Resumo Técnico: AEGIS – Um Framework de GAN Semântica e Aprendizado Evidencial para Detecção Adversária Robusta

1. Declaração do Problema

As Redes Neurais Profundas (DNNs) são fundamentais para as redes modernas de sensores de visão, mas permanecem altamente vulneráveis a ataques adversários. Esses ataques envolvem perturbações imperceptíveis ou sutis que induzem previsões errôneas enquanto preservam o realismo visual para observadores humanos. O cenário de ameaças evoluiu de perturbações de pixels de baixo nível (ex: FGSM, PGD) para manipulações semânticas de alto nível, incluindo patches adversários, transformações geométricas e ataques funcionais que exploram fraquezas de raciocínio contextual.

Os mecanismos de defesa existentes frequentemente abordam apenas aspectos isolados do comportamento adversário. Defesas ao nível de pixel falham contra ataques semânticos, enquanto métodos baseados em incerteza muitas vezes carecem de raciocínio semântico ou interpretabilidade. Além disso, muitas abordagens produzem previsões excessivamente confiantes em entradas adversárias, falhando em fornecer as estimativas de incerteza calibradas necessárias para a tomada de decisão em cenários críticos de segurança. Existe uma lacuna crítica para um framework unificado que integre análise de consistência semântica, perfil de instabilidade de previsão e modelagem de incerteza evidencial para detectar uma gama diversificada de categorias adversárias.

2. Metodologia: O Framework AEGIS

O AEGIS é um framework de detecção adversária modular, de ponta a ponta, projetado para classificar entradas em seis categorias: Limpa (Clean), FGSM, PGD, Baseada em Patch (Patch-based), Funcional (Functional) e Geométrica (Geometric). O framework opera através de três estágios sequenciais:

Estágio 1: SemantiGAN (Discriminação Semântica)

O primeiro estágio emprega uma SemantiGAN, um discriminador semântico multiclasse baseado em uma Rede Adversária Generativa (GAN). Diferente dos tradicionais discriminadores binários real/falso, a SemantiGAN é treinada para classificar entradas diretamente em uma das seis categorias semânticas.

• Função: Atua como um filtro inicial, identificando e caracterizando entradas visualmente inconsistentes ou semanticamente anômalas (ex: patches ou manipulações funcionais) antes que elas se propaguem adiante.
• Saída: Uma previsão semântica grosseira ($\hat{y}_{sem}$) que fornece priors adversários para os estágios subsequentes.

Estágio 2: LAFANet (Perfil de Instabilidade)

Para entradas que passam pelo filtro semântico, o módulo LAFANet realiza o perfil de instabilidade usando Aumento de Tempo de Teste (TTA - Test-Time Augmentation).

• Processo: A imagem de entrada passa por $N$ aumentos estocásticos que preservam o rótulo (ex: flips, deformações afins, ajustes de brilho, desfoque de movimento, cutout, compressão JPEG).
• Extração de Características: Um classificador de backbone processa as visões originais e aumentadas para computar cinco métricas de instabilidade manuais:
  1. FlipScore: Frequência de mudanças de rótulo sob flips horizontais.
  2. Inconsistência de Previsão: Dispersão dos rótulos previstos entre os aumentos.
  3. EarlyCosSim: Similaridade de cosseno entre as características das camadas iniciais das visões aumentadas e a média das características das camadas iniciais.
  4. MidCosSim: Similaridade de cosseno entre as características das camadas médias e sua média.
  5. Entropia: Entropia preditiva média através dos aumentos.
• Saída: Um vetor de características compacto de 5 dimensões ($F_x$) representando o perfil de estabilidade da entrada.

Estágio 3: Classificação por Aprendizado Profundo Evidencial (EDL)

O estágio final utiliza um classificador de Aprendizado Profundo Evidencial (EDL) para processar o vetor de características de instabilidade $F_x$.

• Mecanismo: Em vez de saídas softmax padrão, o classificador EDL modela a saída como parâmetros de evidência ($e$) de uma distribuição de Dirichlet.
• Modelagem de Incerteza: Os parâmetros da distribuição ($\alpha = e + 1$) permitem que o modelo estime conjuntamente as probabilidades de classe ($E[p_i]$) e a incerteza epistêmica ($u = K/S$, onde $S$ é a evidência total).
• Decisão: O framework fornece uma previsão de seis classes e um score de incerteza calibrado. Alta incerteza indica que as entradas são provavelmente adversárias ou fora da distribuição, permitindo a rejeição segura em cenários de missão crítica.

3. Principais Contribuições

• Arquitetura Unificada: O AEGIS é o primeiro framework a integrar conjuntamente discriminação adversária semântica (SemantiGAN), perfil de instabilidade impulsionado por transformações (LAFANet) e calibração de incerteza evidencial (EDL) dentro de um único pipeline computacionalmente eficiente.
• Categorização Adversária Multiclasse: Ao contrário dos detectores binários, o AEGIS realiza a classificação multiclasse em seis categorias adversárias distintas, oferecendo insights granulares sobre a natureza da ameaça.
• Incerteza Calibrada: Ao alavancar o aprendizado evidencial baseado em Dirichlet, o framework fornece estimativas de incerteza fundamentadas, abordando o problema de excesso de confiança na detecção adversária.
• Métricas de Instabilidade Manuais: A introdução de um conjunto específico de métricas de instabilidade (FlipScore, Similaridade de Cosseno, etc.) derivadas de aumentos leves oferece um método robusto e agnóstico à arquitetura para detectar sensibilidade adversária.

4. Resultados Experimentais

O framework foi avaliado no conjunto de dados Tiny ImageNet (resolução de 64x64) e preliminarmente no ImageNet-128.

• Desempenho Geral: O AEGIS alcançou um AUROC de 92,1%, um AUPRC de 90,2% e uma acurácia de 90,7% através das seis categorias.
• Desempenho Específico por Ataque:
  • FGSM: Maior detecção (AUROC 96,1%, Acurácia 95,3%).
  • PGD: Forte detecção (AUROC 94,2%, Acurácia 93,0%).
  • Ataques Semânticos/Geométricos: Manteve desempenho robusto com valores de AUROC acima de 88% para ataques baseados em Patch (91,0%), Funcionais (89,4%) e Geométricos (88,3%).
• Generalização: No ImageNet-128, o desempenho permaneceu forte (Acurácia 88,3%, AUROC 89,7%), com apenas um aumento marginal no Erro de Calibração Esperado (ECE).
• Ataques Zero-Day e de Transferência:
  • Zero-Day: Alcançou 86,5% de AUROC em ataques híbridos PGD+geométricos não vistos durante o treinamento.
  • Transferência Black-Box: Manteve AUROC > 88% quando testado contra exemplos adversários gerados em modelos substitutos (ResNet-50, DenseNet-121).
• Estudo de Ablação: Remover qualquer componente individual (SemantiGAN, aumento estocástico, métricas de instabilidade ou EDL) resultou em uma degradação consistente do desempenho, confirmando a natureza complementar dos módulos. Por exemplo, remover a SemantiGAN reduziu a acurácia para 86,2%, e substituir o EDL por Softmax reduziu a acurácia para 85,2%.

5. Significância e Alegações

O artigo afirma que o AEGIS aborda as limitações das defesas existentes ao fornecer uma solução abrangente, interpretável e consciente da incerteza.

• Robustez: Mitiga efetivamente tanto perturbações de baixo nível quanto manipulações semânticas de alto nível, superando detectores baseados em softmax convencional (ex: ODIN, LID, Defense-GAN) em desempenho de detecção e calibração.
• Aplicabilidade em Missão Crítica: A integração da incerteza evidencial permite que o sistema sinalize entradas ambíguas ou adversárias para revisão humana ou estratégias de fallback seguro (ex: parar um veículo autônomo), o que é crucial para aplicações de segurança crítica como direção autônoma e imagens médicas.
• Interpretabilidade: O uso de métricas de instabilidade explícitas fornece uma razão transparente para as decisões de detecção, ao contrário de detectores de anomalias de "caixa-preta".

Os autores reconhecem limitações, observando que a robustez geométrica é ligeiramente inferior às outras categorias, a latência em tempo real em dispositivos de borda ainda não foi totalmente avaliada, e ataques do mundo físico (ex: patches impressos) permanecem um desafio em aberto. O trabalho futuro é direcionado para a otimização da inferência de baixa latência, aprendizado federado e robustez no mundo físico.