confiável (ex: CLIP, Qwen-VL). O VLM atua como um "Professor Universal", fornecendo um sinal de verificação semântica baseado em seu vasto conhecimento de mundo aberto, que é estatisticamente independente da distribuição envenenada da vítima.

B. Professor VLM Híbrido

Para reduzir o hiato de domínio entre VLMs genéricos e tarefas especializadas de downstream, o PRISM emprega um mecanismo de ancoragem híbrida:

• Âncoras de Texto Estáticas: Fornecem orientação semântica de alto nível via similaridade de cosseno com rótulos de texto predefinidos.
• Protótipos Visuais Dinâmicos: Aumentam o auditor com centroides de classe ($C$) aprendidos online a partir do fluxo de teste.
• Fusão: Os logits finais do VLM ($S_{VLM}$) são uma fusão ponderada de similaridades baseadas em texto e em protótipos:
  $$S_{VLM} = \lambda \cdot \text{Sim}(z_{img}, C) + (1 - \lambda) \cdot \text{Sim}(z_{img}, T)$$
  Isso permite que o auditor se adapte à distribuição de características específica do fluxo de teste sem exigir dados de treinamento rotulados.

C. Roteador Adaptativo via Monitoramento Estatístico

A lógica de decisão central determina se a predição da vítima deve ser aceita ou rejeitada em favor do VLM. Isso é governado por uma métrica de discrepância de margem de logit ($\Delta$):
$$\Delta = \exp\left(S_{VLM}^{\hat{y}_S} - \max_{i \neq \hat{y}_S} S_{VLM}^i\right)$$
onde $\hat{y}_S$ é a classe prevista pela vítima. Um $\Delta$ pequeno indica forte discordância (ataque potencial), enquanto um $\Delta$ grande indica alinhamento.

Para lidar com a natureza não gaussiana e assimétrica da distribuição de $\Delta$, o PRISM utiliza um Limiar Adaptativo derivado via expansão de Cornish-Fisher:
$$\tau_k = \mu_k + \left(\zeta + \frac{\gamma_k}{6}(\zeta^2 - 1)\right) \cdot \sigma_k$$
onde $\mu_k, \sigma_k, \gamma_k$ são a média móvel, o desvio padrão e a assimetria (skewness) da margem para a classe $k$, e $\zeta$ é um coeficiente de confiança base.

D. Mecanismo de Atualização Online

O PRISM emprega uma Média Móvel Cumulativa (CMA) para atualizar momentos estatísticos e protótipos visuais. Crucialmente, as atualizações ocorrem apenas quando uma amostra é certificada como limpa (ou seja, $\Delta > \tau$). Este mecanismo de atualização seletiva, combinado com a inércia estatística da CMA, garante robustez contra mudanças de distribuição e evita que amostras envenenadas corrompam o estado da defesa.

3. Principais Contribuições

1. Novo Paradigma (Auditoria Semântica Externa): O artigo identifica modos de falha de diagnósticos internos e propõe o uso de VLMs universais como auditores externos independentes, desacoplando efetivamente a defesa de modelos vítimas comprometidos sem acessar pesos ou dados de treinamento.
2. Estrutura Adaptativa Online (PRISM): Um framework de tempo de teste que transforma VLMs genéricos em auditores eficazes através de um Professor VLM Híbrido (reduzindo o hiato de domínio) e um Roteador Adaptativo (evitando limiares estáticos via monitoramento estatístico).
3. Generalização e Robustez Superiores: O PRISM alcança desempenho de estado da arte em 17 conjuntos de dados e 11 tipos de ataques de backdoor, demonstrando robustez única contra ataques de imagem limpa (clean-image) e ataques adaptativos avançados onde os paradigmas tradicionais falham.

4. Resultados Experimentais

A avaliação foi conduzida em 17 conjuntos de dados (incluindo CIFAR-10, CIFAR-100, ImageNet, GTSRB e datasets específicos de domínio) e 11 ataques de backdoor de última geração (Clássicos, Dinâmicos, Clean-Label e Clean-Image).

• Desempenho: O PRISM consegue suprimir a Taxa de Sucesso de Ataque (ASR) para < 1% no CIFAR-10 e consistentemente abaixo de 15% em todos os 11 tipos de ataque, enquanto simultaneamente melhora ou mantém a Acurácia Limpa (CA).
• Comparação: Supera as defesas existentes livres de dados (ex: CLP, ScaleUp, ZIP, Refine), que frequentemente falham completamente contra ataques Clean-Image (FLIP, GCB) ou ataques Dinâmicos. Baselines de VLM ingênuos alcançam baixo ASR, mas sofrem quedas catastróficas na CA (ex: >70% no GTSRB), enquanto o PRISM preenche essa lacuna.
• Eficiência: Em uma GPU NVIDIA A100, o PRISM (usando CLIP) atinge uma latência de inferência de 12,5 ms por imagem, posicionando-se entre as principais defesas em eficiência.
• Robustez:
  • Arquiteturas VLM: O PRISM mantém baixo ASR (<10%) tanto em modelos de embedding (CLIP, SigLIP) quanto em modelos generativos (Qwen, LLaVA).
  • Escala de Dataset: Permanece eficaz em escalas de datasets que variam três ordens de magnitude (200 a 10.000 imagens).
  • Ataques Adaptativos: O PRISM resiste a estratégias adaptativas online (Flooding, Periódico, Misto) onde o adversário tenta manipular o fluxo de teste, mantendo ASR < 20%.
  • Comprometimento do Auditor: Em um cenário de "Cadeia de Confiança" onde um auditor especializado é alvo de backdoor, um VLM generalista, embora mais fraco, mas limpo, pode sanear o fluxo, recuperando a segurança.

5. Significância e Alegações

O artigo afirma que o PRISM estabelece que o desacoplamento da defesa através da auditoria semântica externa não é apenas viável, mas essencial para a segurança de modelos de próxima geração.

• Mudança de Paradigma: Ele se afasta da premissa frágil de que backdoors deixam pegadas internas conspícuas ou que gatilhos são sensíveis a perturbações de entrada. Em vez disso, aproveita a independência estatística de modelos de fundação para detectar discrepâncias semânticas.
• Praticidade: Ao operar de maneira livre de dados e em tempo de teste, sem modificar os pesos do modelo, o PRISM aborda as restrições críticas de implantações de "Modelo como um Serviço", onde os defensores carecem de acesso aos dados de treinamento ou aos internos do modelo.
• Escalabilidade: O framework é agnóstico ao modelo e pode ser estendido para outras tarefas (ex: legendagem de imagens) adaptando o controle de margem de logit para confiança de nível de sequência, oferecendo um caminho escalável para o monitoramento de segurança de IA em domínios críticos como saúde e direção autônoma.

Os autores concluem que, embora o paradigma dependa da independência estatística do VLM auditor, ele fornece uma salvaguarda robusta contra ameaças em evolução, incluindo ataques furtivos de clean-image e dinâmicos, estabelecendo um novo padrão para defesa agnóstica ao modelo.