Ataques que imitam congestionamento real enganam sistemas de previsão de tráfego baseados em IA
O estudo propõe um modelo de ameaça mais realista para sistemas de previsão de tráfego baseados em grafos: um atacante com conhecimento limitado do modelo e capacidade de manipular apenas alguns sensores viários, em vez do acesso total normalmente assumido em trabalhos anteriores. A partir daí, os autores constroem um ataque "physics-aware" que imita padrões reais de congestionamento para corromper a previsão em rotas específicas — gerando tempos de chegada errados ou desvios desnecessários — sem afetar métricas de rede como um todo, o que o torna praticamente invisível a detecção agregada. Como defesa, propõem um detector físico-informado acoplado a um previsor endurecido, que supera o treinamento adversarial tradicional em 13 de 15 combinações de modelo e dataset avaliadas.
Boa parte da literatura de robustez adversarial para previsão de tráfego assume um atacante com conhecimento completo do modelo e capacidade de perturbar a rede inteira — um cenário pouco realista para sistemas de trânsito reais, em que sensores viários são fisicamente distribuídos e um invasor plausível só teria acesso a um punhado deles. Este trabalho revisita o problema com um modelo de ameaça mais restrito e, argumentam os autores, mais fiel ao que realmente aconteceria em um ataque contra infraestrutura de transporte.
O ataque proposto é "physics-aware": em vez de perturbações abstratas limitadas por norma matemática (a abordagem clássica em adversarial ML), a manipulação dos sensores é construída para se parecer com congestionamento genuíno, evitando disparar alarmes de anomalia. O efeito é localizado — o ataque mira rotas ou trechos específicos, causando tempos estimados de chegada incorretos ou reroteamento desnecessário —, enquanto métricas agregadas de toda a rede permanecem praticamente inalteradas, o que teoricamente esconde o ataque de qualquer monitoramento que só olhe para a saúde geral do sistema.
Os autores mostram que o treinamento adversarial tradicional, calibrado para perturbações limitadas por norma, praticamente não reduz o efeito desse ataque fisicamente restrito — a diferença estrutural entre uma perturbação abstrata e uma manipulação que imita congestionamento real é grande o suficiente para que a defesa não generalize. Isso é relevante porque adversarial training é hoje a defesa padrão usada em boa parte da literatura de robustez para esse tipo de modelo.
Como alternativa, os autores reformulam o problema como detecção: um detector informado por restrições físicas do sistema de tráfego é treinado contra o próprio ataque adaptativo, e sua saída alimenta como feature adicional um previsor "endurecido" mantido congelado durante esse treinamento. O resultado supera até o adversarial training especificamente ajustado contra o ataque physics-aware em 13 das 15 combinações de modelo e dataset testadas, com custo quase nulo em dados limpos — um indício de que, para sistemas de IA fisicamente restritos (tráfego, mas também rede elétrica, água, etc.), detectar o padrão da manipulação pode ser mais eficaz do que tentar blindar o modelo contra toda perturbação matematicamente possível.