STAIN-FL: backdoors furtivos em aprendizado federado para vigilância por vídeo usam condições da cena como gatilho
Pesquisadores mostram como um cliente malicioso em um sistema federado de detecção de anomalias em vigilância pode implantar backdoors usando condições naturais da cena (pouca luz, ambientes internos, aglomerações) como gatilho, em vez de um padrão artificial, mantendo o ataque furtivo e persistente por centenas de rodadas.
Aprendizado federado para detecção de anomalias em vídeo permite treinar um modelo colaborativamente entre múltiplas agências de vigilância sem compartilhar as imagens brutas, mas a baixa visibilidade do servidor central sobre as atualizações individuais de cada cliente abre espaço para que um cliente comprometido envenene o modelo compartilhado.
O STAIN-FL usa como gatilho condições que já ocorrem naturalmente na cena — pouca luz, ambiente interno, aglomeração de pessoas — em vez de um padrão artificial visível, combinando isso com inversão de rótulo (de anomalia para benigno) e mascaramento de gradiente que só altera as coordenadas menos atualizadas do modelo, mantendo a atualização maliciosa estatisticamente próxima de uma atualização legítima. Os testes usam o dataset UCF-Crime com features I3D, em um cenário não-IID de quatro clientes multi-agência, sob FedAvg e FedProx.
O ponto central é que um ataque de baixa intensidade é deliberadamente mais perigoso que um ataque ruidoso, porque não aciona as defesas usuais baseadas em detectar atualizações estatisticamente anômalas: a queda de acurácia em dados limpos fica abaixo de 2%, enquanto mais da metade das anomalias sob gatilho é classificada erroneamente, e o backdoor permanece acima do limiar de 25% de acurácia maliciosa por cerca de 336 rodadas sob FedAvg — ou seja, um sistema de vigilância federado pode silenciosamente parar de sinalizar incidentes sob condições específicas escolhidas pelo atacante (por exemplo, câmeras à noite), sem qualquer sinal visível de comprometimento.
Isso é relevante para federações de vigilância multi-agência, cada vez mais promovidas como solução que preserva privacidade por não compartilhar vídeo bruto: o caso mostra que privacidade por design não garante integridade do modelo resultante, e que defesas federadas calibradas para ataques de alta intensidade podem simplesmente não perceber um ataque furtivo como este.