USAD: Uncertainty-aware Statistical Adversarial Detection

Resumo Técnico: Detecção Adversária Estatística Consciente de Incerteza (USAD)

Definição do Problema
A detecção adversária continua sendo um desafio crítico para a segurança de sistemas de aprendizado profundo. Embora os métodos atuais de Detecção Adversária Estatística (SAD) enquadrem a detecção como um teste de hipótese de duas amostras — determinando se um lote de exemplos de consulta ($Y$) segue a mesma distribuição que um conjunto de referência de exemplos limpos ($X$) — eles sofrem de limitações significativas. As abordagens SAD de estado da arte atuais dependem predominantemente da Discrepância de Média Máxima (MMD) como o estatístico de teste. No entanto, a MMD é primariamente sensível a deslocamentos nos embeddings de média (momentos de primeira ordem) dentro de um Espaço de Hilbert de Núcleo Reproduzível (RKHS). Os autores identificam que os detectores baseados em MMD são ineficientes em termos de amostragem; seu poder de detecção degrada-se rapidamente conforme o tamanho do lote de consulta diminui, tornando-os impraticáveis para cenários de estágio inicial ou de baixo volume de ataques. Além disso, a MMD falha em capturar padrões de incerteza característicos de exemplos adversários (AEs), especificamente sua dispersão de características anormal (incerteza global) e instabilidade sob perturbações (incerteza local), que são cruciais para distinguir AEs de exemplos limpos (CEs).

Metodologia
O artigo propõe a Detecção Adversária Estatística Consciente de Incerteza (USAD), um framework projetado para capturar explicitamente os padrões de incerteza de distribuição inerentes aos ataques adversários. O USAD introduz dois novos estatísticos de teste que visam propriedades geométricas específicas dos AEs:

1. Discrepância de Variância (VD): Este estatístico mede a diferença na dispersão de características entre o conjunto de consulta e o conjunto de referência. Ele aborda a incerteza global, capturando o fenômeno onde os AEs, deslocados do manifold de dados limpos, exibem uma dispersão anormal em suas distribuições de características semânticas em comparação com os CEs. A VD é formulada como a diferença ao quadrado entre as variâncias empíricas das características semânticas nas duas distribuições.
2. Discrepância de Covariância Baseada em Perturbação (PCD): Este estatístico aborda a incerteza local. Ele compara as matrizes de covariância de características de exemplos sob perturbações Gaussianas. Como os AEs frequentemente residem próximos às fronteiras de decisão e exploram características não robustas, eles exibem maior sensibilidade a pequenas perturbações isotrópicas do que os CEs. A PCD mede a discrepância entre as distribuições desses embeddings de covariância induzidos por perturbação.

Para criar um detector robusto, o USAD agrega adaptativamente a VD e a PCD em um estatístico de teste unificado. Reconhecendo que diferentes ataques podem ativar padrões de incerteza global ou local em graus variados, a agregação utiliza um esquema de ponderação consciente de correlação (baseado no framework DUAL). Este método estima a estrutura de covariância conjunta da VD e da PCD sob a hipótese nula (usando um conjunto de calibração limpo auxiliar) para reduzir o peso de componentes redundantes e enfatizar sinais complementares. A decisão final é feita via um teste de permutação, que estabelece um limiar para controlar a taxa de erro do Tipo-I (taxa de falso alarme) em um nível de significância $\alpha$ especificado.

Principais Contribuições

• Identificação de Limitações: Os autores demonstram que os métodos SAD baseados em MMD são insensíveis aos padrões de incerteza característicos (variância e instabilidade local) dos AEs, levando a um desempenho insatisfatório em regimes de amostras pequenas.
• Novos Estatísticos de Teste: A proposta da VD e da PCD para medir explicitamente a incerteza de distribuição global e local, respectivamente, proporcionando uma abordagem mais direcionada para detectar artefatos adversários.
• Garantias Teóricas: O artigo fornece provas teóricas mostrando que o USAD, juntamente com seus estatísticos constituintes, controla a taxa de erro do Tipo-I no nível de significância $\alpha$ prescrito e alcança consistência assintótica (o poder do teste convergindo para 1) conforme os tamanhos de amostra aumentam.
• Superioridade Empírica: Experimentos extensos nos datasets CIFAR-10 e ImageNet-1K usando arquiteturas ResNet e ViT mostram que o USAD supera consistentemente os fortes baselines (incluindo SAMMD e vários métodos de agregação de MMD) através de diversos ataques (AA, BIM, CW, FGSM, PGD) e normas ($\ell_\infty$, $\ell_2$). Notavelmente, o USAD atinge um poder de detecção quase perfeito mesmo com tamanhos de lote de consulta muito pequenos (ex: $|Y|=10$) e permanece robusto contra ataques adaptativos bem desenhados.

Resultos
Os resultados experimentais indicam que o USAD supera significativamente os métodos de baseline.

• Eficiência de Amostra Pequena: Em cenários com pequenos lotes de consulta ($|Y|=10$), o USAD atinge um poder de teste de 1.0 contra ataques PGD com $\epsilon=4/255$, enquanto o baseline SAMMD atinge apenas 0.292.
• Robustez a Ataques Adaptativos: Mesmo quando atacantes otimizam para minimizar o estatístico de detecção (ataques adaptativos), o USAD mantém alto poder de detecção (ex: 0.818 para $|Y|=10$), superando significativamente detectores de estatístico único.
• Lotes Mistos: O USAD mantém alto poder de detecção mesmo quando exemplos adversários estão esparsamente misturados com exemplos limpos (ex: 20% de AEs em um lote), enquanto os métodos baseados em MMD enfrentam dificuldades significativas conforme a fração de exemplos limpos aumenta.
• Transferibilidade: O método demonstra forte robustez contra ataques de transferência, onde exemplos adversários são gerados em modelos substitutos, alcançando detecção perfeita através de várias arquiteturas (ResNet, WideResNet, Swin Transformer).

Significância e Alegações
O artigo alega que o USAD representa um passo substancial para superar as limitações de tamanho de amostra que têm restringido a detecção adversária baseada em teste de hipótese. Ao mudar o foco do deslocamento de embedding de média para a incerteza de distribuição (variância e estabilidade local), os autores argumentam que a SAD pode ser tornada eficaz em cenários de implantação prática e em tempo real, onde esperar por grandes janelas de consulta é irrealista. O trabalho enfatiza que o USAD opera como uma camada de monitoramento leve e agnóstica ao modelo que não requer treinamento adversário ou suposições de ataques específicos, oferecendo um framework estatístico principiológico para controlar falsos alarmes enquanto detecta ameaças desconhecidas e adaptativas. Os autores posicionam o USAD não como um substituto para detectores por exemplo individual, mas como um monitor estatístico rigoroso para tráfego em nível de lote, adequado para acionar defesas downstream ou inspeção humana.