Resumo Técnico: Backbone é Tudo o Que Você Precisa

Declaração do Problema

O avanço rápido das imagens sintéticas geradas por IA tornou necessária a criação de sistemas de detecção robustos. Embora os Vision Transformers (ViTs) tenham se tornado a pedra angular da detecção moderna de deepfakes devido à sua capacidade de generalizar entre classes de geradores não vistas, uma vulnerabilidade crítica permanece amplamente inexplorada. A maioria dos detectores atuais depende de backbones ViT pré-treinados congelados, com apenas uma cabeça de classificação rasa treinada para a tarefa específica.

A pesquisa adversária existente focou principalmente em ataques de caixa branca (acesso total aos pesos e logits do modelo) ou em transferibilidade entre diferentes arquiteturas. No entanto, a vulnerabilidade específica de ataques de caixa cinza—onde um adversário possui conhecimento do backbone ViT congelado, mas não tem acesso à cabeça de classificação do detector alvo, aos dados de treinamento ou a estratégias específicas de aumento de dados—foi negligenciada. Este trabalho postula que o conhecimento do backbone sozinho pode ser suficiente para comprometer a confiabilidade do detector.

Metodologia: Ataque Adversarial Iterativo por Surrogado (SIAA)

Os autores propõem o Ataque Adversarial Iterativo por Surrogado (SIAA), um ataque de caixa cinza projetado para operar inteiramente no espaço de características do detector alvo. O ataque assume conhecimento apenas do backbone ViT pré-treinado e de seus pesos.

A metodologia é implementada em duas fases distintas:

Fase 1: Treinamento da Cabeça de Processamento de Características (FP) Surrogada

Para preencher a lacuna entre a cabeça de classificação alvo desconhecida e o backbone conhecido, os autores treinam um modelo surrogado consistindo de:

1. Componentes Congelados: O backbone ViT alvo ($F(\cdot)$) e o codificador de texto CLIP ($G(\cdot)$).
2. Componente Treinável: Uma Cabeça de Processamento de Características (FP) ($H(\cdot)$) composta por duas ramificações lineares:
   • $L_t$: Processa embeddings de texto derivados de prompts (por exemplo, "A imagem é real" vs. "A imagem é falsa").
   • $L_v$: Processa características visuais extraídas pelo backbone ViT.

A Cabeça FP é treinada usando uma perda contrastiva de múltiplos termos para alinhar características visuais ($v'$) e características textuais ($t'$) em um espaço de embedding compartilhado. O objetivo é aproximar os limites de decisão da cabeça de classificação alvo desconhecida agrupando características visuais em torno de seus embeddings de texto correspondentes. A função de perda inclui:

• $L_{pull}$: Minimiza a distância entre características visuais e embeddings de texto verdadeiros.
• $L_{push}$: Impõe uma margem contra os embeddings de texto da classe adversária.
• $L_{text}$: Garante a separação entre os dois clusters de embeddings de texto.

Fase 2: Implantação e Otimização de Perturbação

Uma vez que a Cabeça FP é treinada, o ataque gera exemplos adversariais sem acessar os logits do alvo.

• Função Objetivo: Em vez de maximizar a entropia cruzada nos logits, o SIAA otimiza uma função objetivo personalizada baseada em distância $J$ no espaço de características surrogado:
  $$J = \|v' - t'_y\|^2 - \|v' - t'_{1-y}\|^2$$
  Maximizar $J$ empurra a representação visual para longe da classe verdadeira e em direção à classe alvo adversária.
• Otimização: Um algoritmo de Descida de Gradiente Projetada (PGD) atualiza iterativamente a imagem de entrada $I_j$ para maximizar $J$, sujeito a uma restrição de norma $\ell_\infty$ ($\epsilon = 8/255$) para garantir imperceptibilidade.

Contribuições Principais

1. Novo Vetor de Ataque: Introdução do SIAA, o primeiro ataque de caixa cinza especificamente adaptado para explorar backbones ViT congelados em forense de imagens sintéticas sem exigir conhecimento da cabeça de classificação.
2. Exploração do Espaço de Características: Demonstração de que perturbações adversariais podem ser otimizadas efetivamente em um espaço de características surrogado alinhado via aprendizado contrastivo texto-imagem, contornando a necessidade de acesso a logits.
3. Avaliação Abrangente: Avaliação sistemática do ataque sob diferentes níveis de conhecimento de caixa cinza, incluindo cenários de aprendizado com poucos exemplos (few-shot), aumentos de dados desconhecidos e incompatibilidades de conjuntos de dados.
4. Análise de Transferibilidade: Avaliação da transferibilidade entre modelos através de diferentes backbones ViT (CLIP, Swin, DINOv2).

Resultados Experimentais

Os autores avaliaram o SIAA contra detectores baseados nos backbones CLIP, Swin e DINOv2 usando o conjunto de dados Synthbuster.

• Desempenho vs. Baselines: O SIAA superou significativamente as baselines de caixa cinza existentes (PGD-ViT e uma variante linear PGD-L).
  • Contra detectores CLIP e Swin, o SIAA alcançou Taxas de Sucesso de Ataque (ASR) de 1,00 e 0,99, respectivamente, com AUCs pós-ataque próximas de 0,00, igualando efetivamente o desempenho de ataques PGD de caixa branca.
  • Contra o DINOv2, o SIAA alcançou uma ASR de 0,56. Os autores atribuem a maior resiliência do DINOv2 aos seus objetivos de treinamento auto-supervisionados e ao uso de tokens de registro, que criam um landscape de perda mais suave.
• Robustez a Desalinhamento (Estudos de Ablação):
  • Variações na Cabeça de Classificação: O SIAA manteve ASR $\geq 0,98$ mesmo quando a profundidade da cabeça de classificação do detector alvo variava (1, 2 ou 3 camadas).
  • Aprendizado com Poucos Exemplos: Com apenas 100 amostras reais e 100 falsas para treinamento, o SIAA alcançou uma ASR de 0,985.
  • Aumento de Dados Desconhecido: Quando as estratégias de aumento de dados eram desconhecidas, a ASR permaneceu alta em 0,96.
  • Incompatibilidade de Conjunto de Dados: No cenário mais restritivo (conjunto de dados de treinamento diferente e aumento de dados desconhecido), o SIAA ainda alcançou uma ASR de 0,70, atacando com sucesso mais de 50% das imagens classificadas corretamente.
• Transferibilidade:
  • Perturbações otimizadas no CLIP ou no Swin transferiram-se bem entre si (ASR $\approx 0,56$).
  • Perturbações otimizadas no DINOv2 mostraram transferibilidade moderada para CLIP (ASR 0,31) e Swin (ASR 0,28), apesar do DINOv2 ser altamente resistente como alvo.

Significado e Alegações

O trabalho alega que a dependência de modelos fundamentais congelados na forense de imagens sintéticas introduz uma "vulnerabilidade sutil, porém crítica". A descoberta principal é que o conhecimento do backbone sozinho é suficiente para minar a confiabilidade do detector, frequentemente resultando em taxas de sucesso de ataque comparáveis às de ataques de caixa branca.

Os autores enfatizam que essa vulnerabilidade persiste mesmo sob condições de desalinhamento total em relação aos dados de treinamento, aumento de dados e arquitetura da cabeça de classificação. Consequentemente, o trabalho argumenta pela necessidade urgente de desenvolver defesas mais resilientes que não dependam exclusivamente da suposição de que ocultar a cabeça de classificação fornece segurança adequada. O trabalho destaca que o espaço de características de ViTs congelados, quando alinhado com prompts semânticos, é previsível o suficiente para ser explorado por adversários com acesso limitado.