MRCert certifica robustez contra patches adversariais sem sacrificar acuracia do modelo
Um novo defensor baseado em mascaramento consegue, pela primeira vez, certificar formalmente que a predicao de um classificador de imagens nao foi manipulada por um patch adversarial fisico sem a perda de acuracia tipica de metodos baseados em suavizacao. Em testes no ImageNet, o MRCert atingiu 35,1% de acuracia certificada contra patches de 16 pixels, enquanto o estado da arte anterior falhou completamente nesse cenario.
Patches adversariais fisicos, adesivos ou regioes impressas coladas sobre um objeto real, sao uma das formas mais praticas de atacar sistemas de visao computacional, pois nao exigem acesso digital ao modelo, apenas posicionar o patch no mundo real diante da camera. Defesas de recuperacao pos-deployment tentam neutralizar esse ataque sem retreinar o modelo, mas ate aqui existia um dilema: metodos baseados em suavizacao (smoothing) degradam bastante a acuracia em imagens limpas, enquanto metodos baseados em mascaramento (masking) nao conseguem certificar formalmente que o rotulo devolvido e de fato benigno, apenas tentam remove-lo heuristicamente.
O MRCert ataca esse dilema com uma mudanca conceitual: em vez de aplicar a mesma condicao de certificacao tanto para amostras benignas quanto para amostras atacadas, como fazem os trabalhos anteriores, ele infere propriedades necessarias especificas para cada tipo de entrada e as relaciona formalmente atraves de um par de funcoes de recuperacao de rotulo e certificacao orientado por tipo. Na pratica, isso permite verificar a benignidade do rotulo devolvido sem assumir de antemao se a imagem foi ou nao manipulada.
Os resultados experimentais contrastam fortemente com o estado da arte: no ImageNet, com patches de 16 pixels, o MRCert alcanca 35,1% de acuracia certificada adversarial, enquanto o PatchCURE, ate entao referencia da area, falha completamente nesse cenario. Alem disso, o MRCert evita a queda de acuracia em imagens limpas que caracteriza os metodos de suavizacao, entregando as duas propriedades que a literatura anterior tratava como mutuamente exclusivas.
O avanco importa para qualquer sistema de visao computacional exposto fisicamente, cameras de controle de acesso, veiculos autonomos, sistemas de inspecao industrial, porque oferece uma garantia matematica (nao apenas empirica) de que um patch dentro de um tamanho conhecido nao pode forcar silenciosamente uma classificacao incorreta sem ser detectado, reduzindo a necessidade de escolher entre seguranca e desempenho em producao.