Adversarial Attacks on Artificial Intelligence Models: Defence Strategies, Datasets, Evaluation Metrics, and Future Research Directions

No mundo digital moderno, bancos, hospitais e redes elétricas dependem fortemente da inteligência artificial para dar sentido a vastas quantidades de dados. Esses sistemas, construídos sobre aprendizado de máquina e aprendizado profundo, atuam como sentinelas incansáveis. Eles escaneiam o tráfego de rede para detectar intrusos, analisam arquivos para encontrar malwares ocultos e verificam identidades para manter usuários não autorizados do lado de fora. Por anos, essas ferramentas foram celebradas por sua capacidade de aprender padrões complexos e se adaptar a novas ameaças, muitas vezes alcançando noventa e cinco por cento dos perigos em condições normais. No entanto, uma vulnerabilidade oculta emergiu. Assim como um humano pode ser enganado por uma ilusão astuta, esses sistemas inteligentes podem ser ludibriados por entradas que parecem quase idênticas ao real, mas contêm distorções minúsculas e cuidadosamente elaboradas. Essas distorções, conhecidas como ataques adversários, são projetadas para confundir a lógica do computador, fazendo com que ele classifique erroneamente um vírus perigoso como inofensivo ou conceda acesso a um impostor. Os riscos são altos: um único truque bem-sucedido poderia permitir que um hacker roubasse milhões, desligasse uma infraestrutura crítica ou contornasse a segurança em nível nacional.

Uma equipe de pesquisadores de universidades do Iraque e da Malásia realizou um olhar abrangente sobre essa ameaça crescente. Eles não estudaram apenas um tipo de ataque ou um tipo específico de defesa; em vez disso, reuniram e analisaram mil artigos de pesquisa publicados entre 2017 e 2025 para mapear todo o cenário do problema. O objetivo deles era entender como esses ataques funcionam, quão bem as defesas atuais se sustentam e onde permanecem as lacunas. Ao filtrar essa enorme quantidade de literatura, eles identificaram doze novos tipos de ataques adversários que não haviam sido agrupados anteriormente em uma única estrutura. Eles descobriram que os atacantes podem operar com diferentes níveis de conhecimento: alguns conhecem todo o funcionamento interno do sistema que estão atacando, enquanto outros veem apenas o resultado final, e alguns situam-se em algum lugar intermediário. Os pesquisadores também descobriram que os ataques podem ocorrer em diferentes estágios, seja envenenando os dados enquanto o sistema está aprendendo ou introduzindo entradas traiçoeiras após o sistema já estar em execução.

O estudo revela uma realidade dura sobre o estado atual da segurança. Embora pesquisadores tenham desenvolvido muitas maneiras de detectar e bloquear esses truques, as defesas são frequentemente desequilibradas. Os autores descobriram que quase setenta por cento da pesquisa existente foca em detectar o ataque depois que ele aconteceu, enquanto apenas cerca de vinte e três por cento foca em tornar os modelos mais fortes durante sua fase de treinamento. Esse desequilíbrio deixa os sistemas vulneráveis porque os atacantes podem explorar fraquezas na forma como o modelo foi construído originalmente. Além disso, a equipe destacou uma desconexão significativa entre experimentos de laboratório e aplicação no mundo real. Em ambientes controlados, as defesas podem parecer perfeitas, mas quando movidas para o ambiente confuso e imprevisível do mundo real, sua taxa de sucesso pode cair até sessenta por cento. Essa queda ocorre porque os sistemas do mundo real enfrentam desafios como poder computacional limitado, a necessidade de decisões instantâneas e a pura variedade de métodos de ataque que estão constantemente evoluindo.

Para abordar essas questões, os pesquisadores propuseram uma nova estrutura de três níveis para organizar como pensamos sobre esses ataques e defesas. Essa estrutura ajuda especialistas em segurança a categorizar ameaças com base no que o atacante sabe, no que ele deseja alcançar e em como ele altera os dados. Eles também revisaram as ferramentas e conjuntos de dados usados para testar esses sistemas, observando que, embora existam muitos testes padrão, não há um padrão único e acordado para medir o sucesso em todos os diferentes tipos de IA. Essa falta de padronização torna difícil para as organizações escolherem a proteção certa para suas necessidades específicas. O artigo sugere que o progresso futuro dependerá da combinação de diferentes estratégias, como o uso de blockchain para assegurar o compartilhamento de dados, a integração da inteligência artificial com sistemas de suporte à decisão para ajudar humanos a fazerem melhores escolhas, e o desenvolvimento de defesas que funcionem eficientemente em pequenos dispositivos de borda (edge devices), como sensores e câmeras.

Em última análise, este levantamento serve como um guia crucial para a próxima geração de cibersegurança. Ele confirma que, embora a inteligência artificial tenha revolucionado a forma como protegemos nossa infraestrutura digital, ela também introduziu um novo tipo de vulnerabilidade que requer vigilância constante. Os pesquisadores enfatizam que não existe uma única bala de prata para deter esses ataques. Em vez disso, construir sistemas seguros exigirá uma abordagem de múltiplas camadas que combine melhores métodos de treinamento, detecção em tempo real e um esforço global para criar regras padrão para testar e validar essas tecnologias. À medida que a tecnologia continua a avançar, a corrida entre aqueles que constroem as defesas e aqueles que tentam quebrá-las apenas se intensificará, tornando o trabalho de compreender e categorizar essas ameaças mais importante do que nunca.