GAN de fronteira de decisão melhora robustez adversarial de IDS baseado em TabTransformer
Pesquisadores combinaram uma Boundary-Seeking GAN (BGAN) com um TabTransformer para detecção de intrusão baseada em fluxo de rede, usando a GAN tanto para gerar amostras sintéticas de classes minoritárias quanto para gerar amostras adversariais de teste. No dataset CICIDS2017, os modelos sem esse reforço sofreram queda de 100% de desempenho sob ataque adversarial, enquanto os modelos aumentados com BGAN mantiveram desempenho estável.
O artigo ataca dois problemas clássicos de IDS baseados em machine learning ao mesmo tempo: desbalanceamento de classes (ataques raros como Web_Attack têm poucas amostras de treino) e fragilidade a exemplos adversariais. A solução proposta usa uma Boundary-Seeking GAN — uma variante de GAN desenhada para gerar amostras próximas à fronteira de decisão do discriminador — com dois papéis simultâneos: primeiro, gerar amostras sintéticas realistas das classes minoritárias para reequilibrar o treino; segundo, gerar amostras adversariais para testar o quanto o classificador final resiste a perturbações intencionais.
O classificador escolhido é um TabTransformer, uma arquitetura de atenção adaptada para dados tabulares, treinado sobre o CICIDS2017, um dos datasets de referência da comunidade para avaliação de IDS baseado em fluxo de rede. Os resultados mostram uma dupla vitória: o Macro-F1 sobe de 82,96% para 86,50% com o aumento de dados da BGAN, e a classe antes mais fraca, Web_Attack, praticamente dobra seu F1 (de 0,29 para 0,61).
O dado mais relevante do ponto de vista de segurança de IA, no entanto, é o comportamento sob ataque: todos os modelos sem o aumento adversarial da BGAN sofreram 100% de Performance Drop Rate quando expostos a exemplos adversariais — ou seja, colapso total de desempenho —, enquanto as versões aumentadas com BGAN registraram PDR negativo, indicando que na prática ficaram mais robustas depois do ataque do que o esperado. Isso contrasta com modelos mais simples como Decision Tree aumentado com BGAN, que ainda assim disparou para 49% de taxa de falso positivo (FTR) mesmo sob perturbações apenas benignas — evidência de que a escolha da arquitetura de classificador importa tanto quanto a técnica de data augmentation.
Para equipes que operam IDS baseados em ML em produção, o resultado reforça uma lição já conhecida na literatura de adversarial ML, mas raramente aplicada: treinar e avaliar apenas em dados limpos superestima drasticamente a confiabilidade real do sistema. Incorporar geração adversarial no próprio pipeline de treino, como feito aqui, é uma forma prática (embora não trivial de operacionalizar) de reduzir a lacuna entre desempenho de benchmark e resiliência em ambientes hostis.