PivotAttack: Rethinking the Search Trajectory in Hard-Label Text Attacks via Pivot Words

Resumo Técnico: PivotAttack

1. Problema e Contexto

O artigo aborda o desafio de criar ataques adversariais de texto no cenário de caixa-preta com rótulo rígido (hard-label black-box). Neste cenário restritivo e realista:

• O atacante não tem acesso aos gradientes, pontuações de confiança ou estados internos do modelo.
• O atacante só recebe o rótulo de classe discreto final após consultar (query) o modelo.
• O objetivo é gerar exemplos adversariais que engane o modelo (mudando o rótulo) mantendo o conteúdo semântico original, mas com um orçamento de consultas (queries) extremamente limitado.

Limitações das abordagens existentes:

• Estratégia "De Fora para Dentro" (Outside-in): Métodos atuais (como HyGloadAttack e TextHoaxer) frequentemente começam com um texto altamente perturbado e tentam refiná-lo até a fronteira de decisão. Isso explora um espaço de busca vasto, consumindo muitas consultas e degradando a qualidade do texto.
• Independência de Tokens: Métodos que avaliam a importância das palavras individualmente (como LimeAttack) ignoram as dependências combinatórias entre palavras, falhando em identificar "âncoras" semânticas compostas por múltiplas palavras.
• Falta de Interpretabilidade: Muitas técnicas dependem de relaxações contínuas opacas ou buscas heurísticas complexas, sem oferecer insights claros sobre por que certas substituições funcionam.

2. Metodologia: PivotAttack

O PivotAttack propõe uma mudança de paradigma, adotando uma estratégia "De Dentro para Fora" (Inside-out). Em vez de aproximar-se da fronteira de decisão a partir de perturbações aleatórias, o método identifica e ataca os "Pilares de Carga" (Pivot Sets) que sustentam a previsão do modelo.

Conceito Central:
O modelo de aprendizado de máquina possui um conjunto compacto de tokens (o Pivot Set) que atua como uma âncora para a previsão. Enquanto esse conjunto permanecer intacto, a previsão é robusta. Perturbar estrategicamente esses tokens específicos causa um colapso desproporcional na confiança do modelo, levando-o à fronteira de decisão de forma eficiente.

Etapas do Algoritmo:

1. Identificação do Conjunto Pivot (Pivot Set Identification):

   • O objetivo é encontrar um conjunto de palavras $S$ tal que, se as palavras fora de $S$ forem perturbadas, a previsão do modelo permaneça inalterada com alta probabilidade (alta precisão de retenção).
   • Formulação como Problema de Multi-Armed Bandit (MAB): A seleção do conjunto pivot é tratada como um problema de Pure Exploration MAB. Cada candidato a conjunto pivot é um "braço" (arm).
   • Algoritmo KL-LUCB: Utiliza o algoritmo KL-LUCB (Kullback-Leibler Upper Confidence Bound) para estimar a precisão de retenção de combinações de tokens sob um orçamento limitado. Isso permite distinguir âncoras semânticas reais de ruído estatístico.
   • Construção Incremental: O algoritmo começa com um conjunto vazio e adiciona iterativamente palavras que maximizam a precisão de retenção estimada, até que o conjunto satisfaça um limiar de confiança ($\tau$).
   • Poda (Culling): Antes da busca principal, instâncias onde a probabilidade de mudança de rótulo é baixa (mesmo com perturbações) são descartadas para economizar consultas.

2. Execução da Perturbação:

   • Uma vez identificado o Pivot Set, o algoritmo gera substituições (sinônimos) especificamente para essas palavras.
   • Seleção de Amostra: Escolhe a substituição que mantém a maior similaridade semântica (via embeddings) com o texto original.
   • Restrição de Discrepância: Aplica um limite dinâmico na taxa de perturbação para garantir que o texto adversarial permaneça "invisível" (stealth).

3. Contribuições Principais

1. Estratégia "Inside-out": Uma nova abordagem que ataca diretamente os pontos de ancoragem da previsão do modelo, sendo significativamente mais eficiente em consultas do que métodos "outside-in".
2. Modelagem de Interações Combinatórias: Diferente de métodos que ranqueiam palavras isoladamente, o PivotAttack considera explicitamente as interações entre palavras, identificando conjuntos de palavras (não apenas palavras únicas) como alvos críticos.
3. Formulação via Multi-Armed Bandit: A aplicação rigorosa do KL-LUCB para seleção de conjuntos pivot gera saídas intermediárias legíveis por humanos, melhorando a interpretabilidade e a rastreabilidade do ataque.
4. Desempenho Superior em LLMs: O método demonstra eficácia excepcional contra Modelos de Linguagem de Grande Porte (LLMs), tanto em configurações zero-shot quanto em modelos fine-tuned robustos.

4. Resultados Experimentais

Os autores realizaram experimentos extensivos em cinco conjuntos de dados de classificação de texto (Yelp, Yahoo, MR, Amazon, SST-2) e dois de inferência textual (SNLI, MultiNLI), atacando diversos modelos (WordCNN, LSTM, BERT, DistilBERT, ALBERT, Qwen2.5 e Gemma 3).

• Taxa de Sucesso do Ataque (ASR) vs. Eficiência:
  • Sob um orçamento estrito de 100 consultas, o PivotAttack superou consistentemente os baselines de última geração (como TextHacker, LimeAttack, HyGloadAttack) em ASR e na taxa de perturbação (Pert).
  • Exemplo: No modelo WordLSTM (Yelp), o PivotAttack alcançou 16.8% de ASR com apenas 1.4% de perturbação, superando o TextHacker (14.5% ASR, 5.9% perturbação).
  • Em LLMs: No Qwen2.5 (zero-shot), o método atingiu 93.5% de ASR com apenas 1.1% de perturbação, enquanto outros métodos exigiram perturbações muito maiores para resultados inferiores.
• Robustez: O método manteve sua superioridade mesmo contra modelos fine-tuned robustos, onde a maioria dos outros ataques falha ou requer muitos mais recursos.
• Qualidade do Texto: Os exemplos adversariais gerados apresentaram alta similaridade semântica e baixas taxas de erro gramatical.
• Estudo Humano: Participantes humanos julgaram as palavras-chave selecionadas pelo PivotAttack como mais "razoáveis" e preditivas do que as selecionadas pelo LimeAttack (que frequentemente destacava palavras funcionais sem significado semântico profundo).

5. Significado e Conclusão

O PivotAttack representa um avanço significativo na segurança de NLP ao demonstrar que a eficiência em ataques de caixa-preta não depende de varreduras aleatórias ou aproximações de fronteira, mas sim da identificação inteligente de estruturas semânticas críticas dentro do texto.

• Implicações de Segurança: O estudo revela uma vulnerabilidade alarmante em LLMs modernos (incluindo modelos ajustados), sugerindo que eles podem ser enganados com poucas consultas se o atacante focar nos "pilares" da decisão do modelo.
• Direção Futura: Os autores apontam que o componente KL-LUCB ainda consome um orçamento considerável de consultas. Trabalhos futuros visam reduzir esse custo, possivelmente explorando estratégias de busca mais avançadas (como beam search) ou otimizações no processo de identificação do conjunto pivot.

Em suma, o PivotAttack redefine a trajetória de busca em ataques de texto, provando que atacar as "paredes de carga" semânticas é uma estratégia mais eficaz, interpretável e econômica do que tentar escalar a fronteira de decisão de fora para dentro.