Defending against Patch-Based and Texture-Based Adversarial Attacks with Spectral Decomposition

1. O Problema

As Redes Neurais Profundas (DNNs), especialmente em tarefas de visão computacional como detecção de objetos, são vulneráveis a exemplos adversariais. O artigo foca especificamente em ataques adversariais fisicamente realizáveis, que representam uma ameaça real para sistemas de segurança críticos (como vigilância e veículos autônomos). Existem duas categorias principais desses ataques:

• Ataques Baseados em Patches (Patch-based): Colocam um padrão adversarial localizado (ex: um adesivo quadrado) em uma região específica do objeto.
• Ataques Baseados em Texturas (Texture-based): Cobrem toda a superfície do objeto (ex: roupas com padrões adversariais) para torná-lo indetectável.

Limitações das Defesas Existentes:

• A maioria das defesas atuais foi projetada apenas para ataques de patches e falha contra ataques de textura mais pervasivos.
• Elas sofrem em cenários de ataque adaptativo, onde o adversário conhece a defesa e ajusta o ataque especificamente para contorná-la (ex: criando padrões que não são detectados pelos filtros de detecção de patches).
• Métodos baseados em transformadas globais (como DFT) não capturam bem as perturbações localizadas no espaço.

2. Metodologia: Adversarial Spectrum Defense (ASD)

Os autores propõem o ASD, um mecanismo de defesa que utiliza a Decomposição Espectral via Transformada Wavelet Discreta (DWT) para analisar e mitigar padrões adversariais em múltiplas escalas de frequência.

A. Análise Espectral (DWT)

O trabalho identifica que tanto patches quanto texturas adversariais exibem amplitudes significativamente maiores nas componentes de frequência da DWT em comparação com imagens benignas.

• Por que DWT e não DFT? A DFT fornece informações de frequência globais, enquanto a DWT oferece localização espacial e multirresolução. Isso é crucial para identificar perturbações localizadas (patches) e pervasivas (texturas) simultaneamente.
• Decomposição: A imagem é decomposta em coeficientes de aproximação (baixa frequência) e detalhes (alta frequência) em múltiplos níveis ($D_1$ a $D_n$).

B. Pipeline do ASD

O sistema opera em três etapas principais:

1. Mascaramento de Região Adversarial (ASD Masking):

   • A imagem de entrada é convertida para escala de cinza e submetida à DWT.
   • Calcula-se a intensidade espectral (norma $L_2$) dos coeficientes de detalhe em cada nível.
   • Regiões com intensidade acima de um limiar $\theta$ (ajustado por nível de decomposição) são identificadas como adversárias.
   • Cria-se uma máscara binária que é aplicada à imagem original, substituindo as regiões detectadas por um desfoque Gaussiano (blur). Isso remove o padrão adversarial de alta amplitude.

2. Integração com Treinamento Adversarial (AT):

   • O ASD lida com perturbações de alta amplitude (visíveis ou de alta frequência). No entanto, um atacante adaptativo pode tentar criar perturbações de baixa amplitude para evitar a detecção pelo ASD.
   • Para cobrir essa lacuna, o ASD é integrado a um modelo de detecção pré-treinado com Treinamento Adversarial (AT) (especificamente contra ataques $L_\infty$).
   • O AT protege contra perturbações de baixa amplitude no espaço de pixels, enquanto o ASD protege contra perturbações de alta amplitude no domínio da frequência.

3. Agregação de Níveis (ASD Level Aggregation):

   • Objetos de tamanhos diferentes (distâncias diferentes da câmera) podem aparecer em diferentes bandas de frequência após a decomposição.
   • O sistema executa o pré-processamento ASD em múltiplos níveis de decomposição ($n_1, n_2, \dots, n_k$).
   • Os resultados de detecção de cada nível são agregados e filtrados por Supressão de Máximo Não Máximo (NMS) para gerar a detecção final, garantindo robustez independente do tamanho do objeto.

3. Contribuições Principais

• Nova Estratégia de Defesa: Proposta do ASD, que utiliza a decomposição espectral multiescala para detectar e mascarar tanto ataques baseados em patches quanto em texturas.
• Defesa Adaptativa Robusta: Demonstração de que a combinação de análise espectral (ASD) com Treinamento Adversarial (AT) cria uma defesa abrangente contra ataques de alta e baixa amplitude, superando cenários de ataque adaptativo forte.
• Superioridade Experimental: O método alcançou desempenho State-of-the-Art (SOTA), superando os métodos anteriores em 21,73% na métrica AP50 (Average Precision) contra uma variedade de ataques físicos e adaptativos.
• Generalização: O método funciona em diferentes arquiteturas de detectores (Faster R-CNN, FCOS, YOLOv8) e generaliza para classes de objetos além de "pessoas".

4. Resultados Experimentais

Os experimentos foram conduzidos em cenários digitais e físicos, utilizando ataques adaptativos (onde o atacante conhece a defesa).

• Desempenho Geral: O modelo ASD + AT alcançou uma AP50 média de 77,11% contra seis tipos de ataques (4 físicos, 2 imperceptíveis), superando a média dos métodos de defesa anteriores (que ficaram em torno de 62,64%).
• Contra Ataques Adaptativos Específicos: Mesmo contra ataques projetados especificamente para enganar o ASD (limitando a amplitude da DWT ou otimizando gradientes), o ASD+AT manteve alta robustez (ex: 90,04% contra ataques diretos no Faster R-CNN).
• Ataques de Textura: O ASD mostrou-se particularmente eficaz contra ataques de textura (AdvTexture e AdvCaT), onde métodos baseados apenas em detecção de patches falharam drasticamente.
• Mundo Físico: Em testes com vídeos reais de ataques de textura, o ASD+AT alcançou 100% de defesa, demonstrando eficácia na transferência do domínio digital para o físico.
• Custo Computacional: A adição do ASD aumentou o tempo de inferência em apenas 3,6% (versão sem agregação de níveis) a 2,5x (versão completa), o que é considerado aceitável dado o ganho massivo em segurança.

5. Significado e Impacto

Este trabalho é significativo porque:

1. Abre uma nova frente de defesa: Move o foco da detecção baseada em características espaciais (como gradientes ou entropia) para a análise espectral, explorando a assinatura de frequência única de ataques físicos.
2. Resolve a lacuna de ataques adaptativos: Ao combinar a detecção de anomalias de alta amplitude (via DWT) com a robustez intrínseca do Treinamento Adversarial, o sistema fecha as brechas que permitiam aos atacantes "enganar" defesas estáticas.
3. Aplicabilidade Prática: Oferece uma solução viável para sistemas de segurança críticos onde a detecção de pessoas em ambientes reais (com roupas, adesivos, etc.) não pode ser comprometida por adversários físicos.

Em resumo, o ASD representa um avanço fundamental na segurança de DNNs, provando que a análise de frequência local (Wavelets) é uma ferramenta poderosa para neutralizar ameaças físicas complexas e adaptativas.