Resumo Técnico: Um Detector Mímico para Perturbações Adversariais em Imagens

Declaração do Problema

Ataques adversariais comprometem classificadores de imagem profundos ao introduzir padrões de ruído mínimos e quase imperceptíveis ($\delta$) em uma imagem limpa ($x$), causando classificação errônea enquanto permanecem visualmente idênticos para observadores humanos. Ataques padrão limitados por $\ell_\infty$, como o Método do Sinal do Gradiente Rápido (FGSM), o Descenso de Gradiente Projetado (PGD) e a variante $\ell_\infty$ de Carlini–Wagner, geram perturbações caracterizadas por padrões de sinal de alta frequência e quase aleatórios no nível do pixel. Embora essas perturbações sejam pequenas na norma $\ell_2$, elas carregam energia de gradiente desproporcional.

O principal desafio abordado é a detecção e não a robustez. Embora tornar um classificador robusto a tais perturbações seja difícil, o objetivo aqui é determinar, dado um input $x'$, se ele foi perturbado. Abordagens existentes, como a SpectralDefense, frequentemente dependem do treinamento de classificadores em características do domínio de Fourier. Este trabalho propõe uma alternativa livre de treinamento que não requer um classificador substituto e nem acesso à rede sob ataque.

Metodologia

O detector proposto explora a diferença fundamental na distribuição de energia de gradiente entre imagens naturais e perturbações adversariais. Imagens naturais concentram a energia de gradiente em bordas com conteúdo suave em outras áreas, enquanto perturbações adversariais distribuem a energia de gradiente uniformemente por toda a imagem nas mais altas frequências espaciais.

A Razão de Energia de Gradiente Mímica

O núcleo do método é uma única métrica escalar, $T(x)$, definida como a razão entre a energia de gradiente mímica e a norma simples de pixels:

$$T(x) = \frac{(G u)^\top P (G u)}{\sum_{i,j} x_{ij}^2}$$

Onde:

• $u$: A imagem de entrada $x$ preenchida com uma célula fantasma em cada lado (fronteira de replicação) e vetorizada.
• $G$: O operador de gradiente mímico Corbino–Castillo de ordem-$k$.
• $P$: Uma matriz de pesos diagonal e definida positiva associada a $G$.
• Numerador: Representa a energia de gradiente discreta (soma ponderada dos valores de gradiente ao quadrado).
• Denominador: Representa a soma euclidiana dos valores de pixels ao quadrado.

Detalhes de Implementação

• Operadores: O método utiliza operadores mímicos Corbino–Castillo de alta ordem da biblioteca de código aberto MOLE. Esses operadores são escolhidos por sua precisão de alta ordem, ausência de parâmetros livres e precisão consistente nas fronteiras (prevenindo gatilhos artificiais de enquadramento retangular).
• Cálculo: O cálculo é realizado em tempo $O(HW)$ por imagem, dominado por um único produto matriz-vetor esparsa.
• Regra de Decisão: Um limiar $\tau$ é calibrado em um conjunto limpo retido (com base na taxa de falsos positivos desejada). Se $T(x) > \tau$, a imagem é sinalizada como adversarial; caso contrário, é considerada limpa.
• Propriedades: A métrica $T$ é adimensional e invariante à escala ($T(\alpha x) = T(x)$ para $\alpha \neq 0$).

Resultados Experimentais

O detector foi validado na imagem padrão de "pimentas" em escala de cinza de 128 $\times$ 128 (das toolboxes MATLAB/Octave) com um orçamento $\ell_\infty$ de $\epsilon = 16/255$.

Casos de Teste

Três inputs foram construídos:

1. Limpo: Nenhuma perturbação.
2. Estilo Adversarial: $\delta_{adv} = \epsilon \text{sign}(\eta)$, onde $\eta_{ij} \sim \mathcal{N}(0, 1)$, imitando a assinatura espacial de FGSM/PGD.
3. Controle Suave: $\delta_{low}$ com amplitude $\ell_\infty$ igual, mas conteúdo de baixa frequência (senoidal).

Principais Descobertas

• Separação: A perturbação adversarial aumentou a métrica $T$ em mais de um fator de 3 em relação à imagem limpa em todas as ordens testadas ($k=2, 4, 6$).
• Especificidade: A perturbação de controle suave deixou $T$ inalterada (dentro de 1%), demonstrando que o detector responde ao ruído de alta frequência e não apenas a mudanças de amplitude.
• Dependência da Ordem: A margem de detecção (razão $T_{adv}/T_{clean}$) cresceu monotonicamente com a ordem mímica $k$:
  • $k=2$: Separação de 3,55$\times$.
  • $k=4$: Separação de 3,94$\times$.
  • $k=6$: Separação de 4,19$\times$.
• Evidência Visual: A visualização da magnitude do gradiente mímico $|Gx|$ revelou uma impressão de alta frequência quase uniforme no caso adversarial, que estava ausente na imagem limpa.

Significado e Afirmações

O artigo posiciona este trabalho como um detector de tiro único prático e implantável com três vantagens distintas:

1. Sobrecarga Zero de Treinamento: Não requer conjunto de treinamento de exemplos adversariais, nem classificador substituto, nem acesso aos pesos internos da rede alvo.
2. Eficiência Computacional: Opera em tempo linear em relação ao tamanho da imagem ($O(HW)$), tornando-o adequado para aplicações em tempo real.
3. Discriminação Escalável: A capacidade de detecção melhora monotonicamente com a ordem do operador mímico, uma propriedade inerente à construção MOLE.

Limitações e Escopo

Os autores afirmam explicitamente que este é um detector, não uma defesa certificada. Um atacante adaptativo que minimize explicitamente $T$ enquanto mantém a classificação errônea poderia potencialmente levar a estatística mais próxima do valor limpo, provavelmente ao custo de uma taxa de sucesso de ataque reduzida ou de um orçamento $\ell_\infty$ maior.

O artigo sugere duas extensões naturais para trabalhos futuros:

• Aplicação a imagens coloridas e multiespectrais (via $T$ por canal combinada por uma combinação linear aprendida).
• Adaptação a geometrias de sensores não uniformes ou curvilíneas, onde estruturas mímicas são particularmente poderosas.