Resumo Técnico: Um Framework Robusto de Detecção Fora de Distribuição via Suavização Sinérgica

Declaração do Problema

Redes Neurais Profundas (DNNs) estão sendo cada vez mais implantadas em aplicações críticas para a segurança, mas permanecem vulneráveis a perturbações adversariais e deslocamentos de distribuição. Embora os métodos de detecção Fora de Distribuição (OOD) sirvam como uma salvaguarda crucial para identificar entradas novas ou maliciosas, estudos recentes indicam que os detectores OOD mais avançados são, eles próprios, suscetíveis a ataques adversariais. Especificamente, um adversário pode criar entradas que são OOD, mas são classificadas erroneamente como dentro da distribuição (ID), desativando efetivamente a primeira linha de defesa do sistema.

Detectores baseados em perturbação existentes, como ODIN e PRO, tentam melhorar a detecção aplicando otimizações direcionais (por exemplo, aumentar ou diminuir as pontuações de confiança). No entanto, os autores identificam uma falha crítica nessas abordagens: elas exibem vulnerabilidade assimétrica. Um detector otimizado para resistir a ataques que minimizam a pontuação frequentemente torna-se vulnerável a ataques que maximizam a pontuação, e vice-versa. Esse viés direcional compromete a confiabilidade da detecção OOD em ambientes dinâmicos e adversariais.

Metodologia: O Framework ROSS

Os autores propõem o ROSS (Detector Robusto OOD via Suavização Sinérgica), um framework pós-hoc, agnóstico ao modelo, projetado para alcançar robustez simétrica contra ataques tanto de minimização quanto de maximização de pontuação. O ROSS não requer o retreinamento da DNN subjacente e pode ser aplicado a qualquer técnica de pontuação OOD existente (por exemplo, MSP, Energy, GEN, fDBD).

O núcleo do ROSS envolve a geração de $N$ variantes ruidosas de uma entrada $x$ adicionando perturbações aleatórias. A partir da "pilha de pontuações" resultante, o ROSS calcula duas estatísticas robustas fundamentadas na teoria de estatísticas robustas:

1. Pontuação Mediana ($S_{med}$): A mediana da pilha de pontuações, representando uma tendência central suavizada da pontuação OOD.
2. Estabilidade da Pontuação ($\sigma_{med}$): O Desvio Absoluto Mediano (MAD) da pilha de pontuações, quantificando a instabilidade local da paisagem de pontuação.

Insight Chave: Instabilidade como Sinal

Os autores observam que amostras ID tipicamente residem em regiões suaves da paisagem de pontuação, produzindo pontuações de baixa variância sob perturbação (alta estabilidade). Por outro lado, amostras OOD habitam regiões irregulares onde pequenas perturbações induzem grandes flutuações de pontuação (alta instabilidade).

A Função de Pontuação

O ROSS combina essas métricas em uma pontuação final ($S_{ROSS}$) usando um mecanismo de controle consciente da confiança. A pontuação final é definida como:
$$S_{ROSS} = \min(S_{95}, S_{med}) + \Delta_{score} \cdot \left(1 + \frac{\lambda}{\sigma_{med}}\right)$$
Onde:

• $S_{95}$ é um limiar de confiança (o percentil 5 da distribuição de validação ID).
• $\Delta_{score} = \max(0, S_{med} - S_{95})$ garante que o bônus de estabilidade seja aplicado apenas quando a pontuação mediana excede o limiar de confiança.
• $\lambda$ é um hiperparâmetro que controla a magnitude do bônus de estabilidade.

Essa formulação garante que a estabilidade seja recompensada apenas para amostras de alta confiança e semelhantes a ID. Isso impede que amostras "longe-OOD", que podem ser estáveis mas ter baixa confiança, recebam um aumento artificial de pontuação. Ao usar a mediana e o MAD, o método é inerentemente resistente à manipulação baseada em gradiente e a valores atípicos.

Contribuições Principais

1. Identificação da Vulnerabilidade Assimétrica: O artigo é o primeiro a analisar e demonstrar sistematicamente que detectores OOD baseados em perturbação existentes (como PRO e ODIN) sofrem de robustez assimétrica, defendendo-se contra uma direção de ataque enquanto permanecem vulneráveis à oposta.
2. Proposta do ROSS: Um framework pós-hoc inovador que aproveita a instabilidade local da pontuação como um multiplicador de confiança. Diferentemente de trabalhos anteriores, o ROSS é não direcional e livre de gradiente, alcançando robustez simétrica contra ataques PGD-min e PGD-max.
3. Decomposição de Estabilidade e Confiança: Através de estudos de ablação extensivos, os autores isolam as contribuições da estabilidade da pontuação e do limiar de confiança, demonstrando que ambas são críticas para uma separação eficaz ID/OOD.
4. Validação Empírica: Avaliação abrangente em CIFAR-10, CIFAR-100 e ImageNet, mostrando que o ROSS supera consistentemente detectores de base e métodos anteriores baseados em perturbação.

Resultados Experimentais

Os autores avaliaram o ROSS em benchmarks padrão usando modelos ResNet-18 e ResNet-50 pré-treinados.

• Desempenho de Base: Em dados limpos, o ROSS alcança desempenho de última geração. Por exemplo, no CIFAR-10 com a pontuação base GEN, o ROSS alcançou um AUROC médio de 84,72% e um FPR95 de 45,77%, superando a linha de base apenas mediana ($S_{med}$) e a razão ingênua ($S_{med}/\sigma_{med}$).
• Robustez Adversarial: Sob ataques PGD ($\epsilon = 8/255$), o ROSS demonstra resiliência significativa.
  • No CIFAR-10, enquanto o AUROC da linha de base MSP colapsou para 3,76% sob ataques PGD-max, o ROSS-MSP manteve um AUROC de 52,65%.
  • No CIFAR-100, o ROSS-fDBD melhorou o AUROC de 11,02% (linha de base) para 44,72% sob ataques PGD-max.
• Defesa Simétrica: Diferentemente do PRO e do ODIN, que degradam significativamente quando atacados da "direção errada", o ROSS mantém desempenho consistente contra ataques PGD-min e PGD-max. Os autores relatam melhorias de até 40 pontos de AUROC sobre métodos anteriores baseados em perturbação sob ataques fortes.
• Eficiência: Apesar de exigir $N=25$ passagens para frente, a natureza paralelizável da inferência em GPUs modernas resulta em apenas um aumento de latência de 1,2x em comparação com uma única passagem para frente, tornando-o prático para implantação.

Significado e Alegações

O artigo afirma que o ROSS fornece uma primeira linha de defesa prática, leve e facilmente implantável para detecção OOD. Seu significado principal reside na mudança de paradigma da otimização direcional (que cria fraquezas assimétricas) para a suavização sinérgica (que aproveita a estabilidade estatística).

Os autores afirmam que o ROSS equilibra com sucesso a precisão limpa e a robustez adversarial sem o custo computacional do retreinamento adversarial. Ao se integrar perfeitamente às abordagens existentes de pontuação OOD, ele aumenta a confiabilidade de sistemas automatizados em ambientes de mundo aberto onde entradas desconhecidas ou maliciosas são inevitáveis. O trabalho sugere que quantificar a instabilidade local é um proxy mais robusto para detecção OOD do que simplesmente tentar empurrar pontuações em uma direção específica.

Trabalho futuro, conforme notado pelos autores, visa estender este framework além de ataques baseados em gradiente para abranger deslocamentos de distribuição induzidos por modelos generativos e corrupções do mundo real.