Ataque quase em tempo real consegue 'apagar' pedestres de vídeos de sistemas de trânsito inteligente sem ser percebido
Pesquisadores demonstraram um pipeline de ataque em quatro estágios capaz de remover objetos — como pedestres e veículos — de vídeos processados por sistemas de percepção de trânsito inteligente, mantendo altíssima fidelidade visual (PSNR acima de 40 dB, SSIM acima de 0,996) e reduzindo detecções por um detector YOLO em até 97,59%. O ataque roda a até 0,172 segundos por quadro em GPU, viabilizando manipulação quase em tempo real, e modelos forenses de detecção de adulteração tiveram dificuldade em identificar os quadros alterados.
Sistemas de transporte inteligente (ITS) dependem cada vez mais de câmeras e detectores baseados em visão computacional para identificar pedestres e veículos em cruzamentos e acionar respostas de segurança. O paper explora o que acontece quando um atacante consegue manipular o fluxo de vídeo antes que ele chegue ao módulo de percepção, removendo seletivamente objetos-alvo dos quadros.
O pipeline de ataque opera em quatro etapas: primeiro, localiza o objeto-alvo (por exemplo, um pedestre) em cada quadro do vídeo; em seguida, recupera trechos de imagem coerentes de quadros anteriores que mostram o mesmo fundo sem o objeto; depois, funde esses trechos usando composição alfa sensível ao contexto, de forma que a transição não fique visualmente óbvia; e por fim reconstrói o quadro final já sem o objeto removido. Testado em um cruzamento real do South Carolina Connected Vehicle Testbed, o resultado mantém similaridade estrutural quase perfeita com o vídeo original (PSNR > 40 dB, SSIM > 0,996), reduz as detecções de um detector YOLO em até 97,59% e atinge taxa de sucesso de 94,48% no nível de quadro — tudo isso a 0,074–0,172 segundos por quadro em GPU, uma velocidade compatível com manipulação em tempo quase real, e não apenas pós-processamento offline.
Um ponto particularmente preocupante é que modelos forenses pré-treinados para detecção de adulteração de vídeo tiveram capacidade limitada de distinguir os quadros reconstruídos dos autênticos, o que significa que o ataque não deixa marcas óbvias para as defesas existentes. Para um sistema de segurança de pedestres baseado em visão, isso se traduz diretamente em risco físico: um pedestre "apagado" do feed de vídeo simplesmente não é considerado pelo sistema de decisão a jusante, mesmo que ele fisicamente esteja no cruzamento.
O trabalho se enquadra em uma categoria de ataque adversarial menos discutida que perturbações clássicas (ruído imperceptível para enganar um classificador): aqui, o objetivo não é fazer o modelo classificar errado um objeto presente, mas fazer o objeto sumir inteiramente da percepção do sistema, o que é mais difícil de mitigar com defesas baseadas em robustez de classificação. Operadores de infraestrutura de trânsito conectado e sistemas de percepção veicular deveriam considerar a integridade do pipeline de vídeo, e não apenas a robustez do modelo de detecção, como parte de sua superfície de ataque.