Resumo Técnico: Ataques Adversários Acústicos para Aplicações de Visão Computacional

Declaração do Problema

Sistemas de Inteligência Artificial (IA), particularmente aqueles que dependem de Visão Computacional (VC) para tarefas críticas como controle autônomo e segurança, são cada vez mais vulneráveis a ataques adversários no mundo físico. Embora pesquisas anteriores tenham estabelecido que frequências ultrassônicas (>20 kHz) podem interromper mecanismos de estabilização de câmera, esses ataques sofاً com a rápida atenuação do sinal no ar, limitando seu alcance efetivo a curtas distâncias. Além disso, a literatura existente tem amplamente negligenciado o potencial de frequências audíveis mais baixas (<20 kHz). Essas frequências mais baixas possuem comprimentos de onda mais longos, permitindo que se difratem em torno de obstruções e se propaguem por distâncias maiores, tornando-as potencialmente mais viáveis para ataques de longo alcance no mundo real. O problema central abordado é a falta de compreensão sobre como as vibrações acústicas audíveis interagem com o hardware de câmeras comuns para induzir distorções físicas que enganam modelos de detecção de objetos.

Metodologia

Os autores propõem um pipeline de ataque físico onde sinais acústicos induzem vibrações mecânicas em uma câmera, distorcendo a imagem capturada antes que ela seja processada por um modelo de IA. A configuração experimental e o procedimento foram os seguintes:

• Configuração de Hardware: O estudo utilizou uma webcam Logitech C930e Business, um dispositivo comum que carece de hardware dedicado de estabilização de imagem. A câmera foi montada rigidamente a um alto-falante de alta fidelidade para garantir o acoplamento mecânico direto. Esta configuração testou a hipótese de que, mesmo sem sensores de estabilização ativa, o conjunto de autofoco da lente flutuante e os componentes internos são suscetíveis à ressonância acústica.
• Geração de Sinal: As formas de onda acústicas foram geradas usando um gerador de funções arbitrárias Tektronix AFG3100. Os pesquisadores focaram em ondas senoidais dentro da faixa audível (5 Hz a 30 kHz), visando especificamente frequências baixas (0–200 Hz) conhecidas por induzir ressonância mecânica. Os sinais foram transmitidos em uma amplitude fixa de 8 Vpp.
• Protocolo Experimental: A câmera gravou um monitor exibindo 100 imagens do conjunto de dados COCO. Durante uma janela de gravação de 3 segundos, frequências ressonantes específicas foram emitidas continuamente. Varreduras de frequência preliminares foram conduzidas para identificar "bandas de ressonância" que causaram distorções de vídeo visíveis.
• Detecção e Análise: As filmagens capturadas foram processadas usando YOLOv11, uma arquitetura de detecção de objetos de estágio único. A análise envolveu:
  • Pré-processamento: Recorte dos quadros de vídeo para isolar a imagem alvo.
    ب Inferência: Execução do YOLOv11 para gerar caixas delimitadoras (bounding boxes) e pontuações de confiança.
  • Extração de Métricas: Cálculo de valores médios de RGB, áreas de pixels, confiança de detecção e precisão ao longo da duração do vídeo.
  • Classificação de Erros: Categorização das falhas em três tipos: Classificação Incorreta (rótulos incorretos), Supressão (falha na detecção de objetos existentes) e Detecção Espúria (falsos positivos/alucinações).

Principais Contribuições

Este trabalho expande o domínio do aprendizado de máquina adversário ao mudar o foco de ataques acústicos ultrassônicos para audíveis. As principais contribuições incluem:

1. Expansão da Faixa de Frequência: Demonstrar a viabilidade de ataques acústicos usando frequências <20 kHz, que oferecem características de propagação superiores em comparação aos sinais ultrassônicos usados em estudos anteriores.
2. Vulnerabilidade Independente de Hardware: Mostrar que modelos de detecção de objetos são vulneráveis mesmo quando a câmera alvo carece de hardware de estabilização ativa, desde que os componentes físicos (conjunto da lente, suportes do sensor) possam ressonar.
3. Análise Sistemática de Tipos de Erro: Fornecer um detalhamento minucioso de como as perturbações acústicas degradam o desempenho do modelo, especificamente quantificando a mudança de detecção correta para classificação incorreta, supressão e alucinação.
4. Simulação do Mundo Real: Utilizar uma configuração dinâmica com feeds de vídeo ao vivo de conjuntos de dados padrão para aproximar condições do mundo real, indo além de simulações puramente digitais ou estáticas.

Resultados

Os experimentos revelaram que perturbações acústicas de baixa frequência degradam significativamente o desempenho do modelo de detecção de objetos YOLOv11:

• Vulnerabilidade Dependente de Frequência: Duas bandas de frequência específicas — 20–30 Hz e 155–180 Hz — causaram consistentemente a degradação mais severa. Nessas bandas, a taxa de detecção caiu quase 10% em relação à condição de linha de base (sem som).
• Redução de Confiança: Nas frequências de ressonância, a pontuação média de confiança de detecção diminuiu em mais de 7%, indicando aumento da incerteza do modelo.
• Artefatos Visuais: As vibrações induzidas causaram micro-movimentos na lente e no sensor, resultando em desfoque de movimento (motion blur), inclinação geométrica e trepidação de quadro (jitter). Essas distorções físicas foram suficientes para confundir as camadas de extração de características da rede neural.
• Modos de Falha Específicos:
  • Classificação Incorreta: Objetos receberam rótulos errados (ex: um segmento de estrada classificado incorretamente como uma pessoa).
  • Supressão: Objetos legítimos foram inteiramente ignorados (ex: tigelas e copos falhando em disparar a detecção).
  • Detecção Espúria: O modelo alucinou objetos em áreas vazias, provavelmente interpretando artefatos de movimento como características válidas de objetos.

Significância e Alegações

O artigo afirma que esta pesquisa destaca um risco de segurança física crítico e frequentemente negligenciado nos sistemas de percepção de IA. A significância reside na natureza do ataque:

• Sigilo e Acessibilidade: Ao contrário dos exemplos adversários digitais que exigem conhecimento do modelo ou acesso direto ao pipeline de entrada, este ataque pode ser executado com equipamentos de áudio básicos de uma distância, sem acessar os internos de software ou hardware do sistema alvo.
• Ineficácia das Defesas Tradicionais: Como o ataque distorce o processo de captura física em vez de manipular valores de pixels digitais, defesas tradicionais como treinamento adversário ou pré-processamento de entrada são ineficazes.
• Aplicabilidade Mais Ampla: As descobertas sugerem que a vulnerabilidade não se limita a câmeras com estabilização ativa, mas se estende ao design mecânico fundamental de câmeras comuns. Os autores argumentam que isso exige uma reavaliação da segurança de hardware em aplicações de VC e o desenvolvimento de novas estratégias de mitigação que considerem as interações físico-sensor.

Os autores mantêm uma postura modesta, reconhecendo limitações como o uso de um único modelo de câmera (C930e) e uma fonte acústica fixa e direcional. Eles postulam que trabalhos futuros devem explorar uma variedade maior de arquiteturas de câmera e cenários de interferência dinâmica de múltiplas fontes para caracterizar totalmente o cenário de ameaças.