💻 computer science

ARMOR++: Agentic Orchestration of a Multi-Domain Primitive Set for Transferable Attacks on Deepfake Detectors

Este artigo apresenta o ARMOR++, um framework multiagente robusto que utiliza o Qwen2.5-VL e o Qwen3 para orquestrar um conjunto diversificado de primitivas adversariais, alcançando taxas de sucesso de ataque e de transferibilidade significativamente superiores contra detectores de deepfake em comparação com os métodos atuais de estado da arte sob restrições rigorosas de caixa-preta.

Autores originais: Christos Korgialas, Gabriel Lee Jun Rong, Dion Jia Xu Ho, Pai Chet Ng, Xiaoxiao Miao, Konstantinos N. Plataniotis

Publicado 2026-07-17

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Christos Korgialas, Gabriel Lee Jun Rong, Dion Jia Xu Ho, Pai Chet Ng, Xiaoxiao Miao, Konstantinos N. Plataniotis

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine a internet como uma galeria de arte gigante e movimentada onde qualquer um pode pintar um quadro. Por muito tempo, se você quisesse saber se uma pintura era real ou uma falsificação, bastava olhá-la com seus próprios olhos. Mas recentemente, um novo tipo de pincel mágico apareceu — a inteligência artificial — que consegue pintar rostos tão perfeitamente que até especialistas têm dificuldade em distinguir a diferença. Isso criou um jogo de gato e rato de alto risco. De um lado, temos "detetives" (modelos de IA) treinados para detectar as falhas minúsculas e invisíveis deixadas por esses pincéis mágicos. Do outro, temos "hackers" tentando enganar os detetives ao adicionar apenas o ruído suficiente a um rosto falso para que ele pareça real para o detetive, sem realmente mudar como o rosto parece para um humano. Isso não é apenas sobre arte; é sobre confiança. Se não conseguirmos distinguir o que é real, não poderemos confiar em nossas notícias, nossas câmeras de segurança ou até mesmo em nossos próprios olhos. A grande questão é: como sabemos se nossos detetives digitais são realmente confiáveis, ou se são facilmente enganados por um truque astuto?

Apresentamos o ARMOR++, uma nova equipe de "hackers" superinteligente projetada para testar esses detetives. Pense nos detectores de deepfake como seguranças em uma boate. Alguns seguranças olham apenas para o formato do rosto de uma pessoa (como uma Rede Neural Convolucional), enquanto outros olham para a imagem inteira e como as peças se encaixam (como um Transformer de Visão). O problema é que um truque que funciona em um tipo de segurança geralmente falha no outro. Tentativas anteriores de enganar esses seguranças eram como jogar um único tipo de pedra contra uma parede; às vezes funcionava, mas muitas vezes a parede era forte demais ou feita de um material diferente.

O ARMOR++ é diferente porque não apenas joga uma pedra; ele envia uma equipe inteira de especialistas que conversam entre si. A equipe é liderada por dois "agentes" muito inteligentes (programas de computador baseados em grandes modelos de linguagem). O primeiro agente, o Analista, olha para o rosto falso e usa seus "olhos" para encontrar pontos estranhos — como uma borda borrada ou uma textura estranha — e diz: "Ei, ataque aqui!". O segundo agente, o Condutor, atua como um treinador. Ele não apenas escolhe um ataque; ele gerencia um esquadrão de cinco diferentes "atacantes", cada um com um superpoder único:

O Misturador: Adiciona uma camada suave e densa de ruído em todos os lugares.
O Pinçador: Ajusta apenas alguns pixels específicos para confundir o segurança.
O Desformador: Deforma suavemente o rosto, como se estivesse esticando uma folha de borracha.
O Mago das Frequências: Muda as "cores" da imagem de uma forma que humanos não conseguem ver, mas computadores sim (como girar o dial de um rádio).
O Embaralhador de Blocos: Corta a imagem em peças de quebra-cabeça e as troca de lugar.

O que torna o ARMOR++ especial é que ele joga um jogo de "tentativa e erro" sem nunca pedir ajuda ao segurança alvo. Ele pratica em um conjunto de seguranças de treinamento (modelos substitutos) que conhece profundamente. Ele testa diferentes combinações de seus cinco atacantes, ouve seus agentes inteligentes e ajusta sua estratégia em tempo real. Se um ataque não está funcionando, a equipe não desiste; eles mudam as regras, tentam uma mistura diferente de ataques e continuam até encontrar a combinação perfeita para enganar o segurança alvo.

O artigo revela que essa abordagem baseada em equipe é incrivelmente eficaz. Ao ser testado em uma coleção massiva de rostos falsos (o benchmark AADD-2025), o ARMOR++ conseguiu enganar os seguranças "cegos" mais avançados (aqueles que nunca tinha visto antes) cerca de 44,3% das vezes em imagens de baixa qualidade e 32,1% das vezes em imagens de alta qualidade. Para colocar em perspectiva, a melhor equipe anterior (chamada ARMOR) enganou eles cerca de 39,6% e 28,3% das vezes, enquanto os métodos padrão de "ataque único" mal ultrapassaram os 20%.

Os pesquisadores também verificaram se esses truques ainda funcionavam se os seguranças tivessem um treinamento básico para resistir a ataques (como o "treinamento adversarial"). Mesmo assim, o ARMOR++ foi o mais bem-sucedido, ainda enganando os seguranças cerca de 19,8% das vezes, enquanto outros métodos caíram para quase zero. Isso sugere que mesmo nossos melhores sistemas de segurança atuais têm um "ponto cego" significativo quando enfrentam esses truques inteligentes e multifacetados. Os autores concluem que, embora nossos detectores estejam melhorando na detecção de falsificações, eles ainda não são confiáveis o suficiente para serem totalmente confiados, especialmente quando enfrentam um atacante que pode pensar, adaptar-se e usar muitos tipos diferentes de truques ao mesmo tempo. É um alerta: na corrida entre criadores de falsificações e detectores de realidade, os detectores ainda têm muito trabalho a fazer.

Resumo Técnico: ARMOR++

Declaração do Problema
A confiabilidade dos detectores de deepfake é frequentemente comprometida sob transferência adversária de caixa-preta, particularmente quando perturbações otimizadas em substitutos de redes neurais convolucionais (CNN) são aplicadas a alvos baseados em transformers (ex: ViT, Swin). Ataques de transferência existentes frequentemente carecem de consciência semântica e lutam para manter a eficácia sob restrições rigorosas de não-consulta (no-query). Além disso, os métodos atuais frequentemente dependem de pistas forenses frágeis e dependentes de arquitetura (como fronteiras de mesclagem ou inconsistências de textura de alta frequência) e falham em abordar a dificuldade única da detecção de deepfakes, onde os classificadores exploram traços localizados e fracos em vez de categorias estáveis de nível de objeto. Abordagens agênticas anteriores, como o ARMOR, são limitadas por um espaço de perturbação puramente espacial, diversidade de substitutos insuficiente e dependência de termos de probabilidade de caixa-preta que enfraquecem o protocolo de não-consulta.

Metodologia: ARMOR++
O artigo propõe o ARMOR++, um framework multiagente robusto projetado para evasão de deepfake de alta transferibilidade sob um protocolo estrito de não-consulta. O framework integra um Modelo de Visão-Linguagem (VLM) e um Modelo de Linguagem de Grande Escala (LLM) para orquestrar a seleção de métodos e a reparametrização sem consultar o alvo cego.

Arquitetura e Agentes: O sistema emprega uma arquitetura multiagente de ciclo fechado:
- Agente de Análise (Qwen2.5-VL): Gera um relatório semântico identificando topologias faciais, irregularidades de textura e artefatos de compressão para criar um prior espacial suave ( $M_R$ ).
- Agente Condutor (Qwen3): Inicializa restrições globais (orçamento de perturbação $\epsilon$ , limiar de qualidade $\tau$ ) e hiperparâmetros com base no relatório semântico.
- Agentes de Método: Executam cinco primitivas complementares em paralelo:
  1. Estilo CW: Otimização densa penalizada com $\ell_2$ .
  2. JSMA: Manipulação de saliência esparsa.
  3. STA: Deformação geométrica via deformação espacial suave.
  4. SSA (Ataque de Simulação de Espectro): Perturbações no domínio da frequência via aumento de DCT.
  5. BSR (Aumento Estruturado em Blocos): Embaralhamento e rotação por blocos para interromper a coerência global.
- Agente Conselheiro: Adapta os limites de hiperparâmetros para cada primitiva com base no desempenho histórico.
- Agente Estrategista: Detecta estagnação de otimização e aciona a relaxação adaptativa de restrições (aumentando $\epsilon$ , diminuindo $\tau$ ).
- Agente Mixer: Sintetiza um candidato mestre otimizando pesos de mistura convexos ( $w$ ) usando uma pontuação regularizada por entropia que equilibra confiança do substituto, violação de SSIM, energia de perturbação e diversidade de primitivas.
Protocolo Estrito de Não-Consulta: Toda a otimização, reparametrização e mistura dependem exclusivamente do feedback de um conjunto de substitutos ( $F_{surr}$ ). O alvo cego é consultado exatamente uma vez, apenas após a seleção do exemplo adversarial final, puramente para fins de relatório. Isso elimina o uso de termos de probabilidade de caixa-preta ( $p_{bb}$ ) na pontuação de mistura, uma limitação de trabalhos anteriores.

Principais Contribuições

Framework Agêntico Transferível: Uma arquitetura multimodal e multiagente para evasão de não-consulta que depende apenas de feedback de substitutos e raciocínio guiado por LLM.
Orquestração de Ciclo Fechado Guiada Semânticamente: Integração de priors espaciais derivados de VLM com detecção de estagnação guiada por LLM, escalonamento de restrições delimitado e reparametrização adaptativa.
Espaço de Perturbação Multidomínio: A inclusão de primitivas de domínio de frequência (SSA) e estruturadas em blocos (BSR) ao lado de ataques de otimização, saliência e transformação espacial para visar os vieses indutivos espectrais e baseados em patches de deepfakes de alta qualidade (HQ) e detectores de transformer.
Avaliação Orientada à Confiabilidade: Benchmarking abrangente no dataset AADD-2025 (regimes de Baixa Qualidade e Alta Qualidade) com análise estatística rigorosa (intervalos de confiança de Wilson de 95%, testes de McNemar) e análise de modo de falha.

Resultados Experimentais
O framework foi avaliado no benchmark AADD-2025 usando três substitutos CNN (ResNet-50, DenseNet-121, EfficientNet-B4) e dois alvos transformer cegos (ViT-B/16, Swin-B).

Taxa de Sucesso do Ataque (ASR): No regime de Baixa Qualidade (LQ) com ViT-B/16, o ARMOR++ alcançou um ASR de 44,3%, superando significativamente a linha de base agêntica anterior ARMOR (39,6%) e a linha de base não-agêntica mais forte AutoAttack-PGD (19,6%).
Regime de Alta Qualidade (HQ): O ARMOR++ manteve o desempenho superior no regime HQ, que é mais difícil (ASR de 32,1% no ViT-B/16), preservando seu ranking sobre as linhas de base, apesar da redução nas taxas absoltas de sucesso.
Qualidade Perceptual: O ARMOR++ alcançou o maior ASR ponderado (wASR), indicando um equilíbrio superior entre sucesso de ataque e fidelidade perceptual (SSIM $\approx$ 0,69 em LQ, 0,73 em HQ) em comparação com métodos de ensemble como o AutoAttack-PGD, que sofreram degradação significativa de qualidade.
Robustez da Defesa: Sob defesas não-adaptativas (treinamento adversarial PGD e redimensionamento aleatório de entrada), o ARMOR++ reteve o maior ASR residual (ex: 19,8% sob treinamento adversarial em LQ), demonstrando que defesas padrão não mitigam totalmente a ameaça.
Estudos de Ablação: Remover o agente de análise semântica reduziu o ASR para 21,8%, enquanto remover as primitivas de multidomínio (SSA/BSR) ou o regularizador de entropia resultou em quedas significativas de desempenho, confirmando a necessidade dos componentes propostos.

Significância e Alegações
O artigo afirma que o ARMOR++ demonstra um gap de confiabilidade residual significativo nos atuais implementações de detectores de deepfake. Os resultados indicam que a alta precisão em dados limpos e as defesas padrão não-adaptativas são insuficientes para certificar a dependabilidade do detector sob transferência adversarial de arquiteturas cruzadas. Ao explorar efetivamente vulnerabilidades latentes através de orquestração agêntica e perturbações de multidomínio, o estudo destaca que classificadores forenses permanecem vulneráveis a ataques sistemáticos e semanticamente informados. Os autores concluem que o framework proposto serve como um teste de estresse rigoroso, revelando que os sistemas atuais de detecção de deepfake ainda não são robustos o suficiente para implantação em cenários do mundo real com segurança crítica contra ameaças sofisticadas de caixa-preta.

Mais como este