Double Down on Defense: Strengthening Deep Perceptual Hashes against Evasion Attacks without Retraining

Resumo Técnico: DualShield – Fortalecendo Hashes Perceptuais Profundos contra Ataques de Evasão

Definição do Problema
A correspondência de imagens quase duplicadas é crítica para moderação de conteúdo, verificação de procedência e aplicação de direitos autorais. Sistemas modernos dependem de hashes perceptuais profundos para mapear imagens visualmente semelhantes em representações compactas e comparáveis. No entanto, esses sistemas são vulneráveis a ataques de evasão, onde um adversário aplica perturbações imperceptíveis a uma imagem conhecida para alterar sua representação de hash o suficiente para cruzar o limiar de correspondência, fazendo com que um quase-duplicado seja classificado erroneamente como um não-correspondente.

As defesas existentes enfrentam um compromisso (trade-off):

1. Robustez Empírica: Embora alguns métodos resistam a ataques específicos conhecidos, eles não oferecem garantia contra estratégias adversárias mais fortes ou inéditas.
2. Robustez Certificada: Abordagens recentes como o CertPHash fornecem garantias formais contra perturbações limitadas, mas exigem o treinamento de modelos de hash robustos dedicados do zero. Isso torna difícil a implantação em sistemas de hash pré-treinados já existentes usados em produção.

A questão central de pesquisa abordada é: Podemos melhorar tanto a robustez empírica quanto a certificada de hashes perceptuais profundos existentes sem retreinar ou modificar seus modelos subjacentes?

Metodologia: DualShield
Os autores propõem o DualShield, um mecanismo de defesa do tipo plug-in que opera em duas etapas distintas do ciclo de vida da imagem sem alterar o próprio modelo de hash $f$. Ele combina dois mecanismos complementares:

1. Fortalecimento no Momento da Publicação (Publication-Time Hardening):

   • Objetivo: Otimizar proativamente a imagem de referência antes que ela seja publicada e armazenada no banco de dados.
   • Mecanismo: Uma perturbação otimizada e imperceptível $\delta_h$ é adicionada à imagem de referência original $r$ para criar uma referência fortalecida $r^*$.
   • Otimização: A perturbação é calculada para maximizar a "margem de correspondência suavizada" para pares positivos (a referência e suas variantes benignas) enquanto mantém a separação de pares negativos (imagens não relacionadas). Isso move a referência para longe de regiões localmente vulneráveis do espaço de hash, tornando mais difícil para um adversário empurrar uma consulta modificada através da fronteira de decisão.
   • Restrição: A modificação é restrita para ser imperceptível (por exemplo, norma $\ell_\infty$ limitada) e é realizada apenas uma vez por imagem de referência.

2. Suavização Aleatória no Momento da Correspondência (Matching-Time Randomized Smoothing):

   • Objetivo: Estabilizar a decisão de correspondência/não-correspondência contra pequenas perturbações adversárias na imagem de consulta.
   • Mecanismo: Quando uma imagem de consulta $q$ é enviada, o sistema não depende de uma única comparação de hash determinística. Em vez disso, ele amostra independentemente ruído Gaussiano $\eta_r, \eta_q$ para ambos o par: a referência fortalecida $r^*$ e a consulta $q$.
   • Agregação: O comparador de hash subjacente $M_f$ é avaliado repetidamente nestes pares perturbados. A decisão final é determinada por um voto majoritário (ou a classe mais provável) ao longo de $N$ amostras.
   • Certificação: Este processo converte a decisão de correspondência em uma decisão estatisticamente robusta. Se a probabilidade da classe majoritária $p_A$ exceder 0,5, um raio certificado $\ell_2$ $R_2 = \sigma \Phi^{-1}(p_A)$ pode ser computado. Isso garante que qualquer perturbação aditiva à consulta dentro deste raio não possa alterar a decisão de correspondência.

Principais Contribuições

• Defesa Plug-in: O DualShield fortalece os hashes perceptuais profundos existentes sem exigir o retreinamento ou a modificação da arquitetura de hash subjacente.
• Design de Mecanismo Duplo: Ele combina unicamente o fortalecimento no momento da publicação (otimizando a referência) com a suavização aleatória no momento da correspondência (estabilizando a decisão), abordando fontes complementares de vulnerabilidade.
• Garantias Formais: Ele fornece robustez $\ell_2$ certificada para diversos modelos de hash existentes, incluindo aqueles que não suportam nativamente a certificação.
• Avaliação Abrangente: O método é avaliado em oito modelos diferentes de hash perceptual profundo (incluindo variações de NeuralHash, DINOHash, HybridHash e CertPHash) e três conjuntos de dados (ImageNet, MS-COCO, Stable-Diffusion).

Resultados Experimentais
A avaliação demonstra melhorias substanciais tanto na robustez empírica quanto na certificada:

• Robustez Adversária (White-Box): A taxa de sucesso de ataque (ASR) média para os hashes existentes sob ataques adaptativos white-box foi de 98,6%. O DualShield reduziu isso para 11,8%. Para modelos específicos como HybridHash e variantes do CertPHash, o ASR caiu para próximo de zero (0–1%).
• Robustez Adversária (Black-Box): O ASR médio black-box diminuiu de 20,6% para 1,3%. Seis dos oito hashes alcançaram zero ASR black-box observado através dos orçamentos testados.
• Robustez Certificada: O DualShield estabeleceu um raio $\ell_2$ certificado de aproximadamente 0,3 em todos os hashes avaliados. Este é um aumento significativo em relação à linha de base de apenas suavização (aprox. 0,25) e fornece garantias formais onde antes não existiam.
• Robustez de Transformação: Para a maioria dos hashes, o DualShield manteve baixas taxas de evasão contra transformações comuns (compressão, recorte, rotação). No entanto, um compromisso foi observado para alguns modelos (ex: SSCD), onde o aumento da robustez adversária levou a uma maior taxa de evasão sob transformações geométricas (ex: a evasão por recorte/rotação subiu de 0,5% para 23,6%).
• Utilidade e Fidelidade:
  • Colisões: O DualShield geralmente preservou as taxas de colisão originais, com a maioria dos hashes permanecendo em 0% ou próximo de zero em imagens não relacionadas.
  • Qualidade Visual: As imagens fortalecidas permaneceram visualmente semelhantes às originais. Modelos como C-PDQ e C-PDNA mostraram alta similaridade estrutural (SSIM > 0,9), enquanto outros como o DINOHash exigiram mudanças de textura ligeiramente mais visíveis para alcançar a mesma robustez.

Significância e Alegações
O artigo afirma que o DualShield demonstra que a robustez de hashes perceptuais profundos não exige necessariamente o redesenho ou o retreinamento dos modelos de hash principais. Em vez disso, a robustez pode ser adicionada como uma camada plug-in que aumenta os sistemas implantados ao proteger conjuntamente a referência publicada e fortalecer a decisão de correspondência.

Os autores enfatizam que, embora a robustez empírica (resistência a ataques específicos) seja melhorada, a principal contribuição é a capacidade de fornecer garantias formais de pior caso (certificadas) para sistemas existentes. Isso permite que plataformas do mundo real adotem robustez certificada sem o custo proibitivo de retreinar modelos complexos de aprendizagem profunda. O trabalho sugere um princípio de design mais amplo onde a robustez é tratada como um componente aditivo para sistemas de correspondência visual, tornando a correspondência com robustez adversária e certificada mais acessível para implantação.