💻 computer science

Deadline-Aware Hardening of Real-Time Object Detection Against Candidate-Inflation Latency Attacks

Este artigo propõe um mecanismo livre de retreinamento e selecionável na implantação que limita o número de candidatos que entram na supressão de não máximo ao máximo, estabelecendo um limite calibrado pelo prazo, mitigando assim ataques de latência por inflação de candidatos e garantindo a integridade do prazo em tempo real através de diversas arquiteturas de hardware e detectores, ao mesmo tempo em que revela que a supressão de limites é necessária, mas insuficiente, devido ao significativo overhead de decodificação.

Autores originais: Salah Gontara, Selem Trabelsi, Khaled Ben Khalifa

Publicado 2026-09-17

📖 7 min de leitura🧠 Leitura aprofundada

CC BY 4.0

Autores originais: Salah Gontara, Selem Trabelsi, Khaled Ben Khalifa

Artigo original sob licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo

No mundo dos veículos autônomos e das câmeras de segurança, ver não é o suficiente; ver a tempo é tudo. Um sistema de visão computacional projetado para detectar pedestres ou sinais de trânsito deve fazer mais do que simplesmente identificá-los corretamente. Ele deve entregar essa identificação antes que o próximo momento chegue. Se um carro viajando em velocidade de rodovia recebe um aviso sobre um perigo uma fração de segundo tarde demais, o resultado não é meramente uma resposta mais lenta, mas uma potencial catástrofe. Esse requisito cria um prazo rigoroso para cada imagem que o sistema processa. Se o computador demorar muito para terminar seu trabalho em uma foto, o fluxo de processamento fica atrasado e a saída torna-se obsoleta, descrevendo uma cena que já passou.

Durante anos, pesquisadores focaram em tornar esses sistemas mais rápidos e precisos, medindo frequentemente o sucesso pela velocidade média. No entanto, em um sistema de tempo real, a média pode ser enganosa. Um sistema pode ser incrivelmente rápido na maior parte do tempo, mas ocasionalmente congelar por uma longa duração. Em uma aplicação crítica de segurança, esse único momento lento é uma falha. Além disso, esses sistemas não são apenas vulneráveis a falhas aleatórias; eles podem ser alvo de atacantes que não tentam enganar o computador para que ele veja o objeto errado, mas sim para que ele trabalhe tanto que fique sem tempo. Este artigo explora um tipo específico de ataque onde um adversário altera sutilmente uma imagem para forçar o computador a gerar um número esmagador de detecções potenciais, fazendo com que ele perca seu prazo. Os pesquisadores então propõem uma maneira simples e prática de impedir isso sem a necessidade de retreinar o cérebro do computador.

O cerne do problema reside em como esses detectores funcionam. Quando uma câmera captura uma imagem, o software a varre e produz uma lista massiva de objetos potenciais, cada um com uma pontuação de confiança. Para transformar essa lista caótica em um conjunto limpo de detecções finais, o sistema utiliza um processo chamado supressão de não-máximo (non-maximum suppression). Imagine uma sala lotada onde muitas pessoas estão gritando o mesmo nome; este processo filtra os duplicados e mantém apenas as vozes mais altas e confiantes. Sob condições normais, esse filtragem é rápida. No entanto, um atacante pode criar uma imagem que engana o sistema para gerar dezenas de milhares de objetos potenciais em vez de apenas algumas dezenas. O processo de filtragem tem então que comparar cada um desses milhares de candidatos contra todos os outros. Isso cria uma explosão computacional. Quanto mais candidatos o atacante força o sistema a considerar, mais longa é a filtragem, eventualmente fazendo com que o sistema perca seu prazo e falhe em entregar um resultado a tempo.

Os pesquisadores testaram essa ameaça em um sistema de detecção de objetos em tempo real rodando em um hardware poderoso, especificamente projetado para lidar com fluxos de vídeo a trinta quadros por segundo. Eles descobriram que um sistema padrão, não modificado, poderia ser facilmente sobrecarregado. Quando alimentaram o sistema com imagens projetadas para desencadear essa sobrecarga, o tempo levado para filtrar os candidatos saltou de uma fração de milissegundo para centenas de milissegundos. Mesmo no hardware mais rápido que testaram, o sistema falhou em cumprir o prazo para a etapa de filtragem se o número de candidatos fosse deixado sem controle. No entanto, o estudo confirmou que simplesmente usar um hardware mais rápido ou uma versão de software mais eficiente do processo de filtragem não era suficiente para resolver o problema por si só. Embora essas melhorias tenham tornado o sistema mais rápido, elas não impediram o atacante de controlar a carga de trabalho. O atacante ainda poderia forçar o sistema a realizar tanto trabalho que até a máquina mais rápida tropeçaria se nenhum limite fosse colocado no aporte de dados.

Para resolver isso, os pesquisadores introduziram um limite estrito no número de candidatos permitidos para entrar na etapa de filtragem. Em vez de deixar o sistema processar cada objeto potencial que a imagem gerou, eles limitaram o número a um nível específico e gerenciável. Se o sistema produzisse mais candidatos do que este limite, ele simplesmente selecionava os mais promissores e descartava o restante antes que a filtragem pesada começasse. Esta abordagem atua como uma válvula de segurança, garantindo que a quantidade de trabalho que o sistema deve realizar nunca exceda um máximo conhecido e seguro. Os pesquisadores mediram cuidadosamente o custo desta medida de segurança. Eles descobriram que, ao limitar os candidatos a mil e vinte e quatro, o sistema conseguia lidar com a etapa de filtragem bem dentro do prazo para aquela etapa específica, reduzindo a latência para apenas 4,03 ms. No entanto, o estudo revelou uma nuance crítica: mesmo com este limite em vigor, as requisições defendidas ainda perdiam o prazo total de ponta a ponta. Isso não se deveu unicamente ao ataque, mas porque outros gargalos, como o tempo necessário para decodificar a própria imagem, consumiram o orçamento de tempo restante. De fato, os pesquisadores descobriram que imagens limpas, sem qualquer ataque, também perdiam o prazo geral 92,7% das vezes quando utilizavam formatos sem perda (lossless), indicando que o processo de decodificação era um gargalo importante independentemente do ataque. A troca por esta proteção foi uma queda quase imperceptível na precisão, medida em uma fração minúscula de porcentagem, o que é insignificante para o uso prático.

O estudo foi além para garantir que esta solução fosse robusta em diferentes cenários. Eles testaram o método em dois tipos diferentes de sensores de câmera e com diferentes backends de software, incluindo aqueles que rodam em computadores padrão e aqueles que rodam em dispositivos de borda (edge devices) menores e energeticamente eficientes. Em todos os casos, o limite manteve-se firme para a etapa de filtragem, impedindo o atacante de inflar a carga de trabalho além do teto. Mesmo quando o hardware estava sob estresse devido ao calor ou quando o sistema estava rodando em uma placa menos potente, a abordagem com limite impediu que a etapa de filtragem travasse. No entanto, os pesquisadores enfatizaram que, embora o limite tenha controlado com sucesso a etapa de filtragem, ele não garantiu que todo o pipeline cumpriria o prazo. Eles descobriram que, uma vez que a filtragem era controlada, o próximo gargalo era frequentemente o tempo necessário para decodificar a própria imagem. Isso significa que, embora limitar os candidatos seja um passo necessário para proteger o sistema deste ataque específico, não é uma cura completa; todo o pipeline deve ser monitorado para garantir que o prazo seja cumprido.

Os autores argumentam que este método de estabelecer um limite rígido na carga de trabalho é um passo crucial para implantar sistemas de visão em tempo real no mundo real. Ele desloca o controle da carga de trabalho do atacante de volta para o administrador do sistema. Ao definir um número máximo de candidatos baseado na velocidade do sistema e no prazo exigido, uma implantação pode garantir que nunca será forçada a realizar mais trabalho do que pode suportar durante a etapa de filtragem. O artigo conclui que, embora hardware mais rápido e algoritmos melhores sejam úteis, eles não são suficientes por si só. Um sistema de tempo real precisa de um limite rígido sobre o trabalho que lhe é solicitado. Sem tal limite, um atacante sempre encontrará uma maneira de sobrecarregar o sistema. Com ele, o sistema permanece confiável no processamento da etapa de filtragem, entregando seus resultados a tempo para esse componente específico, mesmo quando o mundo ao seu redor tenta quebrá-lo, embora o prazo total do sistema dependa do gerenciamento de todas as outras etapas também.

Resumo Técnico: Endurecimento Consciente de Prazos para Detecção de Objetos em Tempo Real Contra Ataques de Latência por Inflação de Candidatos

Declaração do Problema

Sistemas de detecção de objetos em tempo real são tipicamente avaliados com base na latência média ou taxa de quadros. No entanto, em pipelines de percepção de fluxo (streaming), a disponibilidade é definida pelo fato de uma resposta atender a um prazo específico (ex: o período do quadro da câmera). Um único prazo perdido torna a saída obsoleta e inútil para o próximo quadro.

O artigo aborda os Ataques de Latência por Inflação de Candidatos, uma classe de entradas adversárias projetadas não para causar erro de classificação, mas para maximizar o custo computacional do estágio de Supressão de Não-Máximos (NMS). Esses ataques manipulam a imagem de entrada para gerar um número excessivo de caixas delimitadoras candidatas que sobrevivem ao limiar de confiança. Como a complexidade do NMS é frequentemente quadrática ( $O(N^2)$ ) em relação ao número de candidatos, esses ataques podem elevar a latência muito além dos limites aceitáveis, causando perda de prazos.

Avaliações anteriores sugerem que hardware realista, representações otimizadas e backends mais rápidos reduzem a severidade desses ataques. No entanto, os autores argumentam que a redução da severidade não é um limite; a carga de trabalho permanece controlada pelo atacante. Além disso, estudos anteriores frequentemente falham em relatar conjuntamente a latência de cauda relativa ao prazo e a razão de perda de prazo (DMR) para um caminho de serviço defendido, nem consideram dependências de implementação.

Metodologia

Modelo de Sistema e Ameaça

O estudo utiliza um pipeline de detecção em tempo real (YOLOv8x-P2) implantado em um caminho de serviço otimizado para a borda (TensorRT fp16 em GPUs RTX 4090). O modelo de ameaça assume que um adversário perturba uma imagem de entrada dentro de um orçamento $L_\infty$ ( $\epsilon$ ) para maximizar o número de candidatos ( $N_\tau$ ) que sobrevivem ao limiar de confiança antes do NMS. O ataque é determinístico e baseado na complexidade da entrada, distinto de inundação de requisições (request flooding).

A avaliação distingue entre três escopos:

Escopo do Cliente: Latência de ponta a ponta incluindo rede, enfileiramento e serialização.
Escopo do Trabalhador (Worker): Tempo de inferência e pós-processamento no servidor.
Escopo de Supressão: O tempo tomado especificamente pelo backend de NMS.

Mecanismo de Defesa: Admissão de Candidatos Limitada

A proposta central é admitir no máximo $K$ candidatos ao estágio de NMS.

Seleção: Uma operação padrão de seleção Top- $K$ é aplicada aos candidatos que sobrevivem ao limiar de confiança.
Calibração: O valor de $K$ não é arbitrário; ele é calibrado contra um prazo declarado ( $D$ ) e uma tolerância de precisão aceitável ( $\delta_A$ ).
Implementação: A seleção utiliza uma chave lexicográfica (scores negados, depois índice) para desempatar, garantindo estabilidade. Esta operação é $O(N)$ e não adiciona comparações de IoU par a par, efetivamente limitando o termo quadrático do NMS.

Configuração Experimental

Os autores empregam uma estratégia de validação rigorosa:

Backends: Eles reproduzem arrays de candidatos atacados idênticos através de três backends de supressão distintos: NumPy (CPU), torchvision (CPU) e torchvision (CUDA).
Corpora: Os experimentos utilizam VisDrone2019-DET (aéreo) e BDD100K (direção).
Métricas: O desempenho é medido usando a latência do percentil 95 ( $p95$ ) e a Razão de Perda de Prazo (DMR).
Controles: O estudo inclui "controles correspondentes" onde imagens limpas são reencodadas para formatos sem perdas para isolar o impacto da representação da imagem do próprio ataque.

Contribuições Principais

Avaliação Orientada a Prazos: O artigo pontua ataques usando latência $p95$ de escopo do cliente e DMR, mantendo os escopos de cliente, trabalhador e supressão separados para identificar gargalos com precisão.
Caracterização Dependente de Implementação: Ao reproduzir dados atacados idênticos em três backends, os autores separam a contribuição da implementação do ataque em si, demonstrando que, embora backends mais rápidos reduzam a latência, eles não eliminam a violação de prazo se a contagem de candidatos for ilimitada.
Admissão de Candidatos Limitada: Os autores propõem o uso de seleção Top- $K$ como um limite de admissão de trabalho controlado pelo atacante e selecionado na implantação. Esta defesa não requer retreinamento e nenhuma alteração de pesos, tornando-a aplicável a artefatos já promovidos.
Regra de Seleção Calibrada por Prazo: Uma regra é forneada para selecionar $K$ com base na latência de cauda medida e tolerância de precisão, permitindo que implantações com diferentes períodos de quadro determinem seus próprios limites.
Validação de Ponta a Ponta: O estudo valida o artefato defendido contra um controle correspondente, expressando requisitos como uma condição de prazo para promoção do modelo.

Resultados

Severidade do Ataque e Dependência de Backend

Latência Sem Limite: Sem um limite, o ataque causa picos massivos de latência. No caminho NumPy implantado, o $p95$ da latência salta de 1,16 ms (limpo) para 635,35 ms (atacado). Mesmo no backend mais rápido (torchvision CUDA), a latência atinge 49,08 ms, excedendo o prazo de 33,3 ms (30 Hz).
Impacto da Implementação: O ataque é fortemente dependente da implementação. Os mesmos dados atacados geram latências significativamente diferentes entre os backends, confirmando que backends "mais rápidos" sozinhos são insuficientes como defesa.

Eficácia do Limite ( $K=1024$ )

Redução de Latência: Admitir no máximo $K=1024$ candidatos reduz o $p95$ do NMS atacado para aproximadamente 4,28 ms em todos os backends, bem dentro do orçamento de 33,3 ms.
Custo de Precisão: O custo de precisão é medido em vez de assumido. Para o detector avaliado, o custo é de 0,00064 AP@[.50:.95] no conjunto de validação e 0,000188 AP@[.50:.95] no conjunto de teste mantido fora (held-out). Isso contradiz suposições anteriores de que tais limites comprometeriam significativamente a integridade do modelo.
Generalidade: O limite mantém-se através de duas geometrias de detector (diferentes contagens de âncoras), três backends e uma placa de borda com estrangulamento térmico (Raspberry Pi 4B).

A Fronteira da "Suficiência"

Uma descoberta crítica é que limitar o trabalho do NMS é necessário, mas não suficiente para a integridade do prazo de ponta a ponta.

Mesmo com o limite de NMS em vigor, as requisições defendidas ainda perdem o prazo de ponta a ponta (33,3 ms) quando servidas através do pipeline completo.
Análise de Causa Raiz: A instrumentação por estágio revela que o maior incremento associado ao ataque não está no NMS, mas na decodificação e representação da imagem. O ataque força o sistema a processar payloads maiores e sem perdas, aumentando o tempo de decodificação.
Limpo vs. Atacado: Surpreendentemente, imagens sem perdas limpas (sem qualquer adversário) também perdem o prazo na configuração de pipeline testada, indicando que o gargalo é o formato de entrega e a decodificação, não apenas a entrada adversária.

Significância e Alegações

O artigo alega que limitar a admissão de candidatos é o único mecanismo que limita explicitamente a quantidade de trabalho que um atacante pode controlar, independentemente da implementação do backend.

Rejeição de "Redução de Severidade" como Defesa: Os autores argumentam que, embora implantações realistas (hardware mais rápido, quantização) atenuem o ataque, elas não fornecem um limite rígido. Um atacante ainda pode forçar uma perda de prazo se a contagem de candidatos for ilimitada.
Critério de Promoção: Os autores propõem um novo critério de aceitação para promoção de modelos (Eq. 7) que inclui evidência de prazo. Sob este critério, o artefato avaliado falha em ser promovido para um prazo de 30 Hz porque o pipeline de ponta a ponta (especificamente decodificação e representação) não consegue cumprir o prazo, mesmo com a defesa de NMS.
Escopo Modesto: O artigo não pretende resolver todos os problemas de latência em tempo real. Ele afirma explicitamente que limitar o trabalho de supressão é um passo necessário para a integridade do prazo, mas o restante do caminho de latência (decodificação, rede, enfileiramento) também deve ser medido e controlado. A defesa é específica para o estágio de NMS e não protege contra outras formas de ataques de latência ou sobrecargas do sistema.

Em conclusão, o artigo estabelece que, embora as escolhas de implementação importem, um limite de admissão de candidatos calibrado por prazo e selecionado na implantação é necessário para limitar o trabalho controlado pelo atacante. No entanto, alcançar garantias de tempo real de ponta a ponta exige uma visão holística do pipeline, pois o impacto do ataque pode mudar para outros estágios (como a decodificação) uma vez que o NMS é endurecido.