💻 computer science

Algebraic Cryptanalytic Extraction on Hard-Label Neural Networks

Este artigo propõe uma estrutura algébrica utilizando um método de Vetor de Assinatura Aproximada (ASV) para superar os gargalos computacionais de ataques de extração de modelos de rótulo rígido existentes, alcançando a recuperação eficiente de parâmetros tanto para Redes Neurais Convolucionais Totalmente Conectadas quanto de max-pooling ao substituir o complexo agrupamento baseado em SVD por operações simples de produto interno.

Autores originais: Zirui Chen, Shi Tang, Zhengchao Gao, Yongjia Su, Lingyue Qin, Xiaoyang Dong

Publicado 2026-08-07

📖 8 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Zirui Chen, Shi Tang, Zhengchao Gao, Yongjia Su, Lingyue Qin, Xiaoyang Dong

Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

Imagine que você está tentando roubar a receita secreta de um bolo mundialmente famoso, mas o confeiteiro se recusa a deixar você provar a massa ou ver a lista de ingredientes. Tudo o que você pode fazer é entregar ao confeiteiro um ingrediente aleatório, perguntar "Isto é um bolo?", e receber de volta um simples "Sim" ou "Não". Este é o desafio dos ataques de "rótulo rígido" (hard-label) no mundo da Inteligência Artificial. Neste canto da ciência da computação, pesquisadores tentam fazer a engenharia reversa da matemática oculta (os pesos e vieses) dentro de uma rede neural de "caixa preta" apenas observando suas decisões finais de sim ou não. Por anos, isso foi como tentar resolver um gigantesco quebra-cabeça no escuro; embora existissem truques astutos para encontrar as peças, organizá-las na imagem correta era tão lento e computacionalmente pesado que parecia impossível de realizar na vida real. O problema não era que a matemática estava errada, mas que o método para organizar as pistas estava preso em um congestionamento de cálculos.

Este artigo apresenta uma nova maneira inteligente de atravessar esse congestionamento. Os autores, Zirui Chen e sua equipe, perceberam que o método antigo era como tentar comparar cada peça de um quebra-cabeça com todas as outras uma por uma usando uma calculadora super complexa. Em vez disso, eles propuseram um atalho chamado "Vetor de Assinatura Aproximada" (ASV - Approximate Signature Vector). Pense nisso como perceber que, se duas peças de um quebra-cabeça pertencem à mesma seção do céu, ambas serão azuis. Você não precisa de um supercomputador para verificar; você só precisa de um olhar rápido para ver se elas são do mesmo tom. Ao usar este "olhar" (uma operação matemática simples chamada produto interno) em vez da calculadora pesada, eles transformaram uma tarefa que levava milhares de horas em uma que leva minutos. Eles também descobriram como aplicar esse truque a um tipo específico de arquitetura de IA chamada Rede Neural Convolucional (CNN) que utiliza "max pooling", uma característica que anteriormente era um beco sem saída para esses tipos de ataques.

A Grande Ideia: Do Trabalho Pesado a um Olhar Rápido

A história começa com um ataque famoso desenvolvido por Carlini e colegas em 2025. Eles mostraram que, mesmo que você receba apenas respostas de "Sim/Não" de uma rede neural, você ainda pode descobrir seus pesos secretos. Eles fizeram isso encontrando pontos especiais nos dados chamados "pontos duais". Imagine esses pontos duais como os locais exatos onde a decisão da IA muda de "Gato" para "Cachorro". Ao coletar milhares desses pontos de mudança, os atacantes poderiam reconstruir matematicamente o cérebro da IA.

No entanto, havia um gargalo enorme. Uma vez que você tem um monte de milhares desses pontos de mudança, você precisa organizá-los. Você precisa descobrir quais pontos pertencem ao mesmo "neurônio" (o mesmo pequeno tomador de decisão dentro da IA) e quais pertencem a outros. O método antigo, usado pela equipe de Carlini, era como tentar separar um milhão de meias comparando cada meia com todas as outras usando um scanner de alta tecnologia. Funcionava na teoria, mas, na prática, era agonizantemente lento. Se você tivesse 2.000 pontos, o computador teria que fazer bilhões de cálculos pesados, levando semanas ou até meses para terminar o trabalho. Os autores deste artigo observaram que, embora a teoria fosse sólida, a implementação prática estava presa em um "gargalo computacional" que a tornava inútil para ataques do mundo real.

O Atalho Mágico: O Vetor de Assinatura Aproximada

O avanço dos autores foi mudar a perspectiva de um quebra-cabeça geométrico para um algébrico. Eles notaram duas coisas interessantes sobre como esses cérebros de IA são construídos:

Aleatoriedade de alta dimensão: No vasto espaço multidimensional onde essas IAs vivem, direções aleatórias tendem a ser quase perfeitamente perpendiculares entre si (como os eixos x, y e z).
Recursos desmembrados (Disentangled features): IAs do mundo real são treinadas para aprender coisas diferentes com neurônios diferentes. Um neurônio pode aprender a detectar orelhas, outro caudas. Como eles aprendem coisas diferentes, seus "pesos" internos (a matemática que os define) são naturalmente não correlacionados, quase como se estivessem apontando em direções diferentes e únicas.

Usando essas observações, a equipe inventou o Vetor de Assinatura Aproximada (ASV). Em vez de fazer a comparação pesada e lenta para cada par de pontos, eles calculam uma "assinatura" rápida para cada ponto. Se dois pontos têm assinaturas que apontam para quase a mesma direção (ou exatamente a direção oposta), eles quase certamente pertencem ao mesmo neurônio.

É como ter um saco de bolinhas de gude onde você precisa separá-las por cor. O modo antigo era pesar cada bolinha contra todas as outras para ver se tinham a mesma densidade. O novo modo é apenas olhar a cor. Se duas bolinhas são de um vermelho brilhante, você as coloca no mesmo monte. Você não precisa de uma balança; você só precisa dos seus olhos. Em termos matemáticos, esse "olhar" é uma multiplicação simples de vetores (um produto interno), que é extremamente rápida comparada ao antigo "peso" (Decomposição de Valor Singular - SVD).

Os Resultados: Acelerando o Assalto

A diferença de velocidade é impressionante. Os autores testaram seu método em um modelo de IA padrão com 2.000 pontos duais.

O Modo Antigo: Usando o método pesado de SVD, o processo de ordenação levaria cerca de 4.348 horas (quase meio ano de computação ininterrupta).
O Novo Modo: Usando o método ASV, o mesmo trabalho levou apenas 211,9 segundos (cerca de 3,5 minutos).

Esse é um aumento de velocidade de aproximadamente 212 vezes. Em um experimento real extraindo a primeira camada de um modelo, o método antigo levou 5,03 horas, enquanto o método deles fez isso em apenas 0,04 horas (cerca de 2,4 minutos). Para a segunda camada, o método antigo nem sequer conseguiu terminar em uma semana, enquanto o novo método terminou em 0,74 horas.

Decifrando o Código da CNN

O artigo não apenas acelerou o truque antigo; ele também resolveu um novo problema. Os pesquisadores aplicaram seu método a Redes Neurais Convolucionais (CNNs) que utilizam "max pooling". O max pooling é uma técnica onde a IA olha para um pequeno grupo de números e mantém apenas o maior deles, descartando o restante. Isso cria um desafio único porque muitos neurônios diferentes na rede realmente compartilham o mesmo "kernel" (o mesmo conjunto de pesos).

Tentativas anteriores de atacar essas redes eram "centradas no neurônio", o que significa que tentavam ordenar os pontos pelo neurônio específico ao qual pertenciam. Mas, devido à forma como o max pooling funciona, você precisaria encontrar dois pontos que atingissem o exato mesmo neurônio para progredir, o que é incrivelmente difícil de fazer por acaso.

Os autores introduziram um método de "ASV Avançado" que é "centrado no kernel". Em vez de perguntar: "Estes dois pontos pertencem ao mesmo neurônio?", eles perguntaram: "Estes dois pontos pertencem ao mesmo kernel?". Como todos os neurônios em uma camada específica compartilham o mesmo kernel, eles podem misturar e combinar pontos de diferentes neurônios, desde que estejam trabalhando no mesmo padrão subjacente. Isso permitiu que eles extraíssem com sucesso os pesos de um modelo LeNet-5 (uma IA clássica de reconhecimento de imagem) usando apenas entradas de rótulo rígido, um feito que era um "problema em aberto" até agora.

O Que Isso Significa

O artigo demonstra que, ao mudar a lente matemática através da qual vemos esses ataques, podemos transformar uma tarefa que era praticamente impossível em um cálculo rotineiro. Os autores mostram que a etapa de "agrupamento" (clustering), que era o principal gargalo, pode ser resolvida de forma eficiente sem sacrificar a precisência. Eles verificaram seus resultados através de simulações e experimentos em modelos padrão, mostrando que o "Vetor de Assinatura Aproximada" é um substituto (proxy) confiável para os pesos reais.

Embora o artigo não pretenda ter quebrado toda a segurança da IA, ele prova que o cenário de "rótulo rígido" é muito mais vulnerável do que se pensava anteriormente, desde que se tenham as ferramentas algébricas certas. Os autores sugerem que seu método pode ser usado por terceiros para otimizar esses ataques, fechando efetivamente a lacuna entre a possibilidade teórica e a realidade prática. No mundo da segurança de IA, saber que uma interface de "Sim/Não" pode ser submetida à engenharia reversa em minutos, em vez de semanas, é um aviso significativo de que as defesas dos modelos de caixa preta precisam ser muito mais fortes.

Resumo Técnico: Extração de Criptoanálise Algébrica em Redes Neurais de Rótulo Difuso (Hard-Label)

Definição do Problema
O artigo aborda o desafio de extrair parâmetros de modelo (pesos e vieses) de Redes Neurais Profundas (DNNs) operando em um cenário de "rótulo difuso" (hard-label). Neste cenário, um atacante tem acesso apenas aos rótulos de classificação finais (ex: "gato" ou "cachorro"), em vez dos valores brutos de logits. Embora Carlini et al. (EUROCRYPT 2025) tenham demonstrado um ataque de tempo polinomial para Redes Neurais Totalmente Conectadas (FCNNs) de rótulo difuso através da análise de geometrias de fronteira de decisão, sua abordagem sofre de um gargalo computacional severo. Especificamente, a fase de "recuperação de assinatura" requer o agrupamento (clustering) de pontos duais para identificar grupos consistentes correspondentes ao mesmo neurônio. O método de Carlini et al. baseia-se na Decomposição de Valor Singular (SVD) para verificar a consistência de posto de pares de pontos, resultando em uma complexidade de tempo de $O(n^2 \cdot (d(k))^3)$ , onde $n$ é o número de pontos duais e $d(k)$ é a largura da camada. Essa complexidade torna o ataque impraticável para redes profundas ou grandes conjuntos de dados, como observado pelos autores do trabalho original como uma barreira para uma implementação black-box totalmente otimizada. Além disso, antes deste trabalho, não existia um método de extração de tempo polinomial para Redes Neurais Convolucionais (CNNs) que utilizam max-pooling, pois os ataques existentes exigiam consultas de saída bruta ou eram limitados a arquiteturas de average-pooling.

Metodologia
Os autores propõem transformar a visão geométrica do ataque de Carlini et al. em um arcabouço algébrico, introduzindo um novo método de Vetor de Assinatura Aproximado (ASV). O núcleo de sua abordagem baseia-se em duas observações principais:

Ortogonalidade de Alta Dimensão: Em espaços de alta dimensão, vetores aleatórios independentes tendem a ser quase ortogonais.
Desentrelaçamento de Características (Feature Disentanglement): Em DNNs práticas, neurônios distintos aprendem a extrair características divergentes, tornando seus vetores de peso efetivamente não correlacionados ou independentes.

Com base nessas observações, os autores definem o ASV ( $\vec{v}$ ) para um ponto dual. O ASV é construído a partir dos vetores normais unitários dos patches de fronteira de decisão adjacentes ( $\vec{n}_l$ e $\vec{n}_r$ ) que circundam um hiperplano crítico. Teoricamente, o ASV alinha-se estreitamente com o verdadeiro vetor de peso ( $\vec{w}$ ) do neurônio alvo (ou a diferença entre pesos para pontos de troca de pooling), com uma distância de cosseno aproximando-se de zero.

A metodologia procede em três estágios principais:

Extração de ASV: Para cada ponto dual coletado, o atacante calcula o ASV usando operações simples de produto interno em vez de SVD.
Agrupamento (Clustering): Em vez de realizar verificações de posto via SVD, o algoritmo agrupa pontos duais comparando a similaridade de cosseno (ou distância direcional) de seus ASVs. Se dois pontos pertencem ao mesmo neurônio, seus ASVs serão quase colineares (direções idênticas ou opostas). Isso reduz a complexidade de comparação de pares de $O((d(k))^3)$ para $O(d(k))$ .
Recuperação Centrada no Kernel para CNNs: Para CNNs de max-pooling, os autores introduzem um método de "ASV Avançado". Diferente das abordagens anteriores "centradas no neurônio", que exigem múltiplos pontos duais para o exato mesmo neurônio para resolver sistemas lineares, este método explora a propriedade de compartilhamento de pesos das convoluções. Ele agrupa pontos duais com base no kernel convolucional ao qual eles correspondem (centrado no kernel), permitindo a recuperação do peso único do kernel a partir de um conjunto diverso de pontos duais (incluindo diferentes neurônios dentro da mesma camada) que compartilham o mesmo kernel.

Principais Contribuições

Reformulação Algébrica de Ataques de Rótulo Difuso: O artigo converte a análise de fronteira de decisão geométrica em um arcabouço algébrico, substituando a verificação de posto por SVD, computacionalmente cara, por operações eficientes de produto interno.
Método de Vetor de Assinatura Aproximado (ASV): Uma nova técnica de agrupamento que aproveita a quase-ortogonalidade de vetores de alta dimensão. Isso reduz a complexidade de tempo do caso médio de agrupamento de $O(n^2 \cdot (d(k))^3)$ para $O(n \cdot (d(k))^2)$ , com o custo dominante deslocando-se para a extração inicial do ASV em vez das comparações de pares.
Primeiro Ataque de Rótulo Difuso em CNNs de Max-Pooling: O artigo apresenta o primeiro ataque de extração de modelo contra CNNs de rótulo difuso com max-pooling. Introduz um esquema de agrupamento "centrado no kernel" que supera a ineficiência dos métodos centrados no neurônio em CNNs, reduzindo significativamente o número de pontos duais necessários para recuperar kernels convolucionais.
Eficiência Prática: Os métodos propostos reduzem drasticamente o tempo de execução. Nos experimentos, o método ASV reduziu o tempo de agrupamento por um fator de aproximadamente $2^{12}$ em comparação com a abordagem baseada em SVD.

Resultados Experimentais
Os autores avaliaram seu método em duas arquiteturas:

FCNN (64-64×4-10):
- Camada 1: Tempo de extração reduzido de 5,03 horas (método SVD de Carlini et al.) para 0,04 horas (método ASV), uma redução de 99,2%.
- Camada 2: O método ASV completou a extração em 0,74 horas, enquanto o método SVD falhou em produzir um resultado dentro de uma semana (estimado em ~4.375 horas).
- Acurácia: Os modelos extraídos alcançaram equivalência funcional $(\epsilon, 0)$ com erros comparáveis ou melhores que o baseline.
CNN (LeNet-5 com Max Pooling):
- O método ASV Avançado recuperou com sucesso os blocos convolucionais de um modelo LeNet-5 no cenário de rótulo difuso.
- Comparado ao método "ASV Simples" (centrado no neurônio), o método "ASV Avançado" (centrado no kernel) melhorou significativamente a utilização dos pontos duais coletados. Para a segunda camada, o ASV Simples exigiu 6.000 pontos duais para encontrar pares válidos, enquanto o ASV Avançado alcançou o mesmo com apenas 1.000 pontos.
- O ataque superou trabalhos anteriores que exigiam consultas de saída bruta (Chen et al.) ou que eram limitados a average pooling (Sun et al.).

Significância e Alegações
O artigo afirma resolver um gargalo computacional crítico na criptoanálise algébrica de redes neurais, tornando a extração de modelos de rótulo difuso viável para arquiteturas mais profundas e complexas. Ao transformar o problema em um arcabouço algébrico e aproveitar as propriedades estatísticas de vetores de alta dimensão, os autores fornecem uma solução escalável que era anteriormente considerada impraticável devido às restrições de tempo de execução. Crucialmente, o ataque opera inteiramente dentro de um cenário black-box: o atacante possui conhecimento total da arquitetura da rede, mas não tem acesso aos pesos internos, vieses ou gradientes. Para aumentar a eficiência durante as fases de descoberta de pontos duais e recuperação de pesos, os autores utilizam computação simbólica para derivar gradientes nas fronteiras de decisão com base na arquitetura conhecida, em vez de consultar o modelo para obter valores de gradiente internos ou acessar seus parâmetros. Esta abordagem adere estritamente ao modelo adversarial de rótulo difuso, onde apenas os rótulos de classificação são observáveis. O trabalho preenche uma lacuna específica na literatura ao permitir a primeira extração de rótulo difuso de CNNs com max-pooling, estendendo o escopo dos ataques algébricos além de FCNNs e CNNs de average-pooling. Os autores enfatizam que, embora seu método seja altamente eficiente, ele depende da suposição de que os neurônios em DNNs práticas aprendem características desentrelaçadas, uma propriedade que eles verificam empiricamente.

A Grande Ideia: Do Trabalho Pesado a um Olhar Rápido

O Atalho Mágico: O Vetor de Assinatura Aproximada

Os Resultados: Acelerando o Assalto

Decifrando o Código da CNN

O Que Isso Significa

Mais como este