🤖 AI

Physically Real-time Infrared Attack against Optical Flow Estimation Networks

Este artigo apresenta um novo ataque no mundo físico, não invasivo, contra Redes de Estimativa de Fluxo Óptico que utiliza luzes infravermelhas furtivas e exemplos adversários pré-computados para gerar interrupções direcionadas em tempo real através de diversas condições ambientais sem modificar o sistema vítima.

Autores originais: Shen You, Wei Jiang, Jiarui Liu, Yijian Ye, Qiuzhen Lin, Xiangtao Li, Ka-Chun Wong

Publicado 2026-07-30

📖 4 min de leitura☕ Leitura rápida

CC BY 4.0

Autores originais: Shen You, Wei Jiang, Jiarui Liu, Yijian Ye, Qiuzhen Lin, Xiangtao Li, Ka-Chun Wong

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que o mundo esteja cheio de olhos invisíveis observando tudo. Estes não são olhos humanos, mas câmeras conectadas a cérebros de computador superinteligentes chamados "Redes de Estimativa de Fluxo Óptico". Pense nessas redes como os detectores de movimento definitivos. Elas não apenas veem uma imagem; elas observam como cada pixel individual dessa imagem se move de um quadro para o próximo. Se um carro passa, a rede calcula exatamente a que velocidade e em qual direção cada parte desse carro está viajando. Este é o ingrediente secreto por trás dos carros autônomos desviando de obstáculos e dos sistemas de segurança rastreando ladrões. Mas aqui está o problema: esses cérebros de computador têm uma fraqueza secreta. Assim como um mágico pode enganar o olho humano com um truque de mãos, hackers podem enganar essas redes com "exemplos adversários" — pequenos glitches, quase invisíveis, que fazem o computador ver coisas que não existem ou deixar de ver coisas que estão lá. A grande questão que os cientistas estão fazendo é: Podemos enganar esses detectores de movimento no mundo real, não apenas em uma tela de computador, sem que ninguém perceba?

Este artigo apresenta uma nova maneira astuta de fazer exatamente isso, usando uma ferramenta que é praticamente invisível para nós, humanos: a luz infravermelha. Os autores, uma equipe de pesquisadores, propõem um método que chamam de "Ataque de Infravermelho Físico em Tempo Real". Em vez de tentar pintar um padrão estranho em um carro (o que você veria facilmente e poderia limpar), eles colam pequenas luzes infravermelhas no alvo. Para nossos olhos, o carro parece normal. Mas para a câmera, que consegue ver o infravermelho, o carro está emitindo um código secreto e caótico. Os pesquisadores descobriram que, ao ligar e desligar essas luzes em um ritmo muito específico e rápido, eles podem confundir o detector de movimento do computador. É como se você estivesse tentando rastrear um corredor, mas toda vez que ele dá um passo, alguém aciona uma luz estroboscópica que o faz parecer que está teletransportando ou parado. O computador fica tão confuso com as mudanças súbitas de brilho que para de rastrear o objeto completamente.

A equipe não apenas supôs que isso funcionaria; eles construíram uma pista de teste física para provar. Eles configuraram uma câmera, um objeto em movimento (um prato de plástico com luzes) e um controlador. Primeiro, eles usaram um "Algoritmo Genético" — pense nisso como um simulador de evolução digital — para descobrir o padrão perfeito de flashes de luz. Esta parte levou tempo, como criar o cavalo de corrida perfeito. Uma vez que encontraram o padrão vencedor, treinaram uma rede neural rápida e simples (uma "Rede Generativa Adversária") para copiar esse padrão instantaneamente. Isso permitiu que eles ligassem e desligassem as luzes em tempo real, mais rápido do que a câmera poderia piscar.

Os resultados foram bastante convincentes. Quando testaram isso contra dois sistemas populares de rastreamento de movimento (RAFT e PWC-Net), o ataque foi altamente eficaz. A "visão" do computador do objeto em movimento transformou-se em um caos vazio e caótico. Em muitos testes, o sistema falhou em ver o objeto se movendo ou viu um caminho completamente errado. Os pesquisadores mostraram que esse truque funcionou mesmo quando o objeto se movia em diferentes velocidades, quando a iluminação da sala mudava de fraca para brilhante e mesmo quando a câmera era afastada. Eles descobriram que o ataque era mais eficaz quando a sala não estava muito clara, pois a luz solar forte pode sobrepor o sinal infravermelho, mas ainda assim manteve-se firme em uma ampla gama de condições.

Crucialmente, o artigo argumenta contra métodos antigos que tentavam imprimir adesivos visíveis e colantes em carros ou usar simulações digitais que não funcionam no mundo real. Os autores sugerem que esses métodos frequentemente falham porque as câmeras reais captam ruído e porque os padrões impressos parecem óbvios demais para os humanos. A abordagem de infravermelho deles, no entanto, permanece oculta aos olhos humanos enquanto causa estragos na visão da máquina. Eles também descobriram que o "flash" da luz — o quanto o brilho difere entre um quadro e outro — era a parte mais importante do truque. Sem essa mudança rápida, o computador ainda poderia entender o movimento.

Em resumo, o artigo sugere que os sistemas de segurança que dependem do rastreamento de movimento podem ser mais frágeis do que pensávamos. Ao usar uma lanterna simples e invisível e um pouco de tempo inteligente, é possível fazer um objeto em movimento desaparecer da visão de um computador. Embora isso não signifique que os carros autônomos estejam prestos para bater amanhã, sugere que os "olhos" do nosso mundo automatizado podem ser cegados por um pouco de luz invisível, e que precisamos construir defesas mais fortes contra esses tipos de truques físicos.

Resumo Técnico: Ataque de Infravermelho Fisicamente em Tempo Real contra Redes de Estimativa de Fluxo Óptico

1. Definição do Problema

Redes de Estimativa de Fluxo Óptico (OFENs) são modelos upstream críticos para a condução autônoma, detecção de movimento e desvio de obstáculos, fornecendo vetores de movimento que alimentam sistemas de tomada de decisão downstream. No entanto, como outras Redes Neurais Profundas (DNNs), as OFENs são vulneráveis a Exemplos Adversários (AEs).

Os ataques existentes no mundo físico enfrentam quatro limitações principais:

Lacuna Digital-para-Físico: Muitos métodos avaliam o desempenho no domínio digital, falhando em considerar as complexas transformações físicas (ruído, iluminação, ângulos de sensores) necessárias para a implantação no mundo real.
Implementação Estática: Alguns ataques físicos simplesmente imprimem AEs digitais, ignorando que as câmeras inevitavelmente capturam ruído, o que degrada a eficácia do AE.
Falta de Dinâmica: Trabalhos anteriores frequentemente não levam em conta o movimento do objeto alvo, levando a falhas no ataque quando o objeto muda de ângulo ou posição.
Visibilidade: A maioria dos ataques depende de patches visíveis ou luzes, violando o princípio da imperceptibilidade e tornando-os facilmente detectáveis por humanos.

O artigo aborda a necessidade de um ataque de infravermelho furtivo e em tempo real que possa interromper dinamicamente as OFENs conforme os objetos se movem, sem modificar o sistema vítima ou alertar observadores humanos.

2. Metodologia: Ataque de Luz Infravermelha em Tempo Real (RILA)

O método proposto, RILA, utiliza luzes infravermelhas (IR) acopladas à superfície de um objeto alvo. Como a maioria das câmeras projetadas para ambientes de baixa luminosidade carece de filtros IR, elas capturam a luz IR, enquanto os humanos permanecem imperceptíveis a ela. O processo de ataque é dividido em duas etapas:

A. Estágio de Treinamento (Offline)

Para superar a natureza não diferenciável do mundo físico (a função de conversão $C(\cdot)$ da perturbação para a luz física), os autores utilizam um Algoritmo Genético (GA).

Inicialização: Em vez de distribuições uniformes, o GA utiliza duas estratégias predefinidas baseadas na suposição de "Constância de Brilho" do fluxo óptico. O objetivo é maximizar as diferenças de brilho entre quadros adjacentes, definendo as perturbações iniciais para níveis de intensidade específicos ( $\gamma = 0,2$ ou $0,8$) dependendo da paridade do quadro.
Evolução: O GA gera iterativamente perturbações (vetores de intensidade de luz). Para cada candidato, o controlador de hardware configura as luzes IR, a câmera captura o quadro e a OFEN estima o fluxo óptico.
Função de Aptidão (Fitness Function): Uma função de aptidão multiobjetivo guia a evolução usando três termos de perda:
1. Perda de Invisibilidade ( $L_{Vis}$ ): Maximiza o "vazio" do fluxo óptico (tornando o objeto indetectável).
2. Perda de Imperceptibilidade ( $L_{Per}$ ): Minimiza a variância do fluxo óptico para criar caos, impedindo a percepção de movimento precisa.
3. Perda de Flash ( $L_{Flash}$ ): Maximiza a diferença de brilho entre quadros consecutivos para interromper a suposição de continuidade temporal.

B. Estágio de Ataque (Tempo Real)

Como o GA é muito lento para aplicação em tempo real, os dados treinados (pares de perturbações anteriores e ótimas) são usados para treinar uma Rede Generativa Adversária (AGN).

Arquitetura: Uma rede totalmente conectada simples que recebe a perturbação anterior $P_{i-1}$ como entrada e produz a próxima perturbação $P_i$ .
Execução: No mundo físico, a AGN gera a perturbação em milissegundos, envia-a para o controlador de hardware e as luzes IR atualizam-se instantaneamente. Isso permite que o ataque acompanhe a taxa de quadros da câmera (ex: 30 fps).

3. Principais Contribuições

Mudança de Paradigma: Propõe uma abordagem de "treinar no físico e implantar no físico", afastando-se de modelos de "ataque digital/implantação física" para otimizar diretamente para restrições físicas.
Mecanismo de Furtividade: Utiliza luzes infravermelhas para garantir que o ataque seja imperceptível ao olho humano, permanecendo visível para câmeras padrão.
Adaptação Dinâmica: Introduz uma rede generativa de tempo real (AGN) treinada em dados gerados por GA, permitindo que o ataque se adapte a objetos em movimento sem modificar o modelo vítima.
Funções de Perda Especializadas: Desenvolve três termos de perda específicos (Invisibilidade, Imperceptibilidade, Flash) para guiar efetivamente a geração de AEs contra OFENs.

4. Resultados Experimentais

Experimentos foram conduzidos em um ambiente de teste físico usando uma pista, controles de iluminação ambiente, luzes IR de 840nm e um controlador ESP32. Os modelos vítimas foram RAFT e PWC-Net.

Estudo de Ablação: A remoção de qualquer um dos três termos de perda degradou o desempenho. A Perda de Flash foi identificada como o componente mais crítico, com sua remoção causando a maior queda na eficácia do ataque (AIV diminuiu 3,22%).
Iluminação Ambiente: O método apresentou robustez em diversas intensidades de luz ambiente (0,1 a 1,0). Embora condições extremamente brilhantes (>0,7) reduzam a contribuição relativa do IR, o ataque permanece eficaz.
Velocidade do Objeto: O desempenho (medido pela Invisibilidade Média - AIV e Imperceptibilidade Média - AIP) permaneceu alto para velocidades de até 33 cm/s, embora uma queda gradual tenha sido observada conforme a velocidade aumentava.
Distância da Câmera: O ataque manteve um desempenho consistente em distâncias de 30 cm a 120 cm, atribuído à área de cobertura fixa das luzes IR em relação à superfície do objeto.
Iterações do Modelo: O ataque permaneceu eficaz contra o RAFT independentemente do número de iterações (5 a 15), demonstrando robustez contra a complexidade computacional interna do modelo.

5. Significância e Alegações

O artigo afirma que o RILA demonstra com sucesso um ataque físico prático e em tempo real contra OFENs. Sua significância reside em:

Furtividade: O uso de luzes IR torna o ataque invisível para humanos, contornando a restrição de "imperceptibilidade" que limita muitos ataques de luz visível.
Robustez: Ao treinar diretamente no ambiente físico usando uma abordagem não baseada em gradiente (GA) e implantar via uma rede generativa, o método supera a lacuna "sim-to-real" e os problemas de ruído inerentes às transferências digital-para-físico.
Avaliação de Ameaça: Os resultados indicam uma "ameaça pesada" aos atuais sistemas de segurança que dependem de OFENs, pois o ataque pode prejudicar a capacidade da rede de estimar o fluxo óptico através de diversas iluminações, velocidades e distâncias.

Os autores concluem que, embora o presente trabalho foque no fluxo óptico, a metodologia poderia ser estendida para outras tarefas de condução autônoma, como detecção de objetos, para criar ataques multimodais mais abrangentes.