Taxonomia SMART reclassifica ataques de evasão contra IA pelos sinais que o deployment realmente expõe
Um novo framework, batizado SMART (Signal-based Model Access Risk Taxonomy), propõe abandonar a divisão tradicional de ataques de evasão em white-box/gray-box/black-box e classificá-los pela riqueza real dos sinais que um sistema de IA implantado expõe — decisão final, score de confiança, representação intermediária ou parâmetros completos. Os autores argumentam que a categoria "black-box" tradicional mistura cenários de deployment com capacidades de ataque muito diferentes entre si, o que pode levar a decisões erradas de procurement e arquitetura de segurança.
A motivação do artigo é uma crítica direta a como a literatura de machine learning adversarial organiza o conhecimento sobre ataques de evasão. A tríade white-box/gray-box/black-box, baseada no que o atacante sabe sobre a arquitetura, os parâmetros ou os gradientes do modelo, ignora um fator que na prática determina o que um atacante real consegue fazer contra um sistema em produção: quais sinais de saída a interface de deployment efetivamente devolve. Um sistema que retorna só a decisão final ("aprovado"/"negado") oferece uma superfície de ataque muito mais estreita do que um que retorna scores de confiança ou logits — mas ambos hoje são rotulados genericamente como "black-box".
O SMART propõe organizar essa realidade em uma taxonomia orientada a deployment: os níveis de acesso são definidos pela natureza e riqueza do sinal observável (decisão final apenas, score de confiança, representação intermediária, ou parâmetros completos do modelo), e não pelo conhecimento presumido de arquitetura interna. Sobre essa base, os autores mapeiam sistematicamente como estratégias de ataque de evasão se adaptam a cada nível — o que é possível fazer com pouca informação de saída versus o que se torna possível quando a API expõe mais telemetria do que deveria.
O valor prático dessa reorganização está em decisões de arquitetura e de compra: times que projetam ou avaliam APIs de modelos de ML/IA frequentemente decidem, sem muita reflexão, quanto de informação retornar em uma predição (só a classe, ou classe + confiança, ou embeddings). O artigo argumenta que essa escolha de design é, na prática, uma decisão de superfície de ataque, e que tratá-la como tal — em vez de assumir que "não expor os pesos" já resolve o problema de segurança — é essencial para quem avalia fornecedores de IA ou desenha APIs de inferência próprias.
Em termos de aplicação, o framework serve como checklist para arquitetos de segurança de ML: antes de perguntar "o modelo é seguro?", a pergunta correta passa a ser "que sinais esse deployment específico está expondo, e que classe de ataque de evasão esses sinais habilitam?" — uma mudança de enquadramento simples, mas que a taxonomia tradicional deixava passar despercebida.