Multi-Task Consistency-based Detection of Adversarial Attacks

Imagine que você está dirigindo um carro que vê o mundo através de uma câmera, não apenas olhos. Este carro usa um tipo especial de cérebro de computador chamado Rede Neural Profunda (DNN) para entender o que vê. Ele precisa identificar semáforos, ler placas e encontrar outros carros para dirigir com segurança. Mas aqui está a parte complicada: esses cérebros de computador podem ser enganados. Se alguém adicionar um pequeno, quase invisível ponto de "ruído" a uma imagem — como alguns pixels deslocados de uma forma muito específica — o computador pode pensar que uma placa de pare é uma placa de limite de velocidade, ou pode não ver um pedestre de forma alguma. Isso é chamado de "ataque adversarial", e é como o truque de mãos de um mágico para computadores. Como esses truques podem acontecer tão facilmente, os engenheiros estão desesperados para construir um sistema de segurança que consiga detectar quando alguém está tentando enganar o cérebro do carro antes que ele cometa um erro perigoso.

Este artigo apresenta um novo guarda inteligente para esses carros autônomos. Em vez de tentar tornar o cérebro do computador inquebrável (o que é difícil e caro), os autores sugerem o uso de uma abordagem de "trabalho em equipe". Eles notaram que, se você pedir a dois modelos de computador diferentes para olharem para a mesma imagem — um treinado para desenhar caixas ao redor de objetos (Detecção de Objetos) e outro treinado para pintar a forma exata desses objetos (Segmentação de Instância) — eles geralmente concordam perfeitamente. Mas quando um atacante sorrateiro tenta enganá-los com um truque, os dois modelos começam a discutir. Um pode ver um carro, enquanto o outro não vê nada, ou eles podem discordar sobre onde o carro está. Os autores construíram um sistema que ouve essa discussão. Se os dois modelos discordarem demais, o sistema grita: "Ei, esta imagem foi adulterada!" e impede o carro de usar esses dados ruins.

Os pesquisadores testaram essa ideia usando um enorme conjunto de dados de cenas de direção chamado BDD100k. Eles criaram milhares de imagens truculentas, "envenenadas", usando um método de ataque poderoso chamado PGD (Descida de Gradiente Projetada) e observaram como o novo sistema reagia. Eles descobriram que seu "detector de discordância" era incrivelmente bom em seu trabalho. Quando colocaram seu sistema contra os atacantes, ele identificou as imagens enganadas 99,9% das vezes. Este é um índice enorme, o que significa que o sistema quase nunca é enganado.

O que torna isso ainda mais interessante é como eles descobriram quais modelos funcionam melhor juntos. Eles testaram muitas combinações diferentes, como parear um modelo com um cérebro "ResNet50" contra um com um cérebro "ResNet101". Eles descobriram que os melhores pares são, na verdade, modelos que são muito semelhantes por dentro. Parece estranho, certo? Você poderia pensar que dois modelos diferentes seriam melhores, mas o artigo mostra que, quando dois modelos semelhantes são atacados, eles tendem a ficar confusos de maneiras diferentes, criando uma discussão alta e óbvia que é fácil de detectar. Se os modelos forem muito diferentes, eles podem simplesmente ignorar o ataque ou falhar da mesma maneira, tornando mais difícil perceber se algo está errado.

A equipe também tentou superar seu próprio detector. Eles criaram um "atacante adaptativo" superinteligente que tentava enganar ambos os modelos ao mesmo tempo, enquanto forçava os dois a concordar com a resposta errada. Mesmo com esse truque avançado, o detector ainda funcionou, detectando o ataque 95% das vezes. Isso sugere que, embora os atacantes possam coordenar seus truques, as diferenças naturais na forma como os modelos processam informações tornam muito difícil enganar toda a equipe.

Comparado a outros métodos de segurança, esta abordagem é como um guarda leve e rápido em vez de um tanque pesado e lento. Outros métodos geralmente exigem o retreinamento de todo o cérebro do computador ou a adição de uma quantidade massiva de código extra, o que atrasa o carro. Os autores compararam seu sistema com uma defesa famosa chamada "RobustDet". Embora o RobustDet tornasse o modelo ligeiramente mais difícil de enganar, ele era enorme (643 MB) e lento (11 quadros por segundo). O novo detector, no entanto, era muito menor (350 MB) e duas vezes mais rápido (20 quadros por segundo), detectando quase todos os ataques.

Em resumo, este artigo não afirma ter construído um escudo inquebrável. Em vez disso, oferece uma maneira inteligente e eficiente de ouvir as rachaduras na armadura. Ao observar as inconsistências entre duas formas diferentes de ver o mundo, o sistema pode detectar quando a realidade foi digitalmente alterada. Os autores sugerem que este método pode ser uma peça fundamental do quebra-cabeça para tornar os carros autônomos mais seguros, provando que, às vezes, a melhor maneira de pegar um mentiroso é fazê-lo conversar com outra pessoa.