Repurposing Image Diffusion Models for Adversarial Synthetic Structured Data: A Case Study of Ground Truth Drift

1. Declaração do Problema

O artigo aborda uma mudança no cenário de ameaças à segurança de dados: a capacidade de adversários com poucos recursos de gerar dados estruturados sintéticos (dados tabulares) que podem enganar pipelines de aprendizado de máquina.

• A Mudança: Historicamente, criar dados tabulares sintéticos convincentes exigia geradores especializados (por exemplo, CTGAN, TabDDPM) ou manipulação estatística manual. Os autores argumentam que modelos de difusão de imagem públicos e de alta capacidade (como o Stable Diffusion) agora podem ser reutilizados para essa tarefa sem modificação arquitetural.
• A Ameaça: Isso leva à "Deriva da Verdade Terrena". Isso é definido como a reclassificação silenciosa de saídas geradas por IA como autênticas quando entram em pipelines de treinamento a jusante que não interrogam sua proveniência. Diferente do "colapso do modelo" (degradação decorrente do treinamento em saídas de IA), a deriva da verdade terrena ocorre quando dados sintéticos são introduzidos em um pipeline como se fossem reais, corrompendo o substrato estatístico de modelos futuros.
• A Lacuna: Auditorias forenses atuais para dados tabulares focam na realidade estatística (distribuições de colunas, correlações em pares) em vez da consistência semântica/lógica (lógica ao nível da linha). O artigo postula que um atacante pode explorar essa lacuna gerando dados que passam em auditorias estatísticas, mas falham em verificações semânticas.

2. Metodologia

O estudo emprega um modelo de ataque de "baixo recurso" usando um U-Net v1.5 do Stable Diffusion não modificado para gerar dados a partir do conjunto de dados UCI Adult Income.

A. Técnica Central: Redimensionamento de Entrada

Como os modelos de difusão esperam tensores de imagem (Altura $\times$ Largura $\times$ Canais) e dados tabulares são vetores planos, os autores utilizam uma estratégia de redimensionamento:

1. Pré-processamento: Colunas categóricas são codificadas one-hot; colunas numéricas são escalonadas.
2. Mapeamento: Cada linha é achatada em um vetor de características e mapeada em uma grade única de canal $10 \times 11$ fixa (110 pixels).
3. Inferência: O modelo trata essas grades como "pseudo-imagens". Durante a geração, ruído é amostrado e os valores de pixel resultantes são lidos de volta em uma ordem fixa para reconstruir uma linha tabular sintética.

B. Design Experimental: Estratégias de Layout

Os autores hipotetizam que o viés de localidade espacial das camadas convolucionais (U-Net) é crítico. Características que devem correlacionar (por exemplo, Sexo e Relacionamento) devem ser colocadas próximas umas das outras na grade para que o modelo aprenda sua relação. Três layouts foram testados:

1. Linha de Base (Arbitrário): Características colocadas na ordem de processamento sem lógica estrutural.
2. Agrupado: Características agrupadas com base em coeficientes de correlação em pares calculados a partir dos dados de treinamento.
3. Manual (Semântico): Características agrupadas por pertinência semântica definida por humanos (por exemplo, colocar Educação ao lado de Ocupação).

C. Métricas de Avaliação

Os dados gerados (5.000 linhas por layout) foram avaliados em:

• Fidelidade Estatística: Medida via SDMetrics (pontuações de forma de coluna e correlações em pares).
• Consistência Semântica: Um verificador baseado em regras que sinaliza violações lógicas (por exemplo, ganhos de capital negativos, horas trabalhadas > 100, pares contraditórios Sexo/Relacionamento).
• Utilidade a Jusante: Uma avaliação "Treinar em Sintético, Testar em Real" (TSTR) usando um classificador de renda (>50k vs. ≤50k).
• Risco de Privacidade: Pontuações de divulgação para verificar memorização de dados.

3. Resultados Principais

Os resultados demonstram uma divergência acentuada entre fidelidade estatística e consistência semântica.

• Sucesso Estatístico: Todos os layouts alcançaram alta fidelidade estatística (80%+), com o layout Agrupado apresentando o melhor desempenho. O modelo aprendeu com sucesso distribuições de colunas e correlações em pares sem ajuste fino.
• Falha Semântica:
  • O layout Linha de Base falhou catastroficamente na lógica (taxa de erro de 70%), principalmente devido a ganhos de capital negativos.
  • Os layouts Manual e Agrupado reduziram os erros de lógica para ~12% ao normalizar restrições e agrupar características relacionadas.
  • Limitação: Mesmo os melhores layouts não puderam eliminar todos os erros. O U-Net simplesmente trocou um tipo de erro semântico por outro (por exemplo, reduzindo erros de "Mulher + Marido" mas aumentando erros de "Homem + Esposa"), indicando um teto imposto pela falta de restrições lógicas explícitas na arquitetura.
• Utilidade a Jusante: O layout Agrupado superou significativamente os outros no teste TSTR (F1=0,25 vs 0,056) porque preservou melhor a distribuição conjunta de indicadores de alta renda (por exemplo, correlacionando corretamente Casado, Marido e diplomas de Bacharelado).

4. Contribuições Principais

1. Distinção Conceitual (Evidência Sintética vs. Mídia Sintética):
   • Mídia Sintética: Visa humanos; julgada por realismo perceptual (parece real?).
   • Evidência Sintética: Visa máquinas; julgada por realismo estatístico (cabe na auditoria de correlação?).
   • O artigo introduz a "Evidência Sintética" como uma categoria distinta de material gerado por IA destinado a pipelines de evidência fechados.
2. Convertibilidade Arquitetural:
   • Demonstra que um modelo treinado para tarefas perceptuais (imagens) pode ser convertido para tarefas estatísticas (tabelas) simplesmente redimensionando o tensor de entrada, sem retreinamento ou ajuste fino.
3. Deriva da Verdade Terrena por Design:
   • Enquanto exemplos anteriores de deriva foram acidentais (por exemplo, imagens médicas mal rotuladas), este estudo prova que a deriva pode ser deliberadamente induzida por um adversário usando ferramentas prontas.
4. A "Lacuna de Auditoria":
   • O estudo destaca que auditorias tabulares padrão (verificando colunas e correlações) são insuficientes para detectar dados sintéticos adversariais gerados por modelos de imagem, pois esses modelos passam em verificações estatísticas enquanto falham na lógica ao nível da linha.

5. Significado e Implicações

• Barreira de Entrada Reduzida: O custo de fabricar dados sintéticos adversariais mudou de exigir expertise em treinamento de modelos para exigir apenas acesso a pipeline de dados e um modelo de imagem público. Isso democratiza a capacidade de envenenar conjuntos de dados.
• Vulnerabilidade Forense: Métodos forenses tradicionais (procurando artefatos de edição manual como IDs fora de sequência ou entradas duplicadas) falharão contra dados gerados por difusão. As linhas geradas são estatisticamente "limpas" e carecem das impressões digitais de manipulação humana.
• O Teto Semântico: A principal defesa contra este ataque é atualmente a validação semântica ao nível da linha. Embora o modelo passe em auditorias estatísticas, ele ainda produz linhas logicamente impossíveis (por exemplo, renda negativa). No entanto, à medida que os modelos melhoram ou os atacantes adicionam pós-processamento, essa lacuna pode fechar.
• Âncora do Mundo Real: O artigo referencia o caso de Francesca Gino (uma professora de Harvard acusada de má conduta na pesquisa) para ilustrar os riscos. Se um adversário pudesse usar um modelo de difusão para gerar dados sintéticos apoiando uma hipótese, seria quase impossível distinguir de dados reais usando forense estatística atual, potencialmente minando a integridade científica e sistemas de detecção de fraudes.

Conclusão: O artigo conclui que a fronteira entre "mídia" e "evidência" colapsou no ponto de geração. Um modelo de visão não modificado pode produzir dados estruturados que satisfazem as auditorias estatísticas de pipelines modernos de aprendizado de máquina, criando um novo vetor de baixo custo para Deriva da Verdade Terrena.