💻 computer science

Securing Contrastive mmWave-based Human Activity Recognition against Adversarial Label Flipping

Este artigo apresenta o primeiro estudo sistemático sobre as vulnerabilidades do reconhecimento de atividade humana via mmWave baseado em aprendizado contrastivo supervisionado a ataques de envenenamento por inversão de rótulos, identificando três vetores de ataque específicos e propondo contramedidas correspondentes validadas em um sistema protótipo.

Autores originais: Amit Singha, Ziqian Bi, Tao Li, Yimin Chen, Yanchao Zhang

Publicado 2026-08-06

📖 5 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Amit Singha, Ziqian Bi, Tao Li, Yimin Chen, Yanchao Zhang

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você tem um olho invisível e superpoderoso que pode ver através das paredes sem nunca precisar de uma câmera. Isso não é mágica; é uma tecnologia chamada radar de onda milimétrica (mmWave). Pense nisso como um morcego usando ecolocalização, mas em vez de som, usa ondas de rádio de alta frequência para criar um mapa de calor detalhado e móvel do corpo de uma pessoa. Se você acenar a mão, o radar vê a forma e a velocidade desse movimento. Cientistas usam isso para construir sistemas de "Reconhecimento de Atividade Humana" (HAR), que são como detetives digitais que podem dizer se você está empurrando uma porta, puxando uma gaveta ou virando-se, tudo isso sem que você precise usar um relógio ou um sensor.

Para tornar esses detetives digitais realmente inteligentes, os pesquisadores os ensinam usando um método chamado "Aprendizado Contrastivo Supervisionado". Você pode pensar nisso como um professor mostrando a um aluno duas fotos de um gato e dizendo: "Veja? Estes são o mesmo tipo de animal", e depois mostrando a foto de um cachorro e dizendo: "Isto é diferente". O objetivo é que o computador aprenda que todos os movimentos de "empurrar" parecem semelhantes entre si e muito diferentes dos movimentos de "puxar". Mas aqui está o problema: e se alguém entrar sorrateiramente na sala de aula do professor e trocar as etiquetas nos cartões de memória? E se disserem ao computador que um "empurrar" é, na verdade, um "puxar"? Isso é chamado de ataque de "inversão de rótulos" (label flipping), e este é o perigo que este artigo explora.

Os pesquisadores da Universidade de Purdue e seus colegas decidiram investigar o quão vulneráveis esses detectores de atividade mmWave são a esse tipo de truque. Eles construíram um sistema protótipo que poderia reconhecer seis movimentos de mão diferentes: empurrar, puxar, deslizar para a esquerda, deslizar para a direita e girar no sentido horário ou anti-horário. Eles então fizeram uma pergunta difícil: se um invasor alterar os rótulos dos dados de treinamento, o quão mal o sistema falha?

Eles descobriram que o sistema é surpreendentemente frágil. Eles identificaram três maneiras específicas pelas quais um invasor poderia estragar as coisas. Primeiro, ele poderia simplesmente trocar os rótulos aleatoriamente, dizendo ao computador que um "empurrar" é um "deslizar". Segundo, ele poderia trocar rótulos entre atividades que se movem em direções completamente diferentes (como um empurrar versus um deslizar). Terceiro, e mais astuto, ele poderia trocar rótulos entre atividades que parecem muito semelhantes, como um "empurrar" e um "puxar", que são apenas direções opostas do mesmo movimento.

Os resultados foram um pouco assustadores. Quando os pesquisadores introduziram esses rótulos falsos, a capacidade do sistema de distinguir as atividades colapsou. Na verdade, o método de aprendizado avançado que estavam usando (Aprendizado Contrastivo Supervisionado) na verdade quebrou mais rápido do que o método padrão quando os rótulos foram envenenados. É como um carro esportivo de alto desempenho que lida pior com um buraco do que um sedan comum porque sua suspensão é ajustada de forma tão precisa. Quando 40% dos rótulos de treinamento foram invertidos, o sistema tornou-se quase inútil, misturando todos os diferentes movimentos de mão até não conseguir distinguir um empurrar de um giro.

Mas a equipe não parou apenas ao encontrar o problema; eles construíram um escudo. Eles desenvolveram um mecanismo de defesa que chamam de "Sel-CL" (Aprendizado Contrastivo Seletivo). Imagine um detetive que não apenas aceita cada pista pelo seu valor de face. Em vez disso, esse detetive olha para as pistas, encontra aquelas que fazem mais sentido juntas e ignora as que parecem suspeitas. O sistema deles primeiro tenta descobrir quais pontos de dados são "confiantes" — ou seja, o computador tem certeza do que está vendo — antes de confiar nas etiquetas anexadas a eles. Ele filtra os dados barulhentos e provavelmente falsificados e aprende apenas com os exemplos limpos e confiáveis.

A defesa funcionou de forma notável. Mesmo quando os dados de treinamento foram envenenados com 40% de rótulos falsos, o novo sistema manteve sua precisão acima de 90%. Ele foi capaz de ignorar a confusão e ainda identificar corretamente que um "empurrar" era um "empurrar". Na verdade, quando testaram com até 80% de dados envenenados, ele ainda teve um desempenho melhor do que os outros sistemas, que haviam desistido completamente e começado a adivinhar aleatoriamente.

O artigo conclui que, embora esses sistemas mmWave sejam poderosos e não intrusivos, eles precisam ser construídos com segurança em mente desde o início. Os pesquisadores mostraram que, ao sermos inteligentes sobre quais dados confiamos durante o treinamento, podemos proteger esses olhos invisíveis de ataques maliciosos de inversão de rótulos. Suas descobertas sugerem que essa abordagem pode ser usada não apenas para mmWave, mas para outros sistemas de sensoriamento sem fio também, garantando que nossas futuras casas inteligentes e sistemas de segurança permaneçam confiáveis, mesmo quando alguém tenta pregar peças neles.

Resumo Técnico: Protegendo o Reconhecimento de Atividade Humana baseado em mmWave Contrastivo contra Inversão de Rótulos Adversária

Declaração do Problema

O Reconhecimento de Atividade Humana (HAR) sem fio, particularmente quando aprimorado pela tecnologia de milimétrica (mmWave) e Aprendizado Contrastivo Supervisionado (SCL), oferece capacidades de monitoramento não intrusivas para cuidados de saúde, vigilância e ambientes inteligentes. No entanto, esses sistemas dependem fortemente de dados de treinamento rotulados, tornando-os suscetíveis a ataques de envenenamento por inversão de rótulo. Em tais ataques, adversários manipulam os rótulos das amostras de treinamento para degradar o desempenho do sistema.

Embora os ataques de inversão de rótulo sejam conhecidos no aprendizado de máquina geral, as pesquisas existentes frequentemente negligenciam as características únicas do HAR sem fio. Especificamente, ataques tradicionais não consideram a similaridade das trajetórias de movimento inerente aos dados de mmWave (por exemplo, distinguir entre um "empurrar" e um "puxar", que compartilham trajetórias de vaivém semelhantes, mas diferem na direção). Além disso, mecanismos de defesa anteriores para envenenamento de rótulos geralmente assumem a disponibilidade de um conjunto de dados de treinamento confiável e limpo para impulsionar as defesas, uma suposição que pode não se sustentar em cenários de implantação no mundo real, onde a coleta e a rotulação de dados são terceirizadas ou via crowdsourcing.

Metodologia

1. Protótipo do Sistema

Os autores construíram um protótipo de sistema HAR baseado em mmWave usando um radar TI 1843. O sistema processa sinais brutos através de Range-FFT, Doppler-FFT e Angle-FFT para gerar sequências de Imagem de Ângulo de Alcance Dinâmico (DRAI).

Arquitetura: Um modelo híbrido CNN-LSTM é usado para extração de características e classificação. A CNN captura características espaciais de mapas de calor, enquanto a LSTM extrai características temporais.
Baseline: Uma abordagem padrão de Aprendizado Supervisionado (SL) atinge 96,43% de precisão em um conjunto de dados equilibrado de seis atividades manuais (Empurrar, Puxar, Deslizar para a Esquerda, Deslizar para a Direita, Giro Horário, Giro Anti-horário).
Aprimoramento: O sistema é aprimorado com Aprendizado Contrastivo Supervisionado (SCL). Este processo de dois estágios primeiro aprende representações robustas minimizando as distâncias entre pares positivos (mesma classe) e maximizando as distâncias entre pares negativos (classes diferentes) usando uma função de perda SCL, seguido por um estágio de ajuste fino de um classificador linear. O sistema aprimorado com SCL atinge 97,92% de precisão sob condições normais.

2. Modelo de Adversário e Ataques

O estudo propõe três novos ataques de inversão de rótulo que exploram similaridades de trajetória, categorizados por como o atacante manipula os rótulos em relação à trajetória de movimento:

Ataques Aleatórios: O atacante inverte rótulos aleatoriamente para classes arbitrárias, misturando atividades com trajetórias tanto semelhantes quanto dissimilar.
Ataques de Trajetória Cruzada (Across Trajectory): O atacante inverte rótulos de classes de atividades específicas para outras classes que possuem trajetórias de movimento diferentes (por exemplo, mudar um rótulo de "Empurrar" para "Girar").
Ataques de Trajetória Interna (Inner Trajectory): O atacante inverte rótulos para classes que compartilham trajetórias de movimento semelhantes (por exemplo, mudar "Empurrar" para "Puxar"). Este ataque é projetado para ser mais furtivo, pois os padrões de sinal subjacentes permanecem consistentes com o novo rótulo.

Esses ataques são avaliados tanto em formas simétricas (troca mútua de rótulos entre duas classes) quanto assimétricas.

3. Mecanismo de Defesa: Sel-CL

Os autores propõem um mecanismo de defesa chamado Sel-CL (Seleção baseada em Aprendizado Contrastivo) que não requer um conjunto de dados confiável. A abordagem envolve:

Pré-treinamento Não Supervisionado: Inicialmente, o modelo é treinado usando Aprendizado Contrastivo Não Supervisionado (UCL) para aprender representações sem depender de rótulos potencialmente envenenados.
Identificação de Exemplos Confiantes: Usando as representações aprendidas do UCL, o sistema calcula pseudo-rótulos para cada instância com base no voto da maioria de seus $K$ -vizinhos mais próximos (onde $K=250$ ). Instâncias onde o pseudo-rótulo concorda com o rótulo fornecido (potencialmente envenenado) são consideradas "exemplos confiantes".
Seleção de Pares Confiantes: O sistema constrói pares positivos e negativos apenas a partir desses exemplos confiantes.
Treinamento Robusto: O modelo é treinado usando uma função de perda composta que inclui:
- Perda Contrastiva Supervisionada (em pares confiantes).
- Perda de Entropia Cruzada (em exemplos confiantes).
- Aumento por Mixup para misturar amostras.
- Perda de Similaridade para refinar a representação com base nas previsões do classificador.
Ajuste Fino (Fine-Tuning): Finalmente, um novo cabeçalho de classificador é adicionado e ajustado nos exemplos confiantes selecionados usando uma função de perda robusta.

Principais Resultados

Vulnerabilidade do SCL

Resultados experimentais demonstram que, embora o SCL supere o SL padrão em ambientes limpos (97,92% vs. 96,43%), ele é mais vulnerável a ataques de inversão de rótulo.

Sob Ataques Aleatórios com uma razão de rótulos envenenados de 20%, a precisão de ambos, SL e SCL, cai para ~70%. No entanto, o desempenho do SCL colapsa mais rapidamente conforme a razão de envenenamento aumenta.
Ataques de Trajetória Interna são particularmente prejudiciais ao SCL porque a similaridade nas trajetórias confunde o mecanismo de aprendizado contrastivo, que depende da distinção entre instâncias semelhantes.
Com uma razão de envenenamento de 40%, sistemas baseados em SCL tornam-se quase inutilizáveis, com as representações de características de diferentes atividades tornando-se completamente misturadas.

Eficácia do Sel-CL

A defesa proposta Sel-CL mitiga significativamente essas vulnerabilidades, embora o desempenho varie conforme o tipo de ataque:

Resiliência a Ataques Aleatórios: O Sel-CL mantém a precisão acima de 90% mesmo com até 40% de rótulos envenenados. O ataque aleatório, que impacta significativamente os modelos SL e SCL, tem efeito mínimo no Sel-CL.
Vulnerabilidade à Manipulação Fixa: Embora o Sel-CL mantenha alta precisão contra ataques aleatórios, os ataques Cross e Inner Trajectory (que empregam métodos de manipulação de rótulo fixos) induzem erros maiores no modelo Sel-CL em comparação com ataques aleatórios. No entanto, o Sel-CL ainda mantém uma precisão acima de 90% para todos os ataques com uma razão de envenenamento de 40%.
Resiliência Extrema: Mesmo quando a razão de rótulos envenenados atinge 80%, o Sel-CL mantém a precisão acima de 90%, enquanto SL e SCL degradam para o nível de um palpite aleatório.
Desempenho Limpo: Na ausência de ataques, o Sel-CL atinge 98,78% de precisão, superando tanto o baseline SL (96,43%) quanto o SCL padrão (97,92%), indicando que o processo de seleção filtra até mesmo amostras de baixa qualidade em dados limpos.
Separação de Características: Visualizações das representações de características mostram que o Sel-CL mantém os agrupamentos de atividades distintos mesmo sob envenenamento pesado, enquanto SL e SCL apresentam sobreposição significativa.

Significância e Alegações

O artigo afirma ser o primeiro estudo sistemático sobre as vulnerabilidades de sistemas HAR baseados em mmWave especificamente no contexto de Aprendizado Contrastivo Supervisionado.

Principais contribuições incluem:

Vetores de Ataque Inovadores: A identificação de ataques de inversão de rótulo baseados em trajetória (Aleatório, Cross e Inner) que visam especificamente as nuances dos dados de sinal sem fio, que foram negligenciadas em pesquisas de segurança de ML geral.
Defesa Sem Dados Confiáveis: O desenvolvimento de um mecanismo de defesa (Sel-CL) que opera sem a suposição de um conjunto de dados de treinamento confiável, um avanço prático significativo sobre trabalhos anteriores que dependem de dados semente limpos.
Validação Empírica: Validação experimental abrangente em um protótipo de sistema usando dados de mmWave do mundo real em diversos ambientes e ângulos extremos (±45° e ±60°), demonstrando que a defesa proposta é robusta contra ataques simétricos e assimétricos.

Os autores concluem que, embora o SCL ofereça desempenho superior em condições limpas, ele introduz vulnerabilidades de segurança específicas que devem ser abordadas durante o design e a implantação de sistemas HAR sem fio. As estratégias apresentadas pretendem ser extensíveis a outros sistemas HAR sem fio, incluindo aqueles baseados em Wi-Fi e sinais acústicos.