Resumo Técnico: Escalonamento Aleatório de Logit (RLS)

Definição do Problema

Redes neurais profundas (DNNs) são cada vez mais implementadas em domínios críticos, como classificação de imagens, reconhecimento facial e detecção de malware. No entanto, esses modelos permanecem vulneráveis a ataques de exemplos adversários, nos quais os inputs são perturbados com ruído imperceptível para causar erros de classificação. Embora as pesquisas iniciais tenham focado em cenários de caixa-branca (white-box), avanços recentes produziram ataques poderosos baseados em pontuação de caixa-preta (black-box score-based attacks). Nesses cenários, os adversários não possuem acesso aos parâmetros do modelo, mas podem consultar o modelo para obter vetores de confiança (vetores de probabilidade). Ataques notáveis, como o ataque Square, podem gerar exemplos adversários bem-sucedidos com apenas dezenas de consultas, representando uma ameaça significativa à implantação confiável de modelos de ML.

As defesas existentes enfrentam um trade-off crítico. O Treinamento Adversário (AT) melhora a robustez, mas frequentemente degrada a acurácia em amostras benignas e incorre em altos custos computacionais. Métodos de ensemble aumentam a robustez, mas elevam o overhead de armazenamento e implementação. Defesas baseadas em randomização (ex: adicionar ruído aos inputs ou aos logits) oferecem uma alternativa mais leve, mas frequentemente sofrem de redução na acurácia do modelo e distorção significativa das pontuações de confiança, o que pode ser prejudicial em aplicações que dependem de probabilidades calibradas. Além disso, defesas determinísticas como o Adversarial Attack on Attackers (AAA) mostraram-se vulneráveis a ataques adaptativos.

Metodologia

1. Escalonamento Aleatório de Logit (RLS)

A principal contribuição deste trabalho é o Escalonamento Aleatório de Logit (RLS), uma defesa de pós-processamento "plug-and-play", projetada especificamente para ataques de caixa-preta baseados em pontuação.

• Mecanismo: O RLS opera escalonando os logits de saída ($z$) do modelo por um coeficiente aleatório ($m$) amostrado de uma distribuição uniforme contínua $U(a, b)$, onde $a, b > 0$. Os logits escalonados são definidos como $z' = m \times z$.
• Intuição Central: A defesa visa confundir o atacante ao fornecer pontuações de confiança falsificadas, enquanto preserva o ranking (classificação) das classes. Como o fator de escala $m$ é positivo, a ordem relativa dos logits permanece inalterada, garantindo que o rótulo previsto (classe top-1) permaneça o mesmo. No entanto, os valores absolutos dos logits e as lacunas entre as classes flutuam aleatoriamente a cada consulta.
• Impacto nos Ataques:
  • Estimativa de Gradiente: Ataques que dependem de otimização de ordem zero (ex: NES, ZOO) tentam estimar gradientes com base nas diferenças de pontuação. O RLS introduz ruído nessas diferenças de pontuação, levando a estimativas de gradiente falsificadas.
  • Busca Aleatória: Ataques como o Square utilizam métodos de busca para encontrar direções que reduzam a perda. O RLS faz com que os valores da função objetivo flutuem de forma imprevisível (ex: uma consulta com um $m$ pequeno pode gerar uma pontuação falsamente baixa), induzindo o atacante a selecionar direções subótimas ou ignorar direções válidas.
• Implementação: O RLS não requer o retreinamento do modelo subjacente. É uma adição leve e de esforço zero que pode ser implementada sobre qualquer modelo de ML existente.

2. O Ataque Pêndulo (Pendulum Attack)

Para demonstrar a vulnerabilidade das defesas não-randomizadas existentes, os autores introduzem um novo ataque adaptativo chamado Ataque Pêndulo, visando o AAA-sine (uma defesa de estado da arte que remodela a função de perda em uma curva semelhante a um seno).

• Mecanismo: Ataques padrão ficam presos em mínimos locais criados pela função de perda em formato de seno. O Ataque Pêndulo supera isso alternando de direção iterativamente. Se o atacante falhar em reduzir a perda por $k$ iterações consecutivas, ele inverte para a direção oposta (aumentando a perda). Se falhar em aumentar a perda por outras $k$ iterações, ele volta a inverter. Essa oscilação permite que o atacante escape de mínimos e máximos locais gerados pela defesa.
• Resultado: Esta estratégia adaptativa contorna o AAA-sine, aumentando a taxa de sucesso do ataque em mais de 35% em comparação com ataques padrão.

Principais Contribuições

1. Proposta do RLS: Uma defesa leve e de esforço zero que reduz significativamente a taxa de sucesso dos ataques de caixa-preta baseados em pontuação de estado da arte, preservando a acurácia do modelo.
2. Análise de Escalonamento de Logit: O artigo fornece uma análise teórica e empírica mostrando como o escalonamento aleatório de logits corrompe as funções objetivo usadas por atacantes baseados em gradiente e de busca, sem alterar a classe prevista.
3. Ataque Adaptativo (Pendulum): A introdução do Ataque Pêndulo demonstra a vulnerabilidade de defesas determinísticas como o AAA frente a estratégias adaptativas, destacando a vantagem de defesas randomizadas como o RLS.
4. Avaliação Abrangente: Experimentos extensos nos datasets CIFAR-10 e ImageNet utilizando seis ataques SOTA (NES, Bandit, Square, SignHunter, ZO-signSGD e BruSLe) nos espaços de norma $\ell_\infty$, $\ell_2$ e $\ell_0$.

Resultados Experimentais

Os autores avaliaram o RLS contra quatro baselines: Random Noise Defense (iRND), Randomized Feature Defense (RFD), Boundary Defense (oRND) e AAA.

• Robustez: O RLS supera significativamente os baselines na resistência a ataques. Por exemplo, no dataset CIFAR-10 usando ResNet-18, o RLS reduziu a taxa de sucesso do ataque Square de 100% (sem defesa) para 59,85% (com intervalo 0,5–10) e para 43,05% (com intervalo 0,5–1000). Contra o ataque Bandit, o RLS reduziu as taxas de sucesso para apenas 1,56%.
• Preservação de Acurácia: Ao contrário do iRND, RFD e oRND, que causam quedas de acurácia variando de 0,32% a 3,95%, o RLS mantém 0% de queda de acurácia em todos os modelos e configurações testados, pois preserva o ranking das classes.
• Distorção de Pontuação de Confiança: Embora o RLS distorça as pontuações de confiança, ele geralmente causa menos distorção (medida pela norma L2 das diferenças do vetor de probabilidade) do que o iRND e o RFD. No entanto, o artigo observa que o RLS aumenta o Erro de Calibração Esperado (ECE) mais do que o RFD e o AAA, embora menos que o iRND.
• Eficiência de Consulta: O RLS força os atacantes a utilizarem significativamente mais consultas para obter sucesso. Por exemplo, contra o ataque Square no ResNet-18, o número médio de consultas necessárias para um ataque bem-sucedido aumentou de ~115 (sem defesa) para ~735 (RLS 0,5–10).

Significância e Alegações

O artigo afirma que o RLS oferece uma solução única para o trade-off entre robustez e performance. Ao desacoplar a defesa do processo de treinamento e utilizar a randomização que preserva o ranking de classes, o RLS permite a implementação de defesas em tempo de teste sem:

1. Sacrificar a acurácia do modelo em amostras benignas.
2. Incorrer no overhead computacional de treinamento adversário ou métodos de ensemble.
3. Exigir mudanças arquitetônicas complexas.

Os autores posicionam o RLS como particularmente adequado para aplicações onde manter a acurácia de predição top-1 é primordial. Eles reconhecem um trade-off: embora o RLS melhore a robustez, a distorção das pontuações de confiança pode exigir técnicas de calibração adicionais para aplicações fortemente dependentes de estimativas de probabilidade precisas (ex: diagnóstico médico ou detecção de fora da distribuição/out-of-distribution). O trabalho conclui que defesas randomizadas como o RLS fornecem uma barreira mais resiliente contra atacantes adaptativos em comparação com métodos determinísticos como o AAA.