Resumo Técnico: Revisitando a Robustez Adversária de Previsão de Tráfego Baseada em Grafos

1. Definição do Problema

A IA baseada em grafos, particularmente as Redes Neurais de Grafos Espaçotemporais (ST-GNNs), é central para sistemas inteligentes de transporte para previsão de tráfego. No entanto, a segurança desses sistemas tem sido avaliada sob modelos de ameaça irreais. Trabalhos anteriores assumem que adversários podem perturbar uma grande fração de sensores sob um orçamento de norma $\ell_\infty$ global, otimizando para o erro médio de toda a rede.

Este artigo argumenta que tais avaliações mascaram vulnerabilidades críticas. Um adversário prático opera sob cinco restrições:

1. Conhecimento Limitado: O atacante não conhece o modelo proprietário ($f_\theta$) e depende de modelos substitutos ou consultas limitadas.
2. Perturbação Parcial: O atacante controla apenas um subconjunto pequeno e alcançável de sensores ($S_a$), não uma grande fração da rede.
3. Observação Parcial: O atacante observa apenas um subconjunto de nós ($S_o$) e deve inferir o restante.
4. Alvos Localizados: O objetivo é enviesar links ou rotas específicas (ex: inflar o tempo de viagem em um corredor rival) em vez de degradar a média global da rede.
5. Limite de Realismo: Em vez de ruído pequeno e imperceptível, o atacante injeta valores que são fisicamente válidos (dentro das faixas dinâmicas dos sensores) e mimetizam eventos de congestionamento genuínos (coerentes espacialmente e suaves temporalmente).

Sob estas condições, defesas anteriores como o Treinamento Adversário (AT) falham. O AT endurece os modelos contra ataques limitados por norma, mas não consegue rejeitar ataques "on-manifold" que se assemelham a anomalias de tráfego genuínas sem também rejeitar o congestionamento real. Além disso, ataques localizados podem causar erros significativos de roteamento enquanto deixam as métricas globais (como o MAE de toda a rede) virtualmente inalteradas.

2. Metodologia

2.1 O Modelo de Ameaça e o Design do Ataque

Os autores introduzem um modelo de ameaça de cinco eixos e um correspondente Ataque Consciente da Física (Physics-Aware Attack).

• Objetivo do Ataque: Maximizar o erro em um conjunto alvo específico $S_t$ (ex: um corredor) mantendo a consistência física.
• Perturbação Consciente da Física: Em vez de minimizar uma bola de norma, o atacante resolve um problema de otimização para levar a previsão em direção a um estado de congestionamento fabricado ($y_{jam}$). A perturbação é restrita a ser:
  • Esparsa: Afetando apenas alguns links chave.
  • Espacialmente Coerente: Consistente com os vizinhos do grafo (penalizando a inconsistência com o Laplaciano do grafo).
  • Temporalmente Suave: Exibindo aceleração limitada (penalizando o jerk temporal).
• Implementação: O atacante reconstrói estados não observados usando interpolação de Laplaciano de grafo ou um imputador GNN aprendido, treina um modelo substituto para estimativa de gradiente e otimiza a injeção usando Gradiente Projetado Descendente (PGD) mascarado.

2.2 A Defesa: VetTraffic

O artigo propõe o VetTraffic, uma defesa agnóstica ao modelo que reformula a robustez como um problema de detecção em vez de apenas purificação de entrada.

• Insight Central: O treinamento adversário é específico para o ataque. Endurecer um modelo contra um formato de perturbação específico degrada o desempenho em anomalias genuínas daquele mesmo formato. Em vez disso, o sistema deve detectar violações de física.
• Arquitetura:
  1. Detector Consciente da Física: Um módulo que computa pontuações de "suspeita" para cada nó baseando-se nos resíduos entre a leitura do sensor e:
     • Estimativas de vizinhos diretos a montante/jusante.
     • Dinâmicas temporais (aceleração limitada).
       O detector sinaliza nós que se desviam da física do tráfego (a "impressão digital" de um spoof).
  2. Adaptador de Inicialização Zero: O sinal de suspeita do detector (mapa de calor) é fundido com os dados brutos dos sensores e estimativas de vizinhos como recursos de entrada extras para o previsor. O adaptador é inicializado com zero, garantindo que o sistema comece idêntico ao baseline.
  3. Previsor Congelado: O previsor ST-GNN subjacente é iniciado a partir de um baseline de Treinamento Adversário (AT) (especificamente endurecido contra o ataque consciente da física) e permanece congelado durante a fase de treinamento da defesa.
• Treinamento: O detector e o adaptador são treinados conjuntamente contra ataques adaptativos enquanto o previsor permanece fixo. A função de perda combina o erro de previsão (em dados limpos e atacados) com a supervisão de detecção (Entropia Cruzada Binária para sinalizar nós perturbados).

3. Principais Contribuições

1. Um Modelo de Ameaça Prático: Um framework de cinco eixos (conhecimento limitado, perturbação/observação parcial, alvos localizados, limite de realismo) que expõe a inadequação das avaliações globais baseadas em norma.
2. Ataque Consciente da Física: Uma estratégia de ataque inovadora que molda as perturbações para mimetizar o congestionamento genuíno, demonstrando que a robustez do AT não é transferível entre diferentes formatos de ataque.
3. Defesa VetTraffic: Uma defesa baseada em detecção que complementa o AT. Ela aprende a identificar violações de física em vez de inverter ataques específicos, permitindo que generalize para variações de ataques não vistos.
4. Avaliação Adaptativa: Uma avaliação rigorosa mostrando que a detecção generaliza onde o endurecimento falha, especificamente contra ataques "mantidos fora" (held-out) que se expandem além da distribuição de treinamento.

4. Resultados

Os autores avaliaram o ataque e a defesa através de cinco arquiteturas ST-GNN (Graph WaveNet, STGCN, DCRNN, STTN, STAGGCN) e três benchmarks (METR-LA, PEMS-BAY, PeMS-D4).

• Eficácia do Ataque:

  • Sob o ataque consciente da física, os erros em corredores alvo aumentaram várias vezes (ex: de ~4 mph para ~28 mph no PeMS-D4), enquanto o erro de toda a rede permaneceu quase estático.
  • O Treinamento Adversário (RDAT) treinado em ataques limitados por norma forneceu quase nenhuma proteção contra o ataque consciente da física; em alguns casos, performou pior do que sem defesa alguma.
  • Mesmo o AT endurecido contra o ataque consciente da física (AT-physics) falhou em generalizar quando o escopo do ataque aumentou (ex: de um halo de 1-hop para 3-hops).

• Desempenho da Defesa:

  • VetTraffic vs. AT: O VetTraffic superou o baseline de AT mais forte (AT-physics) em 13 de 15 configurações de modelo-dataset.
  • Generalização: Em ataques "mantidos fora" (ampliados para halos de 2-hop ou 3-hop), o VetTraffic manteve sua vantagem, enquanto o desempenho do AT-physics degradou drasticamente. Por exemplo, no STGCN/PEMS-BAY, o erro do AT-physics saltou de 13.7 para 34.8 conforme o ataque se expandia, enquanto o VetTraffic subiu apenas para 22.3.
  • Custo de Dados Limpos: O VetTraffic alcançou esses ganhos com custo de precisão em dados limpos quase nulo, pois o adaptador de inicialização zero garante que o sistema retorne ao comportamento baseline em dados limpos.
  • Robustez Adaptativa: Mesmo contra um atacante consciente do detector (que minimiza a suspeita), o VetTraffic superou significativamente os baselines de AT. O detector distinguiu com sucesso o congestionamento genuíno (taxa de sinalização ~0%) dos ataques (taxa de sinalização 62–100%).

5. Significância e Alegações

O artigo alega que a robustez percebida dos previsores de tráfego baseados em grafos é um artefato de modelos de ameaça idealizados. Os autores argumentam que:

• A Robustez é Específica do Ataque: Endurecer um modelo contra um tipo de perturbação (ex: ruído limitado por norma) não confere robustez contra ataques estruturalmente diferentes e conscientes da física.
• Detecção é Superior à Tolerância: Em vez de tentar "tolerar" ou "purificar" entradas que parecem anomalias válidas, os sistemas devem "desconfiar" de entradas que violam as leis da física.
• Generalização via Física: Ao aprender a assinatura invariante de um spoof (violação de física) em vez da correção para um ataque específico, a defesa generaliza para variações de ataques não vistos onde o endurecimento falha.

O trabalho enfatiza a necessidade de avaliar a segurança de IA sob restrições específicas de aplicação (acesso limitado, objetivos localizados, realismo físico) para avaliar o verdadeiro impacto de segurança. Os autores observam limitações, como a eficácia reduzida em grafos ruidosos (METR-LA) e a possibilidade teórica de um atacante totalmente adaptativo explorar o adaptador em casos raros, mas sustentam que o VetTraffic oferece uma melhoria significativa e prática sobre as defesas atuais de estado da arte.